个人中心
文章发布
退出
作者热门文章
- ubuntu12.04环境下使用kvm ioctl接口实现最简单的虚拟机
- Ubuntu 通过无线网络安装Ubuntu Server启动系统后连接无线网络的方法
- 在Ubuntu上搭建网桥的方法
- ubuntu 虚拟机上网方式及相关配置详解
24
4
CFSDN坚持开源创造价值，我们致力于搭建一个资源共享平台，让每一个IT人在这里找到属于你的精彩世界.
这篇CFSDN的博客文章基于Nginx实现限制某IP短时间访问次数由作者收集整理，如果你对这篇文章有兴趣，记得点赞哟.
如何设置能限制某个IP某一时间段的访问次数是一个让人头疼的问题，特别面对恶意的ddos攻击的时候。其中CC攻击（Challenge Collapsar）是DDOS（分布式拒绝服务）的一种，也是一种常见的网站攻击方法，攻击者通过代理服务器或者肉鸡向向受害主机不停地发大量数据包，造成对方服务器资源耗尽，一直到宕机崩溃.
cc攻击一般就是使用有限的ip数对服务器频繁发送数据来达到攻击的目的，nginx可以通过HttpLimitReqModul和HttpLimitZoneModule配置来限制ip在同一时间段的访问次数来防cc攻击.
HttpLimitReqModul用来限制连单位时间内连接数的模块，使用limit_req_zone和limit_req指令配合使用来达到限制。一旦并发连接超过指定数量，就会返回503错误.
HttpLimitConnModul用来限制单个ip的并发连接数，使用limit_zone和limit_conn指令 。
这两个模块的区别HttpLimitReqModul是对一段时间内的连接数限制，HttpLimitConnModul是对同一时刻的连接数限制 。
HttpLimitReqModul 限制某一段时间内同一ip访问数实例 。
|
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
|
http{
...
#定义一个名为allips的limit_req_zone用来存储session，大小是10M内存，
#以$binary_remote_addr 为key,限制平均每秒的请求为20个，
#1M能存储16000个状态，rete的值必须为整数，
#如果限制两秒钟一个请求，可以设置成30r/m
limit_req_zone $binary_remote_addr zone=allips:10m rate=20r
/s
;
...
server{
...
location {
...
#限制每ip每秒不超过20个请求，漏桶数burst为5
#brust的意思就是，如果第1秒、2,3,4秒请求为19个，
#第5秒的请求为25个是被允许的。
#但是如果你第1秒就25个请求，第2秒超过20的请求返回503错误。
#nodelay，如果不设置该选项，严格使用平均速率限制请求数，
#第1秒25个请求时，5个请求放到第2秒执行，
#设置nodelay，25个请求将在第1秒执行。
limit_req zone=allips burst=5 nodelay;
...
}
...
}
...
}
|
HttpLimitZoneModule 限制并发连接数实例 。
limit_zone只能定义在http作用域，limit_conn可以定义在http server location作用域 。
|
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
|
http{
...
#定义一个名为one的limit_zone,大小10M内存来存储session，
#以$binary_remote_addr 为key
#nginx 1.18以后用limit_conn_zone替换了limit_conn
#且只能放在http作用域
limit_conn_zone one $binary_remote_addr 10m;
...
server{
...
location {
...
limit_conn one 20;
#连接数限制
#带宽限制,对单个连接限数，如果一个ip两个连接，就是500x2k
limit_rate 500k;
...
}
...
}
...
}
|
nginx白名单设置 。
以上配置会对所有的ip都进行限制，有些时候我们不希望对搜索引擎的蜘蛛或者自己测试ip进行限制， 对于特定的白名单ip我们可以借助geo指令实现.
