一 Nginx 連接限制
1.1 HTTP協議的連接與請求
HTTP是建立在TCP, 一次HTTP請求需要先建立TCP三次握手（稱為TCP連接），在連接的基礎上再進行HTTP請求。
HTTP請求建立在一次TCP連接基礎上，對於HTTP會話，一次TCP連接可以建立多次HTTP請求。
1.2 相關模塊
Nginx自帶的limit_conn_module模塊（TCP連接頻率限制模塊）和limit_req_mudule模塊（HTTP請求頻率限制模塊）支持對連接頻率以及請求頻率、來源進行限制，通常可可以用來防止DDOS攻擊。
配置語法:
1.3 配置方式
limit_conn_zone和limit_req_zone會聲明一個zone空間來記錄連接狀態, 才能限制數量。
zone是存儲連接狀態的空間, 以鍵值對存儲, 通常以客戶端地址$binary_remote_addr作為key來標識每一個連接。
當zone空間被耗盡，服務器將會對后續所有的請求返回503(Service Temporarily Unavailable) 錯誤。
1.4 常見策略
示例如下：
1 http { 2 limit_req_zone $binary_remote_addr zone=req_zone:1m rate=10r/s; 3 }
釋義：定義一個req_zone的zone，設定1m空間大小，每秒10個請求數。
提示：burst和nodelay對並發請求設置了一個緩沖區和是否延遲處理的策略。
場景一：limit_req zone=req_zone;（即連接數等於請求數）
- 若第1秒發送10個請求, 正常響應。
- 若第1秒發送13個請求, 前10個請求正常響應, 后3個請求返回503(Service Temporarily Unavailable)。
提示：不加brust和nodelay的情況下, rate=10r/s每秒只能執行10次請求, 多的直接返回503錯誤。
場景二：limit_req zone=req_zone brust=5;（即添加brust=5）
- 第1秒發送10個請求, 正常響應。
- 第1秒發送13個請求, 前10個請求正常響應, 后3個請求放入brust等待響應。
- 第1秒發送20個請求, 前10個請求正常響應, 后5個請求放入brust等待響應, 最后5個請求返回503(Service Temporarily Unavailable), 第2秒執行brust中的5個請求。
- 第1秒發送20個請求, 前10個請求正常響應, 后5個請求放入brust等待響應, 最后5個請求返回503(Service Temporarily Unavailable), 第2秒發送6個請求, 執行brust中的5個請求, 將5個請求放入brust等待響應, 剩下的1個請求返回503(Service Temporarily Unavailable)。
提示：加brust=5不加nodelay的情況下, 有一個容量為5的緩沖區, rate=10r/s每秒只能執行10次請求, 多的放到緩沖區中, 如果緩沖區滿了, 就直接返回503錯誤。而緩沖區在下一個時間段會取出請求進行響應, 如果還有請求進來, 則繼續放緩沖區, 多的就返回503錯誤。
場景三：limit_req zone=req_zone brust=5 nodelay;（同時添加brust=5和nodelay）
- 第1秒發送10個請求, 正常響應。
- 第1秒發送13個請求, 13個請求正常響應。
- 第1秒發送20個請求, 前15個請求正常響應, 后5個請求返回503(Service Temporarily Unavailable)。
- 第1秒發送20個請求, 前15個請求正常響應, 后5個請求返回503(Service Temporarily Unavailable), 第2秒發送6個請求, 正常響應。
提示：加brust=5和nodelay的情況下, 有一個容量為5的緩沖區, rate=10r/s每秒能執行15次請求, 15=10+5。多的直接返回503錯誤。
1.5 連接限制配置
1 [root@nginx01 ~]# mkdir /usr/share/nginx/limit/ 2 [root@nginx01 ~]# echo '<h1>Limit</h1>' > /usr/share/nginx/limit/index.html 3 4 [root@nginx01 ~]# vi /etc/nginx/nginx.conf 5 …… 6 http { 7 limit_conn_zone $binary_remote_addr zone=conn_zone:10m; 8 limit_req_zone $binary_remote_addr zone=req_zone:10m rate=1r/s; 9 …… 10 }
提示：$binary_remote_addr和$remote_addr代表的含義是一樣的（遠程主機的IP），只是使用$binary_remote_addr存儲一個IP會比remote_addr省10個字節。
1 [root@nginx01 ~]# vi /etc/nginx/conf.d/limit.conf 2 server { 3 server_name limit.linuxds.com; 4 location / { 5 root /usr/share/nginx/limit; 6 index index.html; 7 limit_conn conn_zone 1; #引用全局中的連接限制zone，並設置同一時刻只允許一個客戶端連接 8 limit_req zone=req_zone; #引用全局中的請求限制zone 9 #limit_req zone=req_zone burst=3 nodelay; #參考場景三，此處注釋 10 } 11 }
1 [root@nginx01 ~]# nginx -t -c /etc/nginx/nginx.conf #檢查配置文件 2 [root@nginx01 ~]# nginx -s reload #重載配置文件
釋義：
limit_conn_zone $binary_remote_addr zone=conn_zone:10m：http段定義一個連接限制zone；
limit_req_zone $binary_remote_addr zone=req_zone:10m rate=1r/s：http段定義一個請求限制zone, rate為限制速率，限制一秒鍾最多一個請求；
