有时候服务器会遭到大流量的恶意访问，这种攻击最直接的影响就是导致服务器持续高压，严重影响正常访问，导致这种情况的原因有很多，对于一些低配置的服务器可能只需要一次简单的恶意压测就可以导致服务器502.对于这种情况，我们可以考虑对相同IP的并发连接数和请求频率进行限制，nginx本身自带了两个模块可以作为解决方案，即ngx_http_limit_conn_module和ngx_http_limit_req_module.

• ngx_http_limit_conn_module

简介：ngx_http_limit_conn_module是一个可以根据指定key来限制连接数的模块，尤其用于根据单个IP限制连接数.

语法：limit_conn_zone key zone=name:size;

上下文：http（即nginx配置的http作用域）

说明：开辟一个名为name，大小为size的共享内存区域，用于存储一系列key(s)的状态，特别是包含各个key的连接数，其中key可以是变量、文本或二者的组合(nginx 1.7.6之前只可以包含一个变量)，另外1MB共享内存可以存储3.2万个32-byte状态（在32位平台中存储状态占用32bytes）或1.6万个64-byte（64位平台），当共享内存空间不足时，之后的请求会导致服务器返回503(Service Temporarily Unavailable) 错误.

语法：limit_conn zone number;

上下文：http ，server，location

说明：设置共享内存区域zone，使zone指定的key的连接数不大于number个，当超过这个number值时服务器会返回503(Service Temporarily Unavailable) 错误.

例子：设定一个名为addr的10MB共享内存，以客户端ip作为键，限制每个客户端ip最大并发连接数为5

http{
    ...
    # $binary_remote_addr是客户端ip地址，它和$remote_addr的区别在于它是固定4字节长度
    limit_conn_zone $binary_remote_addr zone=addr:10m;
    server {
    ...
        location ~ \.php$ {
            limit_conn addr 5;
        }
    ...
    }
    ...
}

• ngx_http_limit_req_module

阅读全文 →