一 Nginx 連接限制
1.1 HTTP協議的連接與請求
HTTP是建立在TCP, 一次HTTP請求需要先建立TCP三次握手（稱為TCP連接），在連接的基礎上再進行HTTP請求， HTTP請求建立在一次TCP連接基礎上，對于HTTP會話，一次TCP連接可以建立多次HTTP請求，1.2 相關模塊
Nginx自帶的limit_conn_module模塊（TCP連接頻率限制模塊）和limit_req_mudule模塊（HTTP請求頻率限制模塊）支持對連接頻率以及請求頻率、來源進行限制，通常可可以用來防止DDOS攻擊， 配置語法:1.3 配置方式
limit_conn_zone和limit_req_zone會宣告一個zone空間來記錄連接狀態, 才能限制數量， zone是存盤連接狀態的空間, 以鍵值對存盤, 通常以客戶端地址$binary_remote_addr作為key來標識每一個連接， 當zone空間被耗盡，服務器將會對后續所有的請求回傳503(Service Temporarily Unavailable) 錯誤，1.4 常見策略
示例如下：1 http { 2 limit_req_zone $binary_remote_addr zone=req_zone:1m rate=10r/s; 3 }釋義：定義一個req_zone的zone，設定1m空間大小，每秒10個請求數， 提示：burst和nodelay對并發請求設定了一個緩沖區和是否延遲處理的策略， 場景一：limit_req zone=req_zone;（即連接數等于請求數）
- 若第1秒發送10個請求, 正常回應，
- 若第1秒發送13個請求, 前10個請求正常回應, 后3個請求回傳503(Service Temporarily Unavailable)，
- 第1秒發送10個請求, 正常回應，
- 第1秒發送13個請求, 前10個請求正常回應, 后3個請求放入brust等待回應，
- 第1秒發送20個請求, 前10個請求正常回應, 后5個請求放入brust等待回應, 最后5個請求回傳503(Service Temporarily Unavailable), 第2秒執行brust中的5個請求，
- 第1秒發送20個請求, 前10個請求正常回應, 后5個請求放入brust等待回應, 最后5個請求回傳503(Service Temporarily Unavailable), 第2秒發送6個請求, 執行brust中的5個請求, 將5個請求放入brust等待回應, 剩下的1個請求回傳503(Service Temporarily Unavailable)，
- 第1秒發送10個請求, 正常回應，
- 第1秒發送13個請求, 13個請求正常回應，
- 第1秒發送20個請求, 前15個請求正常回應, 后5個請求回傳503(Service Temporarily Unavailable)，
- 第1秒發送20個請求, 前15個請求正常回應, 后5個請求回傳503(Service Temporarily Unavailable), 第2秒發送6個請求, 正常回應，
1.5 連接限制配置
1 [root@nginx01 ~]# mkdir /usr/share/nginx/limit/ 2 [root@nginx01 ~]# echo '<h1>Limit</h1>' > /usr/share/nginx/limit/index.html 3 4 [root@nginx01 ~]# vi /etc/nginx/nginx.conf 5 …… 6 http { 7 limit_conn_zone $binary_remote_addr zone=conn_zone:10m; 8 limit_req_zone $binary_remote_addr zone=req_zone:10m rate=1r/s; 9 …… 10 }提示：$binary_remote_addr和$remote_addr代表的含義是一樣的（遠程主機的IP），只是使用$binary_remote_addr存盤一個IP會比remote_addr省10個位元組，
1 [root@nginx01 ~]# vi /etc/nginx/conf.d/limit.conf 2 server { 3 server_name limit.linuxds.com; 4 location / { 5 root /usr/share/nginx/limit; 6 index index.html; 7 limit_conn conn_zone 1; #參考全域中的連接限制zone，并設定同一時刻只允許一個客戶端連接 8 limit_req zone=req_zone; #參考全域中的請求限制zone 9 #limit_req zone=req_zone burst=3 nodelay; #參考場景三，此處注釋 10 } 11 }
1 [root@nginx01 ~]# nginx -t -c /etc/nginx/nginx.conf #檢查組態檔 2 [root@nginx01 ~]# nginx -s reload #多載組態檔釋義： limit_conn_zone $binary_remote_addr zone=conn_zone:10m：http段定義一個連接限制zone； limit_req_zone $binary_remote_addr zone=req_zone:10m rate=1r/s：http段定義一個請求限制zone, rate為限制速率，限制一秒鐘最多一個請求； 注意：多個請求可以建立在一次的TCP連接之上，因此通過對請求的限制，可以實作更精細的控制，粒度更細，因此請求限制相對比連接限制更優，
1.6 測驗驗證