1. 。
|
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
|
http{
geo $limited{
default 1;
#google
64.233.160.0
/19
0;
65.52.0.0
/14
0;
66.102.0.0
/20
0;
66.249.64.0
/19
0;
72.14.192.0
/18
0;
74.125.0.0
/16
0;
209.85.128.0
/17
0;
216.239.32.0
/19
0;
#M$
64.4.0.0
/18
0;
157.60.0.0
/16
0;
157.54.0.0
/15
0;
157.56.0.0
/14
0;
207.46.0.0
/16
0;
207.68.192.0
/20
0;
207.68.128.0
/18
0;
#yahoo
8.12.144.0
/24
0;
66.196.64.0
/18
0;
66.228.160.0
/19
0;
67.195.0.0
/16
0;
74.6.0.0
/16
0;
68.142.192.0
/18
0;
72.30.0.0
/16
0;
209.191.64.0
/18
0;
#My IPs
127.0.0.1
/32
0;
123.456.0.0
/28
0;
#example for your server CIDR
}
|
geo指令定义了一个白名单$limited变量，默认值为1，如果客户端ip在上面的范围内，$limited的值为0 。
2.使用map指令映射搜索引擎客户端的ip为空串，如果不是搜索引擎就显示本身真是的ip，这样搜索引擎ip就不能存到limit_req_zone内存session中，所以不会限制搜索引擎的ip访问 。
map $limited $limit { 1 $binary_remote_addr; 0 ""; } 。
3.设置limit_req_zone和limit_req 。
limit_req_zone $limit zone=foo:1m rate=10r/m,
limit_req zone=foo burst=5,
最后我们使用ab压php-fpm的方式，对上面的方法效果实际测试下 。
例1：限制只允许一分钟内只允许一个ip访问60次配置，也就是平均每秒1次 。
首先我们准备一个php脚本放在根目录下$document_root 。
test.php 。
<? for( $i=0; $i < 1000; $i++) echo 'Hello World'; ?> 。
nginx配置增加limit_req_zone 和 limit_req 。
|
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
|
http{
...
limit_req_zone $binary_remote_addr zone=allips:10m rate=60r
/m
;
...
server{
...
location {
...
limit_req zone=allips;
...
}
...
}
...
}
# ab -n 5 -c 1 http://blog.rekfan.com/test.php
127.0.0.1- - [22
/Dec/2012
:06:27:06 +0000]
"GET /test.php HTTP/1.0"
200 11000
"-"
"Rekfan_Server/1.2.6"
127.0.0.1 - - [22
/Dec/2012
:06:27:06 +0000]
"GET /test.php HTTP/1.0"
503 537
"-"
"Rekfan_Server/1.2.6"
127.0.0.1 - - [22
/Dec/2012
:06:27:07 +0000]
"GET /test.php HTTP/1.0"
503 537
"-"
"Rekfan_Server/1.2.6"
127.0.0.1 - - [22
/Dec/2012
:06:27:07 +0000]
"GET /test.php HTTP/1.0"
503 537
"-"
"Rekfan_Server/1.2.6"
127.0.0.1 - - [22
/Dec/2012
:06:27:07 +0000]
"GET /test.php HTTP/1.0"
503 537
"-"
"Rekfan_Server/1.2.6"
|
未设置brust和nodelay可以看到该配置只允许每秒访问1次，超出的请求返回503错误 。
|
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
|
http{
...
limit_req_zone $binary_remote_addr zone=allips:10m rate=60r
/m
;
...
server{
...
location {
...
limit_req zone=allips burst=1 nodelay;
...
}
...
}
...
}
# ab -n 5 -c 1 http://blog.rekfan.com/test.php
127.0.0.1- - [22
/Dec/2012
:07:01:00 +0000]
"GET /test.php HTTP/1.0"
200 11000
"-"
"Rekfan_Server/1.2.6"
127.0.0.1 - - [22
/Dec/2012
:07:01:00 +0000]
"GET /test.php HTTP/1.0"
200 11000
"-"
"Rekfan_Server/1.2.6"
127.0.0.1 - - [22
/Dec/2012
:07:01:01 +0000]
"GET /test.php HTTP/1.0"
503 537
"-"
"Rekfan_Server/1.2.6"
127.0.0.1 - - [22
/Dec/2012
:07:01:01 +0000]
"GET /test.php HTTP/1.0"
503 537
"-"
"Rekfan_Server/1.2.6"
127.0.0.1 - - [22
/Dec/2012
:07:01:01 +0000]
"GET /test.php HTTP/1.0"
503 537
"-"
"Rekfan_Server/1.2.6"
|
设置brust=1和nodelay后允许第1秒处理两个请求.
以上就是本文的全部内容，希望对大家的学习有所帮助，也希望大家多多支持我.
