Nginx访问控制
一 Nginx 连接限制
1.1 HTTP协议的连接与请求
HTTP是建立在TCP, 一次HTTP请求需要先建立TCP三次握手(称为TCP连接),在连接的基础上再进行HTTP请求。
HTTP请求建立在一次TCP连接基础上,对于HTTP会话,一次TCP连接可以建立多次HTTP请求。
HTTP协议版本
|
连接关系
|
HTTP1.0
|
TCP不能复用
|
HTTP1.1
|
顺序性TCP复用
|
HTTP2.0
|
多路复用TCP复用
|
1.2 相关模块
Nginx自带的limit_conn_module模块(TCP连接频率限制模块)和limit_req_mudule模块(HTTP请求频率限制模块)支持对连接频率以及请求频率、来源进行限制,通常可可以用来防止DDOS攻击。
配置语法:
语法
|
范围
|
说明
|
limit_conn_zone 标识 zone=空间名:空间大小;
|
http
|
用于声明一个存储空间
|
limit_conn 空间名 并发限制数;
|
http、server、location
|
用于限制某个存储空间的并发数量
|
limit_conn_log_level 日志等级;
|
http、server、location
|
当达到最大限制连接数后, 记录日志的等级
|
limit_conn_status 状态码;
|
http、server、location
|
当超过限制后,返回的响应状态码,默认是503
|
limit_req_zone key zone=空间名:空间大小 rate=每秒请求数;
|
http
|
用于声明一个存储空间
|
limit_req zone=空间名 [burst=队列数] [nodelay];
|
http、server、location
|
用于限制某个存储空间的并发数量
|
1.3 配置方式
limit_conn_zone和limit_req_zone会声明一个zone空间来记录连接状态, 才能限制数量。
zone是存储连接状态的空间, 以键值对存储, 通常以客户端地址$binary_remote_addr作为key来标识每一个连接。
当zone空间被耗尽,服务器将会对后续所有的请求返回503(Service Temporarily Unavailable) 错误。
1.4 常见策略
示例如下:
1 http { 2 limit_req_zone $binary_remote_addr zone=req_zone:1m rate=10r/s; 3 }
释义:定义一个req_zone的zone,设定1m空间大小,每秒10个请求数。
提示:burst和nodelay对并发请求设置了一个缓冲区和是否延迟处理的策略。
场景一:limit_req zone=req_zone;(即连接数等于请求数)
- 若第1秒发送10个请求, 正常响应。
- 若第1秒发送13个请求, 前10个请求正常响应, 后3个请求返回503(Service Temporarily Unavailable)。
提示:不加brust和nodelay的情况下, rate=10r/s每秒只能执行10次请求, 多的直接返回503错误。
场景二:limit_req zone=req_zone brust=5;(即添加brust=5)
- 第1秒发送10个请求, 正常响应。
- 第1秒发送13个请求, 前10个请求正常响应, 后3个请求放入brust等待响应。
- 第1秒发送20个请求, 前10个请求正常响应, 后5个请求放入brust等待响应, 最后5个请求返回503(Service Temporarily Unavailable), 第2秒执行brust中的5个请求。
- 第1秒发送20个请求, 前10个请求正常响应, 后5个请求放入brust等待响应, 最后5个请求返回503(Service Temporarily Unavailable), 第2秒发送6个请求, 执行brust中的5个请求, 将5个请求放入brust等待响应, 剩下的1个请求返回503(Service Temporarily Unavailable)。
提示:加brust=5不加nodelay的情况下, 有一个容量为5的缓冲区, rate=10r/s每秒只能执行10次请求, 多的放到缓冲区中, 如果缓冲区满了, 就直接返回503错误。而缓冲区在下一个时间段会取出请求进行响应, 如果还有请求进来, 则继续放缓冲区, 多的就返回503错误。
场景三:limit_req zone=req_zone brust=5 nodelay;(同时添加brust=5和nodelay)
- 第1秒发送10个请求, 正常响应。
- 第1秒发送13个请求, 13个请求正常响应。
- 第1秒发送20个请求, 前15个请求正常响应, 后5个请求返回503(Service Temporarily Unavailable)。
- 第1秒发送20个请求, 前15个请求正常响应, 后5个请求返回503(Service Temporarily Unavailable), 第2秒发送6个请求, 正常响应。
提示:加brust=5和nodelay的情况下, 有一个容量为5的缓冲区, rate=10r/s每秒能执行15次请求, 15=10+5。多的直接返回503错误。
1.5 连接限制配置
[root@master ~]# mkdir /usr/share/nginx/limit/ [root@master ~]# echo '<h1>Limit</h1>' > /usr/share/nginx/limit/index.html [root@master ~]# vi /etc/nginx/nginx.conf user nginx; worker_processes 1; error_log /var/log/nginx/error.log warn; pid /var/run/nginx.pid; events { worker_connections 1024; } http { include /etc/nginx/mime.types; default_type application/octet-stream; log_format main '$remote_addr - $remote_user [$time_local] "$request" ' '$status $body_bytes_sent "$http_referer" ' '"$http_user_agent" "$http_x_forwarded_for"'; access_log /var/log/nginx/access.log main; limit_conn_zone $binary_remote_addr zone=conn_zone:10m; limit_req_zone $binary_remote_addr zone=req_zone:10m rate=1r/s;
