nginx - 解释 nginx 中的 limit_conn_zone $server_name

Question

我正在为基本的 DDoS 保护配置 nginx。我想使用 http://nginx.org/en/docs/http/ngx_http_limit_conn_module.html 中描述的 limit_conn 模块.
特别是我不明白这个例子:

limit_conn_zone $binary_remote_addr zone=perip:10m;
limit_conn_zone $server_name zone=perserver:10m;

server {
    ...
    limit_conn perip 10;
    limit_conn perserver 100;
}

描述是:

For example, the following configuration will limit the number of connections to the server per a client IP and, at the same time, the total number of connections to the virtual host

第一部分很清楚，我允许来自一个 IP 的同时连接不超过 10 个。

但是第二条规则是否意味着我只允许 100 个连接到我的服务器？因为如果是这样，并且攻击者只打开约 100 个连接，它将阻止 大家 从访问服务器，有效地使 DDoS 攻击成功。

Answer 1

是的，第二条规则意味着您将允许不超过 100 个同时连接到该特定域。但是，考虑到每个 ip 的最大连接数也有限，攻击者需要使用不同的 ip 才能成功进行攻击。

我必须补充一下 limit_conn 只是缓解攻击的一种方法，但不足以缓解真正的 DDoS 攻击 .

你可能想看看这些 nginx 指令:limit_req、limit_rate、client_body_timeout、client_header_timeout。

本文将向您展示为了缓解 DDoS 攻击还有更多工作要做:
https://www.nginx.com/blog/mitigating-ddos-attacks-with-nginx-and-nginx-plus/

此外，本文将向您指出一些配置提示:
https://www.nginx.com/blog/tuning-nginx/

希望能帮助到你。