Nginx 限制 IP 访问频率以及白名单配置_问轩博客

> 本文由 [简悦 SimpRead](http://ksria.com/simpread/) 转码， 原文地址 [www.shnne.com](https://www.shnne.com/post/308.html)

![](https://www.shnne.com/zb_users/plugin/Jz52_code/copy.svg)

Bash

```
限制每一个IP对同一个接口的疯狂调用，这次我们来用nginx处理这个问题。
主要用到了nginx的ngx_http_limit_conn_module和ngx_http_limit_req_module两个配置：
ngx_http_limit_conn_module：限制并发连接数；
ngx_http_limit_req_module：限制一段时间内同一IP的访问频率；
首先，我们为了防止别人来攻击，或者访问量异常过高导致服务器崩掉，就需限制访问量，
如果是一瞬间的并发访问，那么我们就需要限制一秒之内的并发连接数，此时就需要用到第一个配置

http {

limit_conn_zone $binary_remote_addr zone=addr：10m;

#定义一个名为addr的limit_req_zone用来存储session，大小是10M内存，
    #以$binary_remote_addr 为key

#nginx 1.18以后用limit_conn_zone替换了limit_conn,
    #且只能放在http{}代码段．

...

server {

...

location / { 
            limit_conn addr 10; 　　#连接数限制
         #设置给定键值的共享内存区域和允许的最大连接数。超出此限制时，服务器将返回503（服务临时不可用）错误. 
         #如果区域存储空间不足，服务器将返回503（服务临时不可用）错误
        }

}

上面的配置能达到的效果就是，一瞬间访问的时候，只会有10个IP能得到响应，后面的IP直接就返回503状态。
其次，如果一个IP能访问到服务器，那么它如果疯狂的调用接口，如：页面上写个for循环一直刷请求，且不说数据会错乱，
最后可能导致将服务器的带宽耗尽，从而导致服务器假死崩溃，此时就需要用到第二个配置
http{
    ...    #定义一个名为allips的limit_req_zone用来存储session，大小是10M内存，
    #以$binary_remote_addr 为key,限制平均每秒的请求为20个，
    #1M能存储16000个状态，rete的值必须为整数，
    #如果限制两秒钟一个请求，可以设置成30r/m

limit_req_zone $binary_remote_addr zone=allips:10m rate=20r/s;
    ...
    server{
        ...        location / {
            ...            
            #限制每ip每秒不超过20个请求，漏桶数burst为5
            #brust的意思就是，如果第1秒、2,3,4秒请求为19个，
            #第5秒的请求为25个是被允许的。
            #但是如果你第1秒就25个请求，第2秒超过20的请求返回503错误。
            #nodelay，如果不设置该选项，严格使用平均速率限制请求数，
            #第1秒25个请求时，5个请求放到第2秒执行，
            #设置nodelay，25个请求将在第1秒执行。

limit_req zone=allips burst=5 nodelay;(可以放到server模块内，不用放到location)
            ...
        }
        ...
    }
    ...
}
此时能达到的效果，同一个ip在一秒钟只能获得20个访问，超过20个请求，后面的也是直接返回503。
上面的两个配置加在一起就可以做到：一秒只有10个连接，每个连接只能发送20个请求。

白名单配置
设置ip白名单，需用到nginx geo 与 nginx map，默认是安装的
在没有人为删除的情况下（--without-http_geo_module或--without-http_map_module），
nginx默认加载了ngx-http-geo-module和ngx-http-map-module相关内容；
ngx-http-geo-module可以用来创建变量，变量值依赖于客户端 ip 地址;
ngx-http-map-module可以基于其他变量及变量值进行变量创建，其允许分类，或者映射多个变量到不同值并存储在
http {
geo $whiteiplist  {
default 1;
127.0.0.1 0;
10.0.0.0/8 0;
121.207.242.0/24 0;
}
 
map $whiteiplist  $limit {
1 $binary_remote_addr;
0 "";
}
 
limit_conn_zone $limit zone=limit:10m;
 
server {
        listen       80;
        server_name  test.shnne.com;
 
        location ^~ /shnne.com/ {
                limit_conn limit 4;
                limit_rate 200k;
                alias /data/www.shnne.com/data/download/;
        }
}
}

测试 ab -c 100 -n 300 http://test.shnne.com/index/html

技术要点：
1. geo指令定义一个白名单$whiteiplist, 默认值为1, 所有都受限制。 如果客户端IP与白名单列出的IP相匹配，则$whiteiplist值为0也就是不受限制。
2. map指令是将$whiteiplist值为1的，也就是受限制的IP，映射为客户端IP。将$whiteiplist值为0的，也就是白名单IP，映射为空的字符串。
3. limit_conn_zone和limit_req_zone指令对于键为空值的将会被忽略，从而实现对于列出来的IP不做限制。
```