nginx限制某個IP同一時間的連線數及頻寬

coav4u

對於負載量比較高的伺服器，可以設定每一位使用者可使用的資源上限，例如同時間最大連線數、連線頻率（每秒或每分鐘連線次數）以及下載速度。
: R* Q/ K$ X' j+ N* a3 ]$ z# C
同時間最大連線數若要限制同時間最大連線數，首先要使用 limit_conn_zone 定義一個 key 與 zone 參數：

1. limit_conn_zone $binary_remote_addr zone=addr:10m;

複製代碼

說明:
定義一個名為 addr 的 zone，空間大小是 10MB，worker 行程會使用這個 zone 所配置的共享記憶體空間來儲存 key 的計數值。我們使用 $binary_remote_addr 來作為判斷來源 IP 的依據（key），會使用這個二進位的變數來作為 key 是因為它跟一般的字串比起來，會比較省空間，如果 zone 所配置的共享記憶體空間用完了，那伺服器就會回傳 503（Service Temporarily Unavailable）的錯誤訊息。

0 e4 u6 z( k$ K, g% E& l7 i
接著使用 limit_conn 指定一個 IP 同時間可以允許的最大連線數：
2 m! ]' h5 P. X2 T" a7 _. I

1. location /download/ {
   . f' ]# M, }3 @
2.   limit_conn addr 5;
   7 ]3 A6 L1 o) `" ?. F  e; S) L+ V
3. }

複製代碼

% g: R/ Z  C  q) h  _
" k3 U% J6 m0 e! M/ n8 Q6 H或是在 server 段針對Domain而不針對上例的目錄來限制連線
  n. d# l9 ]( B6 z* [

1. .
   ) w9 o" M2 H* X. |* t
2. .
   
3. .
   0 s$ K1 }- e/ O; ?
4. server {
   # H" q2 T1 X: T/ \0 O: f/ L
5.   .
   ; q: G, x) {" Q$ w
6.   .
   0 q  C5 X7 T6 Y+ Z5 m$ i& G
7.   limit_conn addr 5;
   ! C7 O0 g# W5 E( M
8.   .
   
9.   .
   
10. }

複製代碼

+ a1 ?* V$ E2 Q9 r1 A$ j連線頻率(每個IP單位時間的連線數)
. ?) G: V3 G: F* C- u5 N
3 F- n; r/ D& x. \' a$ q
: i! U8 O# g) }0 x; E% v- ~% Q5 e% `若要限制連線頻率，首先也是一樣要用 limit_req_zone 定義 key 與 zone 參數：
: [6 U' l& w8 ~) ^% c0 g$ Q

1. limit_req_zone $binary_remote_addr zone=one:10m rate=1r/s;

複製代碼

除了定義 zone 的名稱與大小之外，還加上了一個 rate 指定連線頻率的上限，單位可以使用每秒的連線次數（r/s）或是每分鐘的連線次數（r/m），r是request，例如若要指定每分鐘不可超過 30 次連線，則設定為 30r/m。


然後在需要限制連線頻率的地方加上 limit_req 的設定：

1. location /download/ {
   ! j0 E$ g1 o" Y# g7 o8 d, S+ G4 _6 k3 m
2.   limit_req zone=one burst=5;
   ( h6 p: T# f# m- }
3. }

複製代碼

, T: E- W0 G! H0 F+ b或是在 server 段針對Domain而不針對上例的目錄來限制頻率。

1. .
   
2. .
   + q2 w- k3 b7 [* e2 i3 |
3. .
   # \% y% U" a) _4 p! w$ d. ~. r0 n
4. server {
   3 s' P7 l/ {6 z1 N) S
5.   .
   
6.   .
   9 x' K5 q' H! N/ ^
7.   <span style="font-family: Tahoma;">limit_req zone=one burst=5;</span>
   8 u$ b8 C1 L8 U: |7 [" J
8.   .
   
9.   .
   $ U! j' L/ r4 m. c( P; Q- C
10. }

複製代碼

! w, L, I+ Q8 }" B6 {  J' _結論:

; E5 H2 ]1 K% M對於以上的設定可以有效防止駭客攻擊以及那些有心之徒試圖消耗你無畏的頻寬。
4 p! s( d- G: n* k0 H& ~: y2 }; T. [
& D$ g% S  K, _* Q其他請參閱 :
; m" z1 v7 O; S$ d  Xhttps://blog.gtwang.org/linux/ng ... address-tutorial/2/
http://www.nginx.cn/446.html
2 v$ x! d6 Z5 h0 D9 C1 u; N