前言
自带的模块支持对并发请求数进行限制, 还有对请求来源进行限制。可以用来防止
DDOS
攻击。
阅读本文须知道nginx
的配置文件结构和语法。
1. 默认配置语法
nginx.conf作为主配置文件
include /etc/nginx/conf.d/*.conf读到这会把该目录的.conf也读进来
1.1 全局性的和服务级别的
1.2 event对事件的模块
1.3 server
2. HTTP
3. 日志
日志类型:error.log和access.log
log_format:设置了日志的记录格式,定义日志以什么样的样式记录到error.log、access.log中,log_format的配置只能配置在http模块中。
access_log配置在http中。
4. 变量
limit_conn_module
limit_
conn_module:TCP连接频率限制, 一次TCP连接可以建立多次HTTP请求。
配置语法:
limit_conn_zone会声明一个zone
空间来记录连接状态, 才能限制数量。
zone
是存储连接状态的空间, 以键值对存储, 通常以客户端地址$binary_remote_addr
作为key
来标识每一个连接。
当zone
空间被耗尽,服务器将会对后续所有的请求返回503(Service Temporarily Unavailable)
错误。
请求限制 limit_req_mudule
limit_req_mudule
:HTTP
请求频率限制, 一次TCP
连接可以建立多次HTTP
请求。
配置语法:
这里的zone也是用来存储连接的一个空间。
burst 和 nodelay
burst
和nodelay
对并发请求设置了一个缓冲区和是否延迟处理的策略。
先假设有如下zone
配置。
情况 1:limit_req zone=req_zone;
-
第
1
秒发送10
个请求, 正常响应。 -
第
1
秒发送13
个请求, 前10
个请求正常响应, 后3
个请求返回503(Service Temporarily Unavailable)
。
不加brust
和nodelay
的情况下,rate=10r/s
每秒只能执行10
次请求, 多的直接返回503
错误。
情况 2:limit_req zone=req_zone brust=5;
-
第
1
秒发送10
个请求, 正常响应。 -
第
1
秒发送13
个请求, 前10
个请求正常响应, 后3
个请求放入brust
等待响应。 -
第
1
秒发送20
个请求, 前10
个请求正常响应, 后5
个请求放入brust
等待响应, 最后5
个请求返回503(Service Temporarily Unavailable)
, 第2
秒执行brust
中的5
个请求。 -
第
1
秒发送20
个请求, 前10
个请求正常响应, 后5
个请求放入brust
等待响应, 最后5
个请求返回503(Service Temporarily Unavailable)
, 第2
秒发送6
个请求, 执行brust
中的5
个请求, 将5
个请求放入brust
等待响应, 剩下的1
个请求返回503(Service Temporarily Unavailable)
。
加brust=5
不加nodelay
的情况下, 有一个容量为5
的缓冲区,rate=10r/s
每秒只能执行10
次请求, 多的放到缓冲区中, 如果缓冲区满了, 就直接返回503
错误。而缓冲区在下一个时间段会取出请求进行响应, 如果还有请求进来, 则继续放缓冲区, 多的就返回503
错误。
情况 3:limit_req zone=req_zone brust=5 nodelay;
-
第
1
秒发送10
个请求, 正常响应。 -
第
1
秒发送13
个请求,13
个请求正常响应。 -
第
1
秒发送20
个请求, 前15
个请求正常响应, 后5
个请求返回503(Service Temporarily Unavailable)
。 -
第
1
秒发送20
个请求, 前15
个请求正常响应, 后5
个请求返回503(Service Temporarily Unavailable)
, 第2
秒发送6
个请求, 正常响应。
加brust=5
和nodelay
的情况下, 有一个容量为5
的缓冲区,rate=10r/s
每秒能执行15
次请求,15=10+5
。多的直接返回503
错误。
基于 IP 的
http_
access_module: 基于IP的访问控制, 通过代理可以绕过限制, 防君子不防小人。
allow和deny会按照顺序, 从上往下, 找到第一个匹配规则, 判断是否允许访问, 所以一般把all
放最后
基于用户密码的访问控制
ht
tp_auth_basic_module: 基于文件匹配用户密码的登录
密码文件可以通过htpasswd
生成,htpasswd
需要安装yum install -y httpd-tools
。
参考资料
总结
以上所述是小编给大家介绍的基于Nginx实现访问控制、连接限制,希望对大家有所帮助,如果大家有任何疑问请给我留言,小编会及时回复大家的。在此也非常感谢大家对服务器之家网站的支持!
如果你觉得本文对你有帮助,欢迎转载,烦请注明出处,谢谢!
原文链接:https://mp.weixin.qq.com/s/0u24cnG8L34Bg-oWAKQ2rQ