1. 程式人生 > >006.Nginx訪問控制

006.Nginx訪問控制

一 Nginx 連線限制

1.1 HTTP協議的連線與請求

HTTP是建立在TCP, 一次HTTP請求需要先建立TCP三次握手(稱為TCP連線),在連線的基礎上再進行HTTP請求。 HTTP請求建立在一次TCP連線基礎上,對於HTTP會話,一次TCP連線可以建立多次HTTP請求。
HTTP協議版本 連線關係
HTTP1.0 TCP不能複用
HTTP1.1 順序性TCP複用
HTTP2.0 多路複用TCP複用

1.2 相關模組

Nginx自帶的limit_conn_module模組(TCP連線頻率限制模組)和limit_req_mudule模組(HTTP請求頻率限制模組)支援對連線頻率以及請求頻率、來源進行限制,通常可可以用來防止DDOS攻擊。 配置語法:
語法 範圍 說明
limit_conn_zone 標識 zone=空間名:空間大小; http 用於宣告一個儲存空間
limit_conn 空間名 併發限制數; http、server、location 用於限制某個儲存空間的併發數量
limit_conn_log_level 日誌等級; http、server、location 當達到最大限制連線數後, 記錄日誌的等級
limit_conn_status 狀態碼; http、server、location 當超過限制後,返回的響應狀態碼,預設是503
limit_req_zone key zone=空間名:空間大小 rate=每秒請求數; http 用於宣告一個儲存空間
limit_req zone=空間名 [burst=佇列數] [nodelay]; http、server、location 用於限制某個儲存空間的併發數量

1.3 配置方式

limit_conn_zone和limit_req_zone會宣告一個zone空間來記錄連線狀態, 才能限制數量。 zone是儲存連線狀態的空間, 以鍵值對儲存, 通常以客戶端地址$binary_remote_addr作為key來標識每一個連線。 當zone空間被耗盡,伺服器將會對後續所有的請求返回503(Service Temporarily Unavailable) 錯誤。

1.4 常見策略

示例如下:
  1 http {
  2     limit_req_zone $binary_remote_addr zone=req_zone:1m rate=10r/s;
  3 }
  釋義:定義一個req_zone的zone,設定1m空間大小,每秒10個請求數。 提示:burst和nodelay對併發請求設定了一個緩衝區和是否延遲處理的策略。   場景一:limit_req zone=req_zone;(即連線數等於請求數)
  • 若第1秒傳送10個請求, 正常響應。
  • 若第1秒傳送13個請求, 前10個請求正常響應, 後3個請求返回503(Service Temporarily Unavailable)。
提示:不加brust和nodelay的情況下, rate=10r/s每秒只能執行10次請求, 多的直接返回503錯誤。   場景二:limit_req zone=req_zone brust=5;(即新增brust=5)
  • 第1秒傳送10個請求, 正常響應。
  • 第1秒傳送13個請求, 前10個請求正常響應, 後3個請求放入brust等待響應。
  • 第1秒傳送20個請求, 前10個請求正常響應, 後5個請求放入brust等待響應, 最後5個請求返回503(Service Temporarily Unavailable), 第2秒執行brust中的5個請求。
  • 第1秒傳送20個請求, 前10個請求正常響應, 後5個請求放入brust等待響應, 最後5個請求返回503(Service Temporarily Unavailable), 第2秒傳送6個請求, 執行brust中的5個請求, 將5個請求放入brust等待響應, 剩下的1個請求返回503(Service Temporarily Unavailable)。
提示:加brust=5不加nodelay的情況下, 有一個容量為5的緩衝區, rate=10r/s每秒只能執行10次請求, 多的放到緩衝區中, 如果緩衝區滿了, 就直接返回503錯誤。而緩衝區在下一個時間段會取出請求進行響應, 如果還有請求進來, 則繼續放緩衝區, 多的就返回503錯誤。   場景三:limit_req zone=req_zone brust=5 nodelay;(同時新增brust=5和nodelay)
  • 第1秒傳送10個請求, 正常響應。
  • 第1秒傳送13個請求, 13個請求正常響應。
  • 第1秒傳送20個請求, 前15個請求正常響應, 後5個請求返回503(Service Temporarily Unavailable)。
  • 第1秒傳送20個請求, 前15個請求正常響應, 後5個請求返回503(Service Temporarily Unavailable), 第2秒傳送6個請求, 正常響應。
提示:加brust=5和nodelay的情況下, 有一個容量為5的緩衝區, rate=10r/s每秒能執行15次請求, 15=10+5。多的直接返回503錯誤。

