Nginx 安全策略之限流与防刷(防止恶意请求)

限流

   限流是限制单位时间内通过服务器的请求数量，以保护服务器资源不被过度消耗。Nginx提供了多种限流方法，包括：

1. 固定连接数限制：通过worker_connections参数限制每个工作进程允许的连接数。例如：

http {
    worker_connections 1000;
}

2. 基于CPU使用率限制：通过worker_connections_high和worker_connections_low参数限制连接数，当CPU使用率超过worker_connections_high时，连接数自动减少，低于worker_connections_low时，连接数自动增加。例如：

http {
    worker_connections_high 1000;
    worker_connections_low 500;
}

3. 基于负载限制：通过limit_req_zone和limit_req指令限制请求数，可以根据不同的请求内容设置不同的限制策略。例如：

http {
    limit_req_zone $binary_remote_addr zone=mylimit:10m rate=1r/s;
    limit_req zone=mylimit burst=5;
}

该配置将限制每个IP每秒请求数为1，同时允许突发请求数为5。

防刷

防刷是指防止恶意用户通过大量请求对服务器进行攻击，以保证服务器的稳定运行。Nginx提供了以下防刷方法：

1. 验证码：通过在页面中添加验证码，要求用户在提交请求时输入验证码，以防止恶意机器人请求。例如：

location /captcha/ {
    image_filter_buffer 256k;
    image_filter jpeg;
    image_filter_quality 85;
}

2. 限制请求频率：通过limit_req_zone和limit_req指令限制同一IP在一定时间内的请求次数。例如：

http {
    limit_req_zone $binary_remote_addr zone=mylimit:10m rate=5r/s;
}

该配置将限制每个IP每秒请求数为5。

3. 封禁恶意IP：通过access_log和http_access_log指令记录访问日志，及时发现恶意IP并封禁。例如：

http {
    access_log logs/ip_ban.log;
    http_access_log logs/ip_ban.log main;
}

然后根据日志内容进行封禁操作，例如在iptables中添加规则：

iptables -A INPUT -p tcp --dport 80 -s 192.168.1.100 -j DROP

资源保护

为了保护服务器资源，Nginx还提供了以下配置项：

1. 内存保护：通过worker_rlimit_nofile和worker_rlimit_core限制工作进程的打开文件数和最大内存使用。例如：

http {
    worker_rlimit_nofile 10000;
    worker_rlimit_core 1000m;
}

2. 防止DDoS攻击：通过配置proxy_buffer_size、proxy_buffers_number和proxy_connect_timeout等参数，限制代理连接的资源使用。例如：

http {
    proxy_buffer_size 4k;
    proxy_buffers_number 8;
    proxy_connect_timeout 300s;
}

3. 监控与告警：通过ngin x -s reload命令，可以实时监控Nginx状态，发现异常时自动进行重载。例如：

while true; do
    nginx -s reload
    sleep 1
done

更多设置

为了防止恶意大量请求（如DDoS攻击）对Nginx服务器造成的影响，可以采取以下措施：

1. 限制连接数和请求数：

   • 使用 limit_conn 和 limit_req 模块来限制单个IP地址的并发连接数和请求数。
   • 在Nginx配置文件中，可以通过以下配置实现：

http {
    limit_conn_zone $binary_remote_addr zone=addr:10m;
    limit_req_zone $binary_remote_addr zone=req:10m rate=1r/s;
    server {
        location / {
            limit_conn addr 10