一 Nginx 連接限制 1.1 HTTP協議的連接與請求 HTTP是建立在TCP, 一次HTTP請求需要先建立TCP三次握手（稱為TCP連接），在連接的基礎上再進行HTTP請求。 HTTP請求建立在一次TCP連接基礎上，對於HTTP會話，一次TCP連接可以建立多次HTTP請求。 HTTP協議版本 ...
一 Nginx 連接限制
1.1 HTTP協議的連接與請求
HTTP是建立在TCP, 一次HTTP請求需要先建立TCP三次握手（稱為TCP連接），在連接的基礎上再進行HTTP請求。 HTTP請求建立在一次TCP連接基礎上，對於HTTP會話，一次TCP連接可以建立多次HTTP請求。1.2 相關模塊
Nginx自帶的limit_conn_module模塊（TCP連接頻率限制模塊）和limit_req_mudule模塊（HTTP請求頻率限制模塊）支持對連接頻率以及請求頻率、來源進行限制，通常可可以用來防止DDOS攻擊。 配置語法:1.3 配置方式
limit_conn_zone和limit_req_zone會聲明一個zone空間來記錄連接狀態, 才能限制數量。 zone是存儲連接狀態的空間, 以鍵值對存儲, 通常以客戶端地址$binary_remote_addr作為key來標識每一個連接。 當zone空間被耗盡，伺服器將會對後續所有的請求返回503(Service Temporarily Unavailable) 錯誤。1.4 常見策略
示例如下：1 http { 2 limit_req_zone $binary_remote_addr zone=req_zone:1m rate=10r/s; 3 }釋義：定義一個req_zone的zone，設定1m空間大小，每秒10個請求數。 提示：burst和nodelay對併發請求設置了一個緩衝區和是否延遲處理的策略。 場景一：limit_req zone=req_zone;（即連接數等於請求數）
- 若第1秒發送10個請求, 正常響應。
- 若第1秒發送13個請求, 前10個請求正常響應, 後3個請求返回503(Service Temporarily Unavailable)。
- 第1秒發送10個請求, 正常響應。
- 第1秒發送13個請求, 前10個請求正常響應, 後3個請求放入brust等待響應。
- 第1秒發送20個請求, 前10個請求正常響應, 後5個請求放入brust等待響應, 最後5個請求返回503(Service Temporarily Unavailable), 第2秒執行brust中的5個請求。
- 第1秒發送20個請求, 前10個請求正常響應, 後5個請求放入brust等待響應, 最後5個請求返回503(Service Temporarily Unavailable), 第2秒發送6個請求, 執行brust中的5個請求, 將5個請求放入brust等待響應, 剩下的1個請求返回503(Service Temporarily Unavailable)。
- 第1秒發送10個請求, 正常響應。
- 第1秒發送13個請求, 13個請求正常響應。
- 第1秒發送20個請求, 前15個請求正常響應, 後5個請求返回503(Service Temporarily Unavailable)。
- 第1秒發送20個請求, 前15個請求正常響應, 後5個請求返回503(Service Temporarily Unavailable), 第2秒發送6個請求, 正常響應。
1.5 連接限制配置
1 [root@nginx01 ~]# mkdir /usr/share/nginx/limit/ 2 [root@nginx01 ~]# echo '<h1>Limit</h1>' > /usr/share/nginx/limit/index.html 3 4 [root@nginx01 ~]# vi /etc/nginx/nginx.conf 5 …… 6 http { 7 limit_conn_zone $binary_remote_addr zone=conn_zone:10m; 8 limit_req_zone $binary_remote_addr zone=req_zone:10m rate=1r/s; 9 …… 10 }提示：$binary_remote_addr和$remote_addr代表的含義是一樣的（遠程主機的IP），只是使用$binary_remote_addr存儲一個IP會比remote_addr省10個位元組。
1 [root@nginx01 ~]# vi /etc/nginx/conf.d/limit.conf 2 server { 3 server_name limit.linuxds.com; 4 location / { 5 root /usr/share/nginx/limit; 6 index index.html; 7 limit_conn conn_zone 1; #引用全局中的連接限制zone，並設置同一時刻只允許一個客戶端連接 8 limit_req zone=req_zone; #引用全局中的請求限制zone 9 #limit_req zone=req_zone burst=3 nodelay; #參考場景三，此處註釋 10 } 11 }
