基于Nginx实现访问控制、连接限制

点击上方“java进阶架构师”，选择右上角“置顶公众号”

20大进阶架构专题每日送达

0 前言

Nginx自带的模块支持对并发请求数进行限制, 还有对请求来源进行限制。可以用来防止DDOS攻击。阅读本文须知道nginx的配置文件结构和语法。

1. 默认配置语法

nginx.conf作为主配置文件

include /etc/nginx/conf.d/*.conf读到这会把该目录的.conf也读进来

1.1 全局性的和服务级别的

user 设置使用用户
worker_processes 进行增大并发连接数的处理 跟cpu保持一致 八核设置八个
error_log nginx的错误日志
pid  nginx服务启动时候pid

1.2 event对事件的模块

worker_connections一个进程允许处理的最大连接数
use定义使用的内核模型

1.3 server

root 首页的路径
index 首页默认访问哪个页面
error_page 500 502 503 504  /50x.html  错误页面 前面的500是**`http状态码`**

systemctl restart nginx.service 重启nginx
systemctl reload nginx.service 不关闭服务柔和地重启

2. HTTP

curl-v http://www.baidu.com >/dev/null #-v 同时显示状态码等信息
nginx -V #显示nginx版本及配置文件等信息

3. 日志

日志类型：error.log和access.log

error.log（记录处理http请求的错误状态以及nginx本身服务的错误状态）
access.log（每次http请求的访问状态）

log_format：设置了日志的记录格式，定义日志以什么样的样式记录到error.log、access.log中，log_format的配置只能配置在http模块中。

access_log配置在http中。

4. 变量

1 连接限制 limit_conn_module

limit_conn_module: TCP连接频率限制, 一次TCP连接可以建立多次HTTP请求。

配置语法:

limit_conn_zone会声明一个zone空间来记录连接状态, 才能限制数量。

zone是存储连接状态的空间, 以键值对存储, 通常以客户端地址$binary_remote_addr作为key来标识每一个连接。

当zone空间被耗尽，服务器将会对后续所有的请求返回503(Service Temporarily Unavailable) 错误。

2 请求限制 limit_req_mudule

limit_req_mudule: HTTP请求频率限制, 一次TCP连接可以建立多次HTTP请求。

配置语法:

这里的zone也是用来存储连接的一个空间。

burst 和 nodelay

burst和nodelay对并发请求设置了一个缓冲区和是否延迟处理的策略。

先假设有如下zone配置。

br

情况 1: limit_req zone=req_zone;

第1秒发送10个请求, 正常响应。
第1秒发送13个请求, 前10个请求正常响应, 后3个请求返回503(Service Temporarily Unavailable)。

不加brust和nodelay的情况下, rate=10r/s每秒只能执行10次请求, 多的直接返回503错误。

情况 2: limit_req zone=req_zone brust=5;

第1秒发送10个请求, 正常响应。
第1秒发送13个请求, 前10个请求正常响应, 后3个请求放入brust等待响应。
第1秒发送20个请求, 前10个请求正常响应, 后5个请求放入brust等待响应, 最后5个请求返回503(Service Temporarily Unavailable), 第2秒执行brust中的5个请求。
第1秒发送20个请求, 前10个请求正常响应, 后5个请求放入brust等待响应, 最后5个请求返回503(Service Temporarily Unavailable), 第2秒发送6个请求, 执行brust中的5个请求, 将5个请求放入brust等待响应, 剩下的1个请求返回503(Service Temporarily Unavailable)。

加brust=5不加nodelay的情况下, 有一个容量为5的缓冲区, rate=10r/s每秒只能执行10次请求, 多的放到缓冲区中, 如果缓冲区满了, 就直接返回503错误。而缓冲区在下一个时间段会取出请求进行响应, 如果还有请求进来, 则继续放缓冲区, 多的就返回503错误。

情况 3: limit_req zone=req_zone brust=5 nodelay;

第1秒发送10个请求, 正常响应。
第1秒发送13个请求, 13个请求正常响应。
第1秒发送20个请求, 前15个请求正常响应, 后5个请求返回503(Service Temporarily Unavailable)。
第1秒发送20个请求, 前15个请求正常响应, 后5个请求返回503(Service Temporarily Unavailable), 第2秒发送6个请求, 正常响应。

加brust=5和nodelay的情况下, 有一个容量为5的缓冲区, rate=10r/s每秒能执行15次请求, 15=10+5。多的直接返回503错误。

3 基于 IP 的访问控制

http_access_module: 基于IP的访问控制, 通过代理可以绕过限制, 防君子不防小人。

allow和deny会按照顺序, 从上往下, 找到第一个匹配规则, 判断是否允许访问, 所以一般把all放最后。

br

4 基于用户密码的访问控制

http_auth_basic_module: 基于文件匹配用户密码的登录

密码文件可以通过htpasswd生成, htpasswd需要安装yum install -y httpd-tools。

# -c 创建新文件, -b在参数中直接输入密码
$ htpasswd -bc /etc/nginx/conf.d/passwd user1 pw1
Adding password for user user1
$ htpasswd -b /etc/nginx/conf.d/passwd user2 pw2
Adding password for user user2
$ cat /etc/nginx/conf.d/passwd 
user1:$apr1$7v/m0.IF$2kpM9NVVxbAv.jSUvUQr01
user2:$apr1$XmoO4Zzy$Df76U0Gzxbd7.5vXE0UsE0

 今天就分享这么多，关于Nginx访问控制及连接限制，你学会了多少？欢迎在留言区评论，对于有价值的留言，我们都会一一回复的。如果觉得文章对你有一丢丢帮助，请点右下角【在看】，让更多人看到该文章。

————  e n d ————

快年底了，师长为大家准备了三份面试宝典：

• 《java面试宝典5.0》

• 《350道Java面试题：整理自100+公司》

• 《资深java面试宝典-视频版》

分别适用于初中级，中高级，以及资深级工程师的面试复习。

内容包含java基础、javaweb、各个性能优化、JVM、锁、高并发、反射、Spring原理、微服务、Zookeeper、数据库、数据结构、限流熔断降级等等。

获取方式：点“在看”，V信关注师长的小号：编程最前线并回复 面试 领取，更多精彩陆续奉上。

一、初中级《java面试宝典5.0》，对标8-13K

二、中高级《350道Java面试题：整理自100+公司》，对标12-20K

三、资深《java面试突击-视频版》，对标20K+

点在看好不好，喵~