Nginx 连接限制和访问控制Nginx 连接限制和访问控制

Nginx 连接限制和访问控制

 

前言

Nginx自带的模块支持对并发请求数进行限制, 还有对请求来源进行限制。可以用来防止DDOS攻击。
阅读本文须知道nginx的配置文件结构和语法。

连接限制 limit_conn_module

limit_conn_module: TCP连接频率限制, 一次TCP连接可以建立多次HTTP请求。
配置语法:

limit_conn_module语法	范围	说明
limit_conn_zone 标识 zone=空间名:空间大小;	http	用于声明一个存储空间
limit_conn 空间名 并发限制数;	http、server或location	用于限制某个存储空间的并发数量
limit_conn_log_level 日志等级;	http、server或location	当达到最大限制连接数后, 记录日志的等级
limit_conn_status 状态码;	http、server或location	当超过限制后，返回的响应状态码，默认是503

limit_conn_zone会声明一个zone空间来记录连接状态, 才能限制数量。
zone是存储连接状态的空间, 以键值对存储, 通常以客户端地址$binary_remote_addr作为key来标识每一个连接。
当zone空间被耗尽，服务器将会对后续所有的请求返回503(Service Temporarily Unavailable) 错误。

请求限制 limit_req_mudule

limit_req_mudule: HTTP请求频率限制, 一次TCP连接可以建立多次HTTP请求。
配置语法:

limit_req_mudule语法	范围	说明
limit_req_zone key zone=空间名:空间大小 rate=每秒请求数;	http	用于声明一个存储空间
limit_req zone=空间名 [burst=队列数] [nodelay];	http、server或location	用于限制某个存储空间的并发数量

这里的zone也是用来存储连接的一个空间。

burst 和 nodelay

burst和nodelay对并发请求设置了一个缓冲区和是否延迟处理的策略。
先假设有如下zone配置。

复制

1 2 3

http { limit_req_zone $binan_remote_addr zone=req_zone:1m rate=10r/s; }

情况 1: limit_req zone=req_zone;

1. 第1秒发送10个请求, 正常响应。
2. 第1秒发送13个请求, 前10个请求正常响应, 后3个请求返回503(Service Temporarily Unavailable)。

不加brust和nodelay的情况下, rate=10r/s每秒只能执行10次请求, 多的直接返回503错误。

---

情况 2: limit_req zone=req_zone brust=5;

1. 第1秒发送10个请求, 正常响应。
2. 第1秒发送13个请求, 前10个请求正常响应, 后3个请求放入brust等待响应。
3. 第1秒发送20个请求, 前10个请求正常响应, 后5个请求放入brust等待响应, 最后5个请求返回503(Service Temporarily Unavailable), 第2秒执行brust中的5个请求。
4. 第1秒发送20个请求, 前10个请求正常响应, 后5个请求放入brust等待响应, 最后5个请求返回503(Service Temporarily Unavailable), 第2秒发送6个请求, 执行brust中的5个请求, 将5个请求放入brust等待响应, 剩下的1个请求返回503(Service Temporarily Unavailable)。

加brust=5不加nodelay的情况下, 有一个容量为5的缓冲区, rate=10r/s每秒只能执行10次请求, 多的放到缓冲区中, 如果缓冲区满了, 就直接返回503错误。而缓冲区在下一个时间段会取出请求进行响应, 如果还有请求进来, 则继续放缓冲区, 多的就返回503错误。

---

情况 3: limit_req zone=req_zone brust=5 nodelay;

1. 第1秒发送10个请求, 正常响应。
2. 第1秒发送13个请求, 13个请求正常响应。
3. 第1秒发送20个请求, 前15个请求正常响应, 后5个请求返回503(Service Temporarily Unavailable)。
4. 第1秒发送20个请求, 前15个请求正常响应, 后5个请求返回503(Service Temporarily Unavailable), 第2秒发送6个请求, 正常响应。

加brust=5和nodelay的情况下, 有一个容量为5的缓冲区, rate=10r/s每秒能执行15次请求, 15=10+5。多的直接返回503错误。

---

基于 IP 的访问控制

http_access_module: 基于IP的访问控制, 通过代理可以绕过限制, 防君子不防小人。

http_access_module语法	范围	说明
allow IP地址 | CIDR网段 | unix: | all;	http、server、location和limit_except	允许IP地址、CIDR格式的网段、unix套接字或所有来源访问
deny IP地址 | CIDR网段 | unix: | all;	http、server、location和limit_except	禁止IP地址、CIDR格式的网段、unix套接字或所有来源访问

allow和deny会按照顺序, 从上往下, 找到第一个匹配规则, 判断是否允许访问, 所以一般把all放最后。

复制

1 2 3 4 5 6 7

location / { deny 192.168.1.1; allow 192.168.1.0/24; allow 10.1.1.0/16; allow 2001:0db8::/32; deny all; }

基于用户密码的访问控制

http_auth_basic_module: 基于文件匹配用户密码的登录

http_auth_basic_module语法	范围	说明
auth_basic 请输入你的帐号密码 | off;	http、server、location和limit_except	显示用户登录提示 (有些浏览器不显示提示)
auth_basic_user_file 存储帐号密码的文件路径;	http、server、location和limit_except	从文件中匹配帐号密码

密码文件可以通过htpasswd生成, htpasswd需要安装yum install -y httpd-tools。

复制

1 2 3 4 5 6 7 8

# -c 创建新文件, -b在参数中直接输入密码 $ htpasswd -bc /etc/nginx/conf.d/passwd user1 pw1 Adding password for user user1 $ htpasswd -b /etc/nginx/conf.d/passwd user2 pw2 Adding password for user user2 $ cat /etc/nginx/conf.d/passwd user1:$apr1$7v/m0.IF$2kpM9NVVxbAv.jSUvUQr01 user2:$apr1$XmoO4Zzy$Df76U0Gzxbd7.5vXE0UsE0

参考资料

1. limit_conn_module
2. limit_req_mudule
3. http_access_module
4. http_auth_basic_module

相关文章

• Nginx 日志配置
• Nginx 的 location 配置