0 前言
Nginx自带的模块支持对并发请求数进行限制, 还有对请求来源进行限制。可以用来防止DDOS攻击。阅读本文须知道nginx的配置文件结构和语法。
1. 默认配置语法
image
<mpchecktext style="margin: 0px; padding: 0px; max-width: 100%; box-sizing: border-box !important; word-wrap: break-word !important;">
image
</mpchecktext>
nginx.conf作为主配置文件
include /etc/nginx/conf.d/*.conf读到这会把该目录的.conf也读进来
1.1 全局性的和服务级别的
user 设置使用用户
1.2 event对事件的模块
worker_connections一个进程允许处理的最大连接数
1.3 server
root 首页的路径
2. HTTP
image
curl-v http://www.baidu.com >/dev/null #-v 同时显示状态码等信息
3. 日志
日志类型：error.log和access.log
error.log（记录处理http请求的错误状态以及nginx本身服务的错误状态）
log_format：设置了日志的记录格式，定义日志以什么样的样式记录到error.log、access.log中，log_format的配置只能配置在http模块中。
access_log配置在http中。
4. 变量
image
1 ****连接限制 limit_conn_module
limit_conn_module: TCP连接频率限制, 一次TCP连接可以建立多次HTTP请求。
配置语法:
image
limit_conn_zone会声明一个zone空间来记录连接状态, 才能限制数量。
zone是存储连接状态的空间, 以键值对存储, 通常以客户端地址$binary_remote_addr作为key来标识每一个连接。
当zone空间被耗尽，服务器将会对后续所有的请求返回503(Service Temporarily Unavailable) 错误。
2 ****请求限制 limit_req_mudule
limit_req_mudule: HTTP请求频率限制, 一次TCP连接可以建立多次HTTP请求。
配置语法:
image
这里的zone也是用来存储连接的一个空间。
burst 和 nodelay
burst和nodelay对并发请求设置了一个缓冲区和是否延迟处理的策略。
先假设有如下zone配置。
<pre class="code-snippet__js" data-lang="nginx" style="margin: 0px; padding: 1em 1em 1em 0px; max-width: 1000%; box-sizing: border-box !important; word-wrap: break-word !important; overflow-x: auto; white-space: normal; -webkit-box-flex: 1; flex: 1 1 0%;">http { limit_req_zone $binan_remote_addr zone=req_zone:1m rate=10r/s;}br</pre>
情况 1: limit_req zone=req_zone;
第1秒发送10个请求, 正常响应。
不加brust和nodelay的情况下, rate=10r/s每秒只能执行10次请求, 多的直接返回503错误。
情况 2: limit_req zone=req_zone brust=5;
第1秒发送10个请求, 正常响应。
加brust=5不加nodelay的情况下, 有一个容量为5的缓冲区, rate=10r/s每秒只能执行10次请求, 多的放到缓冲区中, 如果缓冲区满了, 就直接返回503错误。而缓冲区在下一个时间段会取出请求进行响应, 如果还有请求进来, 则继续放缓冲区, 多的就返回503错误。
情况 3: limit_req zone=req_zone brust=5 nodelay;
第1秒发送10个请求, 正常响应。
加brust=5和nodelay的情况下, 有一个容量为5的缓冲区, rate=10r/s每秒能执行15次请求, 15=10+5。多的直接返回503错误。
3 ****基于 IP 的访问控制
http_access_module: 基于IP的访问控制, 通过代理可以绕过限制, 防君子不防小人。
image
allow和deny会按照顺序, 从上往下, 找到第一个匹配规则, 判断是否允许访问, 所以一般把all放最后。
<pre class="code-snippet__js" data-lang="nginx" style="margin: 0px; padding: 1em 1em 1em 0px; max-width: 1000%; box-sizing: border-box !important; word-wrap: break-word !important; overflow-x: auto; white-space: normal; -webkit-box-flex: 1; flex: 1 1 0%;">location / { deny 192.168.1.1; allow 192.168.1.0/24; allow 10.1.1.0/16; allow 2001:0db8::/32; deny all;}br</pre>
4 ****基于用户密码的访问控制
http_auth_basic_module: 基于文件匹配用户密码的登录
image
密码文件可以通过htpasswd生成, htpasswd需要安装yum install -y httpd-tools。
# -c 创建新文件, -b在参数中直接输入密码
网友评论