006.Nginx訪問控制
阿新 • • 發佈：2020-07-10
一 Nginx 連線限制
1.1 HTTP協議的連線與請求
HTTP是建立在TCP, 一次HTTP請求需要先建立TCP三次握手（稱為TCP連線），在連線的基礎上再進行HTTP請求。 HTTP請求建立在一次TCP連線基礎上，對於HTTP會話，一次TCP連線可以建立多次HTTP請求。1.2 相關模組
Nginx自帶的limit_conn_module模組（TCP連線頻率限制模組）和limit_req_mudule模組（HTTP請求頻率限制模組）支援對連線頻率以及請求頻率、來源進行限制，通常可可以用來防止DDOS攻擊。 配置語法:1.3 配置方式
limit_conn_zone和limit_req_zone會宣告一個zone空間來記錄連線狀態, 才能限制數量。 zone是儲存連線狀態的空間, 以鍵值對儲存, 通常以客戶端地址$binary_remote_addr作為key來標識每一個連線。 當zone空間被耗盡，伺服器將會對後續所有的請求返回503(Service Temporarily Unavailable) 錯誤。1.4 常見策略
1 http {
2 limit_req_zone $binary_remote_addr zone=req_zone:1m rate=10r/s;
3 }
釋義：定義一個req_zone的zone，設定1m空間大小，每秒10個請求數。
提示：burst和nodelay對併發請求設定了一個緩衝區和是否延遲處理的策略。
場景一：limit_req zone=req_zone;（即連線數等於請求數）
- 若第1秒傳送10個請求, 正常響應。
- 若第1秒傳送13個請求, 前10個請求正常響應, 後3個請求返回503(Service Temporarily Unavailable)。
- 第1秒傳送10個請求, 正常響應。
- 第1秒傳送13個請求, 前10個請求正常響應, 後3個請求放入brust等待響應。
- 第1秒傳送20個請求, 前10個請求正常響應, 後5個請求放入brust等待響應, 最後5個請求返回503(Service Temporarily Unavailable), 第2秒執行brust中的5個請求。
- 第1秒傳送20個請求, 前10個請求正常響應, 後5個請求放入brust等待響應, 最後5個請求返回503(Service Temporarily Unavailable), 第2秒傳送6個請求, 執行brust中的5個請求, 將5個請求放入brust等待響應, 剩下的1個請求返回503(Service Temporarily Unavailable)。
- 第1秒傳送10個請求, 正常響應。
- 第1秒傳送13個請求, 13個請求正常響應。
- 第1秒傳送20個請求, 前15個請求正常響應, 後5個請求返回503(Service Temporarily Unavailable)。
- 第1秒傳送20個請求, 前15個請求正常響應, 後5個請求返回503(Service Temporarily Unavailable), 第2秒傳送6個請求, 正常響應。
1.5 連線限制配置
1 [root@nginx01 ~]# mkdir /usr/share/nginx/limit/
2 [root@nginx01 ~]# echo '<h1>Limit</h1>' > /usr/share/nginx/limit/index.html
3
4 [root@nginx01 ~]# vi /etc/nginx/nginx.conf
5 ……
6 http {
7 limit_conn_zone $binary_remote_addr zone=conn_zone:10m;
8 limit_req_zone $binary_remote_addr zone=req_zone:10m rate=1r/s;
9 ……
10 }
提示：$binary_remote_addr和$remote_addr代表的含義是一樣的（遠端主機的IP），只是使用$binary_remote_addr儲存一個IP會比remote_addr省10個位元組。
1 [root@nginx01 ~]# vi /etc/nginx/conf.d/limit.conf
2 server {
3 server_name limit.linuxds.com;
4 location / {
5 root /usr/share/nginx/limit;
6 index index.html;
7 limit_conn conn_zone 1; #引用全域性中的連線限制zone，並設定同一時刻只允許一個客戶端連線
8 limit_req zone=req_zone; #引用全域性中的請求限制zone
9 #limit_req zone=req_zone burst=3 nodelay; #參考場景三，此處註釋
10 }
11 }
1 [root@nginx01 ~]# nginx -t -c /etc/nginx/nginx.conf #檢查配置檔案 2 [root@nginx01 ~]# nginx -s reload #過載配置檔案釋義： limit_conn_zone $binary_remote_addr zone=conn_zone:10m：http段定義一個連線限制zone； limit_req_zone $binary_remote_addr zone=req_zone:10m rate=1r/s：http段定義一個請求限制zone, rate為限制速率，限制一秒鐘最多一個請求； 注意：多個請求可以建立在一次的TCP連線之上，因此通過對請求的限制，可以實現更精細的控制，粒度更細。因此請求限制相對比連線限制更優。