1 [root@client ~]# yum -y install httpd-tools 2 [root@client ~]# ab -n 50 -c 10 http://limit.linuxds.com/index.html
二 Nginx IP限制
2.1 相關模塊
http_access_module：該模塊可實作基于IP的訪問控制，但通過代理可以繞過限制，2.2 IP訪問控制配置
1 [root@nginx01 ~]# mkdir /usr/share/nginx/ipaccess/ 2 [root@nginx01 ~]# echo '<h1>Ipaccess</h1>' > /usr/share/nginx/ipaccess/index.html 3 4 [root@nginx01 ~]# vi /etc/nginx/conf.d/ipaccess.conf 5 server { 6 server_name ipaccess.linuxds.com; 7 location / { 8 root /usr/share/nginx/ipaccess; 9 index index.html; 10 deny 115.205.87.7; #拒絕特定IP 11 allow all; #允許其他所有 12 } 13 }
1 [root@nginx01 ~]# nginx -t -c /etc/nginx/nginx.conf #檢查組態檔 2 [root@nginx01 ~]# nginx -s reload #多載組態檔
2.3 測驗驗證
瀏覽器訪問：ipaccess.linuxds.com，
[root@client ~]# curl ipaccess.linuxds.com
<h1>Ipaccess</h1>
注意：nginx的訪問控制限制是針對客戶端的IP來進行限制的，但是nginx并不確定真正的客戶端是哪個，凡是和nginx進行互動的都被當做是客戶端，即remote_addr是直接和nginx通信的IP，若不是直接訪問到服務端而是由中間代理進行，訪問控制這時就會失效，
優化方法：
方法一：采用http頭資訊控制訪問，如HTTP_X_FORWARD_FOR
方法二：結合geo模塊
方法三：通過HTTP自定義變數傳遞
http_x_forwarded_for頭資訊控制訪問會更好的解決該問題，它要求訪問時必須帶上所有用到的ip的地址資訊，如下圖所示：
三 Nginx 賬號限制
3.1 相關模塊
http_auth_basic_module：基于檔案匹配用戶密碼的登錄，3.2 賬號訪問控制設定
1 [root@nginx01 ~]# mkdir /usr/share/nginx/account/ 2 [root@nginx01 ~]# mkdir /etc/nginx/passwd/ 3 [root@nginx01 ~]# echo '<h1>Account</h1>' > /usr/share/nginx/account/index.html
1 [root@nginx01 ~]# vi /etc/nginx/conf.d/account.conf 2 server { 3 server_name account.linuxds.com; 4 location / { 5 root /usr/share/nginx/account; 6 index index.html; 7 auth_basic "Auth access test! input your password!"; 8 auth_basic_user_file /etc/nginx/passwd/auth_conf; 9 } 10 }
1 [root@nginx01 ~]# yum -y install httpd-tools 2 [root@nginx01 ~]# htpasswd -c /etc/nginx/passwd/auth_conf xhy 3 [root@nginx01 ~]# nginx -t -c /etc/nginx/nginx.conf #檢查組態檔 4 [root@nginx01 ~]# nginx -s reload #多載組態檔提示：htpasswd -c 創建新檔案, -b可在引數中直接輸入密碼，
3.3 測驗驗證
瀏覽器訪問：account.linuxds.com，
輸入xhy及密碼，
提示：
通過賬戶控制存在如下局限性：
- 用戶資訊依賴檔案；
- 操作管理機械，配置效率低，
四 Nginx 流量限制
4.1 相關模塊
http_core_moduleblock：設定除了指定的http methods外其他method將被限制，允許GET就自動允許HEAD方法，4.2 限速設定
設定《005.Nginx配置下載站點》中的下載站點速度：1 server { 2 …… 3 limit_rate_after 3m; 4 limit_rate 20k; 5 } 6 }
1 [root@nginx01 ~]# nginx -t -c /etc/nginx/nginx.conf #檢查組態檔 2 [root@nginx01 ~]# nginx -s reload #多載組態檔
4.3 測驗驗證
瀏覽器訪問：http://download.linuxds.com/down/，然后下載相應檔案測驗速度限制， 參考： https://www.cnblogs.com/cheyunhua/p/9640281.html https://www.cnblogs.com/crazymagic/p/11012991.html轉載請註明出處，本文鏈接：https://www.uj5u.com/caozuo/38432.html
標籤：Linux
上一篇：vim的快捷鍵操作命令