提示:$binary_remote_addr和$remote_addr代表的含义是一样的(远程主机的IP),只是使用$binary_remote_addr存储一个IP会比remote_addr省10个字节。
[root@master ~]# vi /etc/nginx/conf.d/limit.conf server { server_name limit.linuxds.com; location / { root /usr/share/nginx/limit; index index.html; limit_conn conn_zone 1; #引用全局中的连接限制zone,并设置同一时刻只允许一个客户端连接 limit_req zone=req_zone; #引用全局中的请求限制zone #limit_req zone=req_zone burst=3 nodelay; #参考场景三,此处注释 } }
[root@master ~]# nginx -t -c /etc/nginx/nginx.conf #检查配置文件 nginx: the configuration file /etc/nginx/nginx.conf syntax is ok nginx: configuration file /etc/nginx/nginx.conf test is successful [root@master ~]# nginx -s reload #重载配置文件
释义:
limit_conn_zone $binary_remote_addr zone=conn_zone:10m:http段定义一个连接限制zone;
limit_req_zone $binary_remote_addr zone=req_zone:10m rate=1r/s:http段定义一个请求限制zone, rate为限制速率,限制一秒钟最多一个请求;
注意:多个请求可以建立在一次的TCP连接之上,因此通过对请求的限制,可以实现更精细的控制,粒度更细。因此请求限制相对比连接限制更优。
1.6 测试验证
[root@master ~]# yum -y install httpd-tools [root@master ~]# ab -n 50 -c 10 http://limit.linuxds.com/index.html This is ApacheBench, Version 2.3 <$Revision: 1430300 $> Copyright 1996 Adam Twiss, Zeus Technology Ltd, http://www.zeustech.net/ Licensed to The Apache Software Foundation, http://www.apache.org/ Benchmarking limit.linuxds.com (be patient).....done Server Software: nginx/1.18.0 Server Hostname: limit.linuxds.com Server Port: 80 Document Path: /index.html Document Length: 15 bytes Concurrency Level: 10 Time taken for tests: 0.017 seconds Complete requests: 50 Failed requests: 49 (Connect: 0, Receive: 0, Length: 49, Exceptions: 0) Write errors: 0 Non-2xx responses: 49 Total transferred: 18326 bytes HTML transferred: 9668 bytes Requests per second: 2898.55 [#/sec] (mean) Time per request: 3.450 [ms] (mean) Time per request: 0.345 [ms] (mean, across all concurrent requests) Transfer rate: 1037.48 [Kbytes/sec] received Connection Times (ms) min mean[+/-sd] median max Connect: 0 1 0.6 0 3 Processing: 1 2 1.0 2 5 Waiting: 1 1 0.8 1 3 Total: 1 3 1.5 2 6 WARNING: The median and mean for the initial connection time are not within a normal deviation These results are probably not that reliable. Percentage of the requests served within a certain time (ms) 50% 2 66% 3 75% 3 80% 4 90% 5 95% 5 98% 6 99% 6 100% 6 (longest request) [root@master ~]#
二 Nginx IP限制
2.1 相关模块
http_access_module:该模块可实现基于IP的访问控制,但通过代理可以绕过限制。
语法
|
范围
|
说明
|
allow IP地址 | CIDR网段 | unix: | all;
|
http、server、location、limit_except
|
允许IP地址、CIDR格式的网段、unix套接字或所有来源访问
|
deny IP地址 | CIDR网段 | unix: | all;
|
http、server、location、limit_except
|
禁止IP地址、CIDR格式的网段、unix套接字或所有来源访问
|
提示:allow和deny会按照顺序,从上往下,找到第一个匹配规则,判断是否允许访问,因此一般把all放最后。
2.2 IP访问控制配置
[root@master ~]# mkdir /usr/share/nginx/ipaccess/ [root@master ~]# echo '<h1>Ipaccess</h1>' > /usr/share/nginx/ipaccess/index.html [root@master ~]# vi /etc/nginx/conf.d/ipaccess.conf server { server_name 192.168.1.220; location / { root /usr/share/nginx/ipaccess; index index.html; deny 192.168.1.7; #拒绝特定IP allow all; #允许其他所有 } }