原文链接：https://www.cnblogs.com/ghjbk/p/7191273.html 。
最后此篇关于基于Nginx实现限制某IP短时间访问次数的文章就讲到这里了,如果你想了解更多关于基于Nginx实现限制某IP短时间访问次数的内容请搜索CFSDN的文章或继续浏览相关文章，希望大家以后支持我的博客！ 。
24
4
0
背景: 我最近一直在使用 JPA，我为相当大的关系数据库项目生成持久层的轻松程度给我留下了深刻的印象。 我们公司使用大量非 SQL 数据库，特别是面向列的数据库。我对可能对这些数据库使用 JPA 有一
我已经在我的 maven pom 中添加了这些构建配置，因为我希望将 Apache Solr 依赖项与 Jar 捆绑在一起。否则我得到了 SolarServerException: ClassNotF
interface ITurtle { void Fight(); void EatPizza(); } interface ILeonardo : ITurtle {
我希望可用于 Java 的对象/关系映射 (ORM) 工具之一能够满足这些要求: 使用 JPA 或 native SQL 查询获取大量行并将其作为实体对象返回。 允许在行(实体)中进行迭代，并在对当前
好像没有，因为我有实现From for 的代码, 我可以转换 A到 B与 .into() , 但同样的事情不适用于 Vec .into()一个Vec . 要么我搞砸了阻止实现派生的事情，要么这不应该发
在 C# 中，如果 A 实现 IX 并且 B 继承自 A ，是否必然遵循 B 实现 IX？如果是，是因为 LSP 吗？之间有什么区别吗: 1. Interface IX; Class A : IX;
就目前而言，这个问题不适合我们的问答形式。我们希望答案得到事实、引用资料或专业知识的支持，但这个问题可能会引发辩论、争论、投票或扩展讨论。如果您觉得这个问题可以改进并可能重新打开，visit the
我正在阅读标准haskell库的(^)的实现代码: (^) :: (Num a, Integral b) => a -> b -> a x0 ^ y0 | y0 a -> b ->a expo x0
我将把国际象棋游戏表示为 C++ 结构。我认为，最好的选择是树结构(因为在每个深度我们都有几个可能的移动)。 这是一个好的方法吗？ struct TreeElement{ SomeMoveType
我正在为用户名数据库实现字符串匹配算法。我的方法采用现有的用户名数据库和用户想要的新用户名，然后检查用户名是否已被占用。如果采用该方法，则该方法应该返回带有数据库中未采用的数字的用户名。 例子: “贾
我正在尝试实现 Breadth-first search algorithm , 为了找到两个顶点之间的最短距离。我开发了一个 Queue 对象来保存和检索对象，并且我有一个二维数组来保存两个给定顶点
我目前正在 ika 中开发我的 Python 游戏，它使用 python 2.5 我决定为 AI 使用 A* 寻路。然而，我发现它对我的需要来说太慢了(3-4 个敌人可能会落后于游戏，但我想供应 4-
我正在寻找 Kademlia 的开源实现C/C++ 中的分布式哈希表。它必须是轻量级和跨平台的(win/linux/mac)。 它必须能够将信息发布到 DHT 并检索它。 最佳答案 OpenDHT是
我在一本书中读到这一行:-“当我们要求 C++ 实现运行程序时，它会通过调用此函数来实现。” 而且我想知道“C++ 实现”是什么意思或具体是什么。帮忙!？ 最佳答案 “C++ 实现”是指编译器加上链接
我正在尝试使用分支定界的 C++ 实现这个背包问题。此网站上有一个 Java 版本:Implementing branch and bound for knapsack 我试图让我的 C++ 版本打印
在很多情况下，我需要在 C# 中访问合适的哈希算法，从重写 GetHashCode 到对数据执行快速比较/查找。 我发现 FNV 哈希是一种非常简单/好/快速的哈希算法。但是，我从未见过 C# 实现的
目录 LRU缓存替换策略 核心思想 不适用场景 算法基本实现 算法优化
1. 绪论 在前面文章中提到 空间直角坐标系相互转换 ，测绘坐标转换时，一般涉及到的情况是：两个直角坐标系的小角度转换。这个就是我们经常在测绘数据处理中，WGS-84坐标系、54北京坐标系
在软件开发过程中，有时候我们需要定时地检查数据库中的数据，并在发现新增数据时触发一个动作。为了实现这个需求，我们在 .Net 7 下进行一次简单的演示. PeriodicTimer .
二分查找 二分查找算法，说白了就是在有序的数组里面给予一个存在数组里面的值key，然后将其先和数组中间的比较，如果key大于中间值，进行下一次mid后面的比较，直到找到相等的，就可以得到它的位置。
我是一名优秀的程序员,十分优秀！