1.5 連線限制配置

  1 [root@nginx01 ~]# mkdir /usr/share/nginx/limit/
  2 [root@nginx01 ~]# echo '<h1>Limit</h1>' > /usr/share/nginx/limit/index.html
  3 
  4 [root@nginx01 ~]# vi /etc/nginx/nginx.conf
  5 ……
  6 http {
  7     limit_conn_zone $binary_remote_addr zone=conn_zone:10m;
  8     limit_req_zone $binary_remote_addr zone=req_zone:10m rate=1r/s;
  9 ……
 10 }
  提示:$binary_remote_addr和$remote_addr代表的含義是一樣的(遠端主機的IP),只是使用$binary_remote_addr儲存一個IP會比remote_addr省10個位元組。
  1 [root@nginx01 ~]# vi /etc/nginx/conf.d/limit.conf
  2 server {
  3     server_name  limit.linuxds.com;
  4     location / {
  5         root   /usr/share/nginx/limit;
  6         index  index.html;
  7         limit_conn conn_zone 1;		#引用全域性中的連線限制zone,並設定同一時刻只允許一個客戶端連線
  8         limit_req zone=req_zone;	#引用全域性中的請求限制zone
  9         #limit_req zone=req_zone burst=3 nodelay;	#參考場景三,此處註釋
 10     }
 11 }
 
  1 [root@nginx01 ~]# nginx -t -c /etc/nginx/nginx.conf	#檢查配置檔案
  2 [root@nginx01 ~]# nginx -s reload			#過載配置檔案
  釋義: limit_conn_zone $binary_remote_addr zone=conn_zone:10m:http段定義一個連線限制zone; limit_req_zone $binary_remote_addr zone=req_zone:10m rate=1r/s:http段定義一個請求限制zone, rate為限制速率,限制一秒鐘最多一個請求; 注意:多個請求可以建立在一次的TCP連線之上,因此通過對請求的限制,可以實現更精細的控制,粒度更細。因此請求限制相對比連線限制更優。

1.6 測試驗證

  1 [root@client ~]# yum -y install httpd-tools
  2 [root@client ~]# ab -n 50 -c 10 http://limit.linuxds.com/index.html
 

二 Nginx IP限制

2.1 相關模組

http_access_module:該模組可實現基於IP的訪問控制,但通過代理可以繞過限制。
語法 範圍 說明
allow IP地址 | CIDR網段 | unix: | all; http、server、location、limit_except 允許IP地址、CIDR格式的網段、unix套接字或所有來源訪問
deny IP地址 | CIDR網段 | unix: | all; http、server、location、limit_except 禁止IP地址、CIDR格式的網段、unix套接字或所有來源訪問
提示:allow和deny會按照順序,從上往下,找到第一個匹配規則,判斷是否允許訪問,因此一般把all放最後。

2.2 IP訪問控制配置

  1 [root@nginx01 ~]# mkdir /usr/share/nginx/ipaccess/
  2 [root@nginx01 ~]# echo '<h1>Ipaccess</h1>' > /usr/share/nginx/ipaccess/index.html
  3 
  4 [root@nginx01 ~]# vi /etc/nginx/conf.d/ipaccess.conf
  5 server {
  6     server_name  ipaccess.linuxds.com;
  7     location / {
  8         root   /usr/share/nginx/ipaccess;
  9         index  index.html;
 10         deny 115.205.87.7;			#拒絕特定IP
 11         allow all;				#允許其他所有
 12     }
 13 }
 
  1 [root@nginx01 ~]# nginx -t -c /etc/nginx/nginx.conf	#檢查配置檔案
  2 [root@nginx01 ~]# nginx -s reload			#過載配置檔案
 