1 [root@nginx01 ~]# nginx -t -c /etc/nginx/nginx.conf #檢查配置文件 2 [root@nginx01 ~]# nginx -s reload #重載配置文件釋義： limit_conn_zone $binary_remote_addr zone=conn_zone:10m：http段定義一個連接限制zone； limit_req_zone $binary_remote_addr zone=req_zone:10m rate=1r/s：http段定義一個請求限制zone, rate為限制速率，限制一秒鐘最多一個請求； 註意：多個請求可以建立在一次的TCP連接之上，因此通過對請求的限制，可以實現更精細的控制，粒度更細。因此請求限制相對比連接限制更優。
1.6 測試驗證
1 [root@client ~]# yum -y install httpd-tools 2 [root@client ~]# ab -n 50 -c 10 http://limit.linuxds.com/index.html
二 Nginx IP限制
2.1 相關模塊
http_access_module：該模塊可實現基於IP的訪問控制，但通過代理可以繞過限制。2.2 IP訪問控制配置
1 [root@nginx01 ~]# mkdir /usr/share/nginx/ipaccess/ 2 [root@nginx01 ~]# echo '<h1>Ipaccess</h1>' > /usr/share/nginx/ipaccess/index.html 3 4 [root@nginx01 ~]# vi /etc/nginx/conf.d/ipaccess.conf 5 server { 6 server_name ipaccess.linuxds.com; 7 location / { 8 root /usr/share/nginx/ipaccess; 9 index index.html; 10 deny 115.205.87.7; #拒絕特定IP 11 allow all; #允許其他所有 12 } 13 }
1 [root@nginx01 ~]# nginx -t -c /etc/nginx/nginx.conf #檢查配置文件 2 [root@nginx01 ~]# nginx -s reload #重載配置文件
2.3 測試驗證
瀏覽器訪問：ipaccess.linuxds.com。
[root@client ~]# curl ipaccess.linuxds.com
<h1>Ipaccess</h1>
註意：nginx的訪問控制限制是針對客戶端的IP來進行限制的，但是nginx並不確定真正的客戶端是哪個，凡是和nginx進行交互的都被當做是客戶端。即remote_addr是直接和nginx通信的IP，若不是直接訪問到服務端而是由中間代理進行，訪問控制這時就會失效。
優化方法：
方法一：採用http頭信息控制訪問，如HTTP_X_FORWARD_FOR
方法二：結合geo模塊
方法三：通過HTTP自定義變數傳遞
http_x_forwarded_for頭信息控制訪問會更好的解決該問題，它要求訪問時必須帶上所有用到的ip的地址信息，如下圖所示：
三 Nginx 賬號限制
3.1 相關模塊
http_auth_basic_module：基於文件匹配用戶密碼的登錄。3.2 賬號訪問控制設置
1 [root@nginx01 ~]# mkdir /usr/share/nginx/account/ 2 [root@nginx01 ~]# mkdir /etc/nginx/passwd/ 3 [root@nginx01 ~]# echo '<h1>Account</h1>' > /usr/share/nginx/account/index.html
1 [root@nginx01 ~]# vi /etc/nginx/conf.d/account.conf 2 server { 3 server_name account.linuxds.com; 4 location / { 5 root /usr/share/nginx/account; 6 index index.html; 7 auth_basic "Auth access test! input your password!"; 8 auth_basic_user_file /etc/nginx/passwd/auth_conf; 9 } 10 }
1 [root@nginx01 ~]# yum -y install httpd-tools 2 [root@nginx01 ~]# htpasswd -c /etc/nginx/passwd/auth_conf xhy 3 [root@nginx01 ~]# nginx -t -c /etc/nginx/nginx.conf #檢查配置文件 4 [root@nginx01 ~]# nginx -s reload #重載配置文件提示：htpasswd -c 創建新文件, -b可在參數中直接輸入密碼。
3.3 測試驗證
瀏覽器訪問：account.linuxds.com。
輸入xhy及密碼。
提示：
通過賬戶控制存在如下局限性：
- 用戶信息依賴文件；
- 操作管理機械，配置效率低。
四 Nginx 流量限制
4.1 相關模塊
http_core_moduleblock：設置除了指定的http methods外其他method將被限制，允許GET就自動允許HEAD方法。4.2 限速設置
設置《005.Nginx配置下載站點》中的下載站點速度：1 server { 2 …… 3 limit_rate_after 3m; 4 limit_rate 20k; 5 } 6 }
1 [root@nginx01 ~]# nginx -t -c /etc/nginx/nginx.conf #檢查配置文件 2 [root@nginx01 ~]# nginx -s reload #重載配置文件