[root@master ~]# nginx -t -c /etc/nginx/nginx.conf #检查配置文件 nginx: the configuration file /etc/nginx/nginx.conf syntax is ok nginx: configuration file /etc/nginx/nginx.conf test is successful [root@master ~]# nginx -s reload #重载配置文件
2.3 测试验证
使用IP地址时需要把 /usr/share/nginx/html/index.html改下名。
[root@master html]# curl 192.168.1.220
<h1>Ipaccess</h1>
注意:nginx的访问控制限制是针对客户端的IP来进行限制的,但是nginx并不确定真正的客户端是哪个,凡是和nginx进行交互的都被当做是客户端。即remote_addr是直接和nginx通信的IP,若不是直接访问到服务端而是由中间代理进行,访问控制这时就会失效。
优化方法:
方法一:采用http头信息控制访问,如HTTP_X_FORWARD_FOR
方法二:结合geo模块
方法三:通过HTTP自定义变量传递
http_x_forwarded_for头信息控制访问会更好的解决该问题,它要求访问时必须带上所有用到的ip的地址信息,如下图所示:
三 Nginx 账号限制
3.1 相关模块
http_auth_basic_module:基于文件匹配用户密码的登录。
语法
|
范围
|
说明
|
auth_basic 请输入你的帐号密码 | off;
(默认关闭)
|
http、server、location、limit_except
|
显示用户登录提示 (有些浏览器不显示提示)
|
auth_basic_user_file 存储帐号密码的文件路径;
|
http、server、location、limit_except
|
从文件中匹配帐号密码
|
提示:密码加密方式有多种,通常可使用htpasswd来生成密码文件,htpasswd需要安装yum install -y httpd-tools。
3.2 账号访问控制设置
[root@master ~]# mkdir /usr/share/nginx/account/ [root@master ~]# mkdir /etc/nginx/passwd/ [root@master ~]# echo '<h1>Account</h1>' > /usr/share/nginx/account/index.html
[root@master html]# vi /etc/nginx/conf.d/account.conf server { server_name 192.168.1.220; location / { root /usr/share/nginx/account; index index.html; auth_basic "Auth access test! input your password!"; auth_basic_user_file /etc/nginx/passwd/auth_conf; } }
[root@master html]# yum -y install httpd-tools [root@master html]# htpasswd -c /etc/nginx/passwd/auth_conf xhy New password: Re-type new password: Adding password for user xhy
[root@master ~]# nginx -t -c /etc/nginx/nginx.conf #检查配置文件 nginx: the configuration file /etc/nginx/nginx.conf syntax is ok nginx: configuration file /etc/nginx/nginx.conf test is successful [root@master ~]# nginx -s reload #重载配置文件
提示:htpasswd -c 创建新文件, -b可在参数中直接输入密码。
3.3 测试验证
提示:
通过账户控制存在如下局限性:
- 用户信息依赖文件;
- 操作管理机械,配置效率低。
优化方法:
方法一:nginx结合LUA实现高效验证;
方法二:nginx配合LDAP打通,利用nginx-auth-ldap模块。
四 Nginx 流量限制
4.1 相关模块
http_core_moduleblock:设置除了指定的http methods外其他method将被限制,允许GET就自动允许HEAD方法。
语法
|
范围
|
说明
|
limit_rate rate;
默认值为0,即关闭限速。
|
http、server、location
|
限制向客户端传送响应的速率限制。
|
limit_rate_after size;
默认值为0,即关闭限速。
|
http、server、location
|
设置不限速传输的响应大小。
|
提示:limit_rate 参数 rate 的单位是字节/秒,设置为 0 将关闭限速。 nginx 按连接限速,所以如果某个客户端同时开启了两个连接,那么客户端的整体速率是这条指令设置值的 2 倍。limit_rate_after设置不限速传输的响应大小。当传输量大于此值时,超出部分将限速传送。
4.2 限速设置
server {
……
limit_rate_after 3m;
limit_rate 20k;
}
}
[root@master ~]# nginx -t -c /etc/nginx/nginx.conf #检查配置文件 nginx: the configuration file /etc/nginx/nginx.conf syntax is ok nginx: configuration file /etc/nginx/nginx.conf test is successful [root@master ~]# nginx -s reload #重载配置文件
4.3 测试验证
可以测试下载。
参考:
https://www.cnblogs.com/cheyunhua/p/9640281.html
https://www.cnblogs.com/crazymagic/p/11012991.html