nginx 流量控制

约定不等于承诺〃 2023-10-06 15:11 15阅读 0赞

#### **流量限制** (rate-limiting)，我们可以用来限制用户在给定时间内HTTP请求的数量。流量限制可以用作安全目的，比如可以减慢暴力密码破解的速率。还可以用来抵御 DDOS 攻击。更常见的情况是该功能被用来保护上游应用服务器不被同时太多用户请求所压垮。 ####

#### **1、Nginx如何限流** ####

Nginx的”流量限制”使用漏桶算法(leaky bucket algorithm)，就好比，一个桶口在倒水，桶底在漏水的水桶。如果桶口倒水的速率大于桶底的漏水速率，桶里面的水将会溢出；同样，在请求处理方面，水代表来自客户端的请求，水桶代表根据”先进先出调度算法”(FIFO)等待被处理的请求队列，桶底漏出的水代表离开缓冲区被服务器处理的请求，桶口溢出的水代表被丢弃和不被处理的请求。

#### **2、配置基本的限流** ####

“流量限制”配置两个主要的指令，`limit_req_zone`和`limit_req`，如下所示：

limit_req_zone $binary_remote_addr zone=mylimit:10m rate=1r/s;
            upstream myweb {
                    server 10.0.105.196:80 weight=1 max_fails=1 fail_timeout=1;
                    }
            server {
                    listen 80;
                    server_name localhost;
    
                    location /login {
                            limit_req zone=mylimit;
                            proxy_pass http://myweb;
                            proxy_set_header Host $host:$server_port;
                            proxy_set_header X-Real-IP $remote_addr;
                            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
                            }
            }
    10.0.105.196配置:
    server {
            listen 80;
            server_name localhost;
            location /login {
                    root    /usr/share/nginx/html;
                    index   index.html index.html;
                    }
    }

`limit_req_zone`指令设置流量限制和内存区域的参数，但实际上并不限制请求速率。所以需要通过添加`limit_req`指令启用流量限制,应用在特定的`location`或者`server`块。(示例中，对于”/login/”的所有请求)。

`limit_req_zone`指令通常在HTTP块中定义，使其可在多个上下文中使用，它需要以下三个参数：

*  **Key** \- 定义应用限制的请求特性。示例中的 Nginx 变量`$binary_remote_addr`，保存客户端IP地址的二进制形式。
 *  **Zone** \- 定义用于存储每个IP地址状态以及被限制请求URL访问频率的内存区域。通过`zone=keyword`标识区域的名字(自定义)，以及冒号后面跟区域大小。16000个IP地址的状态信息，大约需要1MB。
 *  **Rate** \- 连接请求。在示例中，速率不能超过每秒1个请求。

#### **4、发送到客户端的错误代码** ####

一般情况下，客户端超过配置的流量限制时，Nginx响应状态码为**503(Service Temporarily Unavailable)**。可以使用`limit_req_status`指令来设置为其它状态码(例如下面的**404**状态码):

limit_req_zone $binary_remote_addr zone=mylimit:10m rate=1r/s;
        upstream myweb {
                server 10.0.105.196:80 weight=1 max_fails=1 fail_timeout=1;
            }
        server {
                listen 80;
                server_name localhost;
            
                location /login {
                limit_req zone=mylimit;
                limit_req_status 404;
                        proxy_pass http://myweb;
                            proxy_set_header Host $host:$server_port;
                        proxy_set_header X-Real-IP $remote_addr;
                        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
                        }
        }

#### **18、nginx 访问控制** ####

#### **1、nginx 访问控制模块** ####

（1）基于IP的访问控制：http\_access\_module （2）基于用户的信任登录：http\_auth\_basic\_module

#### **2、基于IP的访问控制** ####

**1、配置语法**

#### **2、配置测试** ####

编辑`/etc/nginx/conf.d/access_mod.conf`内容如下：

[root@192 ~]# vim /etc/nginx/conf.d/access_mod.conf
    server {
            listen 80;
            server_name localhost;
            location  / {
                    root /usr/share/nginx/html;
                    index index.html index.hml;
                    deny 192.168.1.8;
                    allow all;
                    }
    }
    [root@192 ~]# nginx -t
    [root@192 ~]# nginx -s reload
    
    #需要注意:
    1.按顺序匹配，已经被匹配的ip或者网段，后面不再被匹配。
    2.如果先允许所有ip访问，在定义拒绝访问。那么拒绝访问不生效。
    3.默认为allow all

宿主机IP为`192.168.1.8`，虚拟机IP为`192.168.1.11`，故这里禁止宿主机访问，允许其他所有IP访问。 宿主机访问`http://192.168.1.11`，显示`403 Forbidden`。 当然也可以反向配置，同时也可以使用IP网段的配置方式，如`allow 192.168.1.0/24;`，表示满足此网段的IP都可以访问。

#### **3、指定`location`拒绝所有请求** ####

如果你想拒绝某个指定URL地址的所有请求,只需要在`location`块中配置`deny` **all**指令：

#### **3、基于用户的信任登录** ####

（2）基于用户的信任登录模块：http\_auth\_basic\_module

有时我们会有这么一种需求，就是你的网站的某些页面不希望公开，我们希望的是某些特定的客户端可以访问。那么我们可以在访问时要求进行身份认证，就如给你自己的家门加一把锁，以拒绝那些不速之客。

#### **1、配置语法** ####

Syntax：auth_basic string | off;
    default：auth_basic off;
    Context：http，server，location
    
    Syntax：auth_basic_user_file file;
    default：默认无
    Context：http，server，location
    file：存储用户名密码信息的文件。

#### **2、配置示例** ####

[root@192 ~]# vim /etc/nginx/conf.d/auth_mod.conf 
    server {
        listen 80;
        server_name localhost;
        location ~ /admin {
            root /var/www/html;
            index index.html index.hml;
            auth_basic "Auth access test!";
            auth_basic_user_file /etc/nginx/auth_conf;
            }
    }
    
    [root@192 ~]# nginx -t
    [root@192 ~]# nginx -s reload
    [root@192 ~]# mkdir /var/www/html    #创建目录
    [root@192 ~]# vim /var/www/html/index.html    #创建文件

`auth_basic`不为`off`，开启登录验证功能，`auth_basic_user_file`加载账号密码文件。

**3、建立口令文件**

[root@192 ~]# yum install -y httpd-tools #htpasswd 是开源 http 服务器 apache httpd 的一个命令工具，用于生成 http 基本认证的密码文件
    [root@192 ~]# htpasswd -cm /etc/nginx/auth_conf user10 # -c 创建解密文件，-m MD5加密
    [root@192 ~]# htpasswd -m /etc/nginx/auth_conf user20
    [root@192 ~]# cat /etc/nginx/auth_conf 
    user10:$apr1$MOa9UVqF$RlYRMk7eprViEpNtDV0n40
    user20:$apr1$biHJhW03$xboNUJgHME6yDd17gkQNb0

**4、访问测试**

![982a0943deb64a87df50fbfffb3f0dcf.png][]

[982a0943deb64a87df50fbfffb3f0dcf.png]: https://img-blog.csdnimg.cn/img_convert/982a0943deb64a87df50fbfffb3f0dcf.png