2.3 測試驗證

瀏覽器訪問:ipaccess.linuxds.com。 [root@client ~]# curl ipaccess.linuxds.com <h1>Ipaccess</h1> 注意:nginx的訪問控制限制是針對客戶端的IP來進行限制的,但是nginx並不確定真正的客戶端是哪個,凡是和nginx進行互動的都被當做是客戶端。即remote_addr是直接和nginx通訊的IP,若不是直接訪問到服務端而是由中間代理進行,訪問控制這時就會失效。 優化方法: 方法一:採用http頭資訊控制訪問,如HTTP_X_FORWARD_FOR 方法二:結合geo模組 方法三:通過HTTP自定義變數傳遞 http_x_forwarded_for頭資訊控制訪問會更好的解決該問題,它要求訪問時必須帶上所有用到的ip的地址資訊,如下圖所示:

三 Nginx 賬號限制

3.1 相關模組

http_auth_basic_module:基於檔案匹配使用者密碼的登入。
語法 範圍 說明
auth_basic 請輸入你的帳號密碼 | off; (預設關閉) http、server、location、limit_except 顯示使用者登入提示 (有些瀏覽器不顯示提示)
auth_basic_user_file 儲存帳號密碼的檔案路徑; http、server、location、limit_except 從檔案中匹配帳號密碼
提示:密碼加密方式有多種,通常可使用htpasswd來生成密碼檔案,htpasswd需要安裝yum install -y httpd-tools。

3.2 賬號訪問控制設定

  1 [root@nginx01 ~]# mkdir /usr/share/nginx/account/
  2 [root@nginx01 ~]# mkdir /etc/nginx/passwd/
  3 [root@nginx01 ~]# echo '<h1>Account</h1>' > /usr/share/nginx/account/index.html
   
  1 [root@nginx01 ~]# vi /etc/nginx/conf.d/account.conf
  2 server {
  3     server_name  account.linuxds.com;
  4     location / {
  5         root   /usr/share/nginx/account;
  6         index  index.html;
  7         auth_basic "Auth access test! input your password!";
  8         auth_basic_user_file /etc/nginx/passwd/auth_conf;
  9     }
 10 }
 
  1 [root@nginx01 ~]# yum -y install httpd-tools
  2 [root@nginx01 ~]# htpasswd -c /etc/nginx/passwd/auth_conf xhy
  3 [root@nginx01 ~]# nginx -t -c /etc/nginx/nginx.conf		#檢查配置檔案
  4 [root@nginx01 ~]# nginx -s reload				#過載配置檔案
  提示:htpasswd -c 建立新檔案, -b可在引數中直接輸入密碼。

3.3 測試驗證

瀏覽器訪問:account.linuxds.com。 輸入xhy及密碼。 提示: 通過賬戶控制存在如下侷限性:
  • 使用者資訊依賴檔案;
  • 操作管理機械,配置效率低。
優化方法: 方法一:nginx結合LUA實現高效驗證; 方法二:nginx配合LDAP打通,利用nginx-auth-ldap模組。

四 Nginx 流量限制

4.1 相關模組

http_core_moduleblock:設定除了指定的http methods外其他method將被限制,允許GET就自動允許HEAD方法。
語法 範圍 說明
limit_rate rate; 預設值為0,即關閉限速。 http、server、location 限制向客戶端傳送響應的速率限制。
limit_rate_after size; 預設值為0,即關閉限速。 http、server、location 設定不限速傳輸的響應大小。
提示:limit_rate 引數 rate 的單位是位元組/秒,設定為 0 將關閉限速。 nginx 按連線限速,所以如果某個客戶端同時開啟了兩個連線,那麼客戶端的整體速率是這條指令設定值的 2 倍。limit_rate_after設定不限速傳輸的響應大小。當傳輸量大於此值時,超出部分將限速傳送。

4.2 限速設定

設定《005.Nginx配置下載站點》中的下載站點速度:
  1 server {
  2 ……
  3     limit_rate_after 3m;
  4     limit_rate 20k;
  5     }
  6 }
 
  1 [root@nginx01 ~]# nginx -t -c /etc/nginx/nginx.conf		#檢查配置檔案
  2 [root@nginx01 ~]# nginx -s reload				#過載配置檔案
 

4.3 測試驗證

瀏覽器訪問:http://download.linuxds.com/down/,然後下載相應檔案測試速度限制。 參考: https://www.cnblogs.com/cheyunhua/p/9640281.html https://www.cnblogs.com/crazymagic/p/11012991.ht