1.6 測試驗證
1 [root@client ~]# yum -y install httpd-tools 2 [root@client ~]# ab -n 50 -c 10 http://limit.linuxds.com/index.html
二 Nginx IP限制
2.1 相關模組
http_access_module：該模組可實現基於IP的訪問控制，但通過代理可以繞過限制。2.2 IP訪問控制配置
1 [root@nginx01 ~]# mkdir /usr/share/nginx/ipaccess/
2 [root@nginx01 ~]# echo '<h1>Ipaccess</h1>' > /usr/share/nginx/ipaccess/index.html
3
4 [root@nginx01 ~]# vi /etc/nginx/conf.d/ipaccess.conf
5 server {
6 server_name ipaccess.linuxds.com;
7 location / {
8 root /usr/share/nginx/ipaccess;
9 index index.html;
10 deny 115.205.87.7; #拒絕特定IP
11 allow all; #允許其他所有
12 }
13 }
1 [root@nginx01 ~]# nginx -t -c /etc/nginx/nginx.conf #檢查配置檔案 2 [root@nginx01 ~]# nginx -s reload #過載配置檔案
2.3 測試驗證
瀏覽器訪問：ipaccess.linuxds.com。 [root@client ~]# curl ipaccess.linuxds.com <h1>Ipaccess</h1> 注意：nginx的訪問控制限制是針對客戶端的IP來進行限制的，但是nginx並不確定真正的客戶端是哪個，凡是和nginx進行互動的都被當做是客戶端。即remote_addr是直接和nginx通訊的IP，若不是直接訪問到服務端而是由中間代理進行，訪問控制這時就會失效。 優化方法： 方法一：採用http頭資訊控制訪問，如HTTP_X_FORWARD_FOR 方法二：結合geo模組 方法三：通過HTTP自定義變數傳遞 http_x_forwarded_for頭資訊控制訪問會更好的解決該問題，它要求訪問時必須帶上所有用到的ip的地址資訊，如下圖所示：三 Nginx 賬號限制
3.1 相關模組
http_auth_basic_module：基於檔案匹配使用者密碼的登入。3.2 賬號訪問控制設定
1 [root@nginx01 ~]# mkdir /usr/share/nginx/account/ 2 [root@nginx01 ~]# mkdir /etc/nginx/passwd/ 3 [root@nginx01 ~]# echo '<h1>Account</h1>' > /usr/share/nginx/account/index.html
1 [root@nginx01 ~]# vi /etc/nginx/conf.d/account.conf
2 server {
3 server_name account.linuxds.com;
4 location / {
5 root /usr/share/nginx/account;
6 index index.html;
7 auth_basic "Auth access test! input your password!";
8 auth_basic_user_file /etc/nginx/passwd/auth_conf;
9 }
10 }
1 [root@nginx01 ~]# yum -y install httpd-tools 2 [root@nginx01 ~]# htpasswd -c /etc/nginx/passwd/auth_conf xhy 3 [root@nginx01 ~]# nginx -t -c /etc/nginx/nginx.conf #檢查配置檔案 4 [root@nginx01 ~]# nginx -s reload #過載配置檔案提示：htpasswd -c 建立新檔案, -b可在引數中直接輸入密碼。
3.3 測試驗證
瀏覽器訪問：account.linuxds.com。 輸入xhy及密碼。 提示： 通過賬戶控制存在如下侷限性：- 使用者資訊依賴檔案；
- 操作管理機械，配置效率低。
四 Nginx 流量限制
4.1 相關模組
http_core_moduleblock：設定除了指定的http methods外其他method將被限制，允許GET就自動允許HEAD方法。4.2 限速設定
設定《005.Nginx配置下載站點》中的下載站點速度： 1 server {
2 ……
3 limit_rate_after 3m;
4 limit_rate 20k;
5 }
6 }
1 [root@nginx01 ~]# nginx -t -c /etc/nginx/nginx.conf #檢查配置檔案 2 [root@nginx01 ~]# nginx -s reload #過載配置檔案