Nginx防止大流量攻击，限制流量访问（limit_req_zone模块）以及进行网站压力测试

最新推荐文章于 2025-10-24 08:53:02 发布

原创

最新推荐文章于 2025-10-24 08:53:02 发布 · 4.9k 阅读

17 ·

CC 4.0 BY-SA版权

文章标签：

#运维 #ddos #linux

本文详细解读了计数器、漏桶和令牌桶三种限流算法的工作原理，以及在Nginx配置中的limit_req_zone和limit_conn_module参数设置，还包括如何进行网站压力测试，如Webbench和ApacheBench的使用。

文章目录

一、限流的几种算法
二、 limit_req_zone 参数配置
三、limit_conn_module 参数配置
四、网站压力测试

一、限流的几种算法

（一）、计数器算法

采用计数器实现限流有点简单粗暴，一般我们会限制一秒钟之内能够通过的请求数，比如限流 qps（每秒查询率）为100，算法的实现思路就是从第一个请求进来开始计时，在接下去的1s内，每来一个请求，就把计数加1，如果累加的数字达到了100，那么后续的请求就会被全部拒绝。等到1s结束后，把计数恢复成0，重新开始计数。
这种实现方式，有一个明显的弊端：如果在单位时间1s内的前10ms，已经通过了100个请求，那后面的990ms，只能眼巴巴的把请求拒绝，我们把这种现象称为“突刺现象”。

（二）、漏桶算法

为了消除"突刺现象"，可以采用漏桶算法实现限流，漏桶算法这个名字就很形象，算法内部有一个容器，类似生活用到的漏斗，当请求进来时，相当于水倒入漏斗，然后从下端小口慢慢匀速的流出。不管上面流量多大，下面流出的速度始终保持不变。
不管服务调用方多么不稳定，通过漏桶算法进行限流，每10毫秒处理一次请求。因为处理的速度是固定的，请求进来的速度是未知的，可能突然进来很多请求，没来得及处理的请求就先放在桶里，既然是个桶，肯定是有容量上限，如果桶满了，那么新进来的请求就丢弃。

简单理解为：

水（请求）从上方倒入水桶，从水桶下方流出（被处理）；
来不及流出的水存在水桶中（缓冲），以固定速率流出；
水桶满后水溢出（丢弃）。
这个算法的核心是：缓存请求、匀速处理、多余的请求直接丢弃。
相比漏桶算法，令牌桶算法不同之处在于它不但有一只“桶”，还有个队列，这个桶是用来存放令牌的，队列才是用来存放请求的。

（三）、令牌桶算法

从某种意义上讲，令牌桶算法是对漏桶算法的一种改进，漏桶算法能够限制请求调用的速率，而令牌桶算法能够在限制调用的平均速率的同时还允许一定程度的突发调用。
在令牌桶算法中，存在一个桶，用来存放固定数量的令牌。算法中存在一种机制，以一定的速率往桶中放令牌。每次请求调用需要先获取令牌，只有拿到令牌，才有机会继续执行，否则就只能选择等待可用的令牌、或者直接拒绝。
放令牌这个动作是持续不断的进行，如果桶中令牌数达到上限，就丢弃令牌，所以就存在这种情况，桶中一直有大量的可用令牌，这时进来的请求就可以直接拿到令牌执行，比如设置 qps（每秒查询率）为100，那么限流器初始化完成一秒后，桶中就已经有100个令牌了，这时服务还没完全启动好，等启动完成对外提供服务时，该限流器可以抵挡瞬时的100个请求。所以，只有桶中没有令牌时，请求才会进行等待，最后相当于以一定的速率执行。

简单理解为：

令牌以固定速率产生，并缓存到令牌桶中；
令牌桶放满时，多余的令牌被丢弃；
请求要消耗等比例的令牌才能被处理；
令牌不够时，请求被缓存或者被拒绝

二、 limit_req_zone 参数配置

http {
   
   
    include       mime.types;
    default_type  application/octet-stream;

    log_format  main  '$remote_addr - $remote_user [$time_local] "$request" '
                      '$status $body_bytes_sent "$http_referer" '
                      '"$http_user_agent" "$http_x_forwarded_for"';
    #限流模块配置
     limit_req_zone $binary_remote_addr zone=one:10m rate=1r/s;

    #access_log  logs/access.log  main;

    sendfile        on;
    #tcp_nopush     on;

    #