注意：多個請求可以建立在一次的TCP連接之上，因此通過對請求的限制，可以實現更精細的控制，粒度更細。因此請求限制相對比連接限制更優。
1.6 測試驗證
1 [root@client ~]# yum -y install httpd-tools 2 [root@client ~]# ab -n 50 -c 10 http://limit.linuxds.com/index.html
二 Nginx IP限制
2.1 相關模塊
http_access_module：該模塊可實現基於IP的訪問控制，但通過代理可以繞過限制。
提示：allow和deny會按照順序，從上往下，找到第一個匹配規則，判斷是否允許訪問，因此一般把all放最后。
2.2 IP訪問控制配置
1 [root@nginx01 ~]# mkdir /usr/share/nginx/ipaccess/ 2 [root@nginx01 ~]# echo '<h1>Ipaccess</h1>' > /usr/share/nginx/ipaccess/index.html 3 4 [root@nginx01 ~]# vi /etc/nginx/conf.d/ipaccess.conf 5 server { 6 server_name ipaccess.linuxds.com; 7 location / { 8 root /usr/share/nginx/ipaccess; 9 index index.html; 10 deny 115.205.87.7; #拒絕特定IP 11 allow all; #允許其他所有 12 } 13 }
1 [root@nginx01 ~]# nginx -t -c /etc/nginx/nginx.conf #檢查配置文件 2 [root@nginx01 ~]# nginx -s reload #重載配置文件
2.3 測試驗證
瀏覽器訪問：ipaccess.linuxds.com。
[root@client ~]# curl ipaccess.linuxds.com
<h1>Ipaccess</h1>
注意：nginx的訪問控制限制是針對客戶端的IP來進行限制的，但是nginx並不確定真正的客戶端是哪個，凡是和nginx進行交互的都被當做是客戶端。即remote_addr是直接和nginx通信的IP，若不是直接訪問到服務端而是由中間代理進行，訪問控制這時就會失效。
優化方法：
方法一：采用http頭信息控制訪問，如HTTP_X_FORWARD_FOR
方法二：結合geo模塊
方法三：通過HTTP自定義變量傳遞
http_x_forwarded_for頭信息控制訪問會更好的解決該問題，它要求訪問時必須帶上所有用到的ip的地址信息，如下圖所示：
三 Nginx 賬號限制
3.1 相關模塊
http_auth_basic_module：基於文件匹配用戶密碼的登錄。
提示：密碼加密方式有多種，通常可使用htpasswd來生成密碼文件，htpasswd需要安裝yum install -y httpd-tools。
3.2 賬號訪問控制設置
1 [root@nginx01 ~]# mkdir /usr/share/nginx/account/ 2 [root@nginx01 ~]# mkdir /etc/nginx/passwd/ 3 [root@nginx01 ~]# echo '<h1>Account</h1>' > /usr/share/nginx/account/index.html
1 [root@nginx01 ~]# vi /etc/nginx/conf.d/account.conf 2 server { 3 server_name account.linuxds.com; 4 location / { 5 root /usr/share/nginx/account; 6 index index.html; 7 auth_basic "Auth access test! input your password!"; 8 auth_basic_user_file /etc/nginx/passwd/auth_conf; 9 } 10 }
1 [root@nginx01 ~]# yum -y install httpd-tools 2 [root@nginx01 ~]# htpasswd -c /etc/nginx/passwd/auth_conf xhy 3 [root@nginx01 ~]# nginx -t -c /etc/nginx/nginx.conf #檢查配置文件 4 [root@nginx01 ~]# nginx -s reload #重載配置文件
提示：htpasswd -c 創建新文件, -b可在參數中直接輸入密碼。
3.3 測試驗證
瀏覽器訪問：account.linuxds.com。
輸入xhy及密碼。
提示：
通過賬戶控制存在如下局限性：
- 用戶信息依賴文件；
- 操作管理機械，配置效率低。
優化方法：
方法一：nginx結合LUA實現高效驗證；
方法二：nginx配合LDAP打通，利用nginx-auth-ldap模塊。
四 Nginx 流量限制
4.1 相關模塊
http_core_moduleblock：設置除了指定的http methods外其他method將被限制，允許GET就自動允許HEAD方法。
提示：limit_rate 參數 rate 的單位是字節/秒，設置為 0 將關閉限速。 nginx 按連接限速，所以如果某個客戶端同時開啟了兩個連接，那么客戶端的整體速率是這條指令設置值的 2 倍。limit_rate_after設置不限速傳輸的響應大小。當傳輸量大於此值時，超出部分將限速傳送。
4.2 限速設置
設置《005.Nginx配置下載站點》中的下載站點速度：
1 server { 2 …… 3 limit_rate_after 3m; 4 limit_rate 20k; 5 } 6 }
1 [root@nginx01 ~]# nginx -t -c /etc/nginx/nginx.conf #檢查配置文件 2 [root@nginx01 ~]# nginx -s reload #重載配置文件
4.3 測試驗證
瀏覽器訪問：http://download.linuxds.com/down/，然后下載相應文件測試速度限制。
參考：
https://www.cnblogs.com/cheyunhua/p/9640281.html
https://www.cnblogs.com/crazymagic/p/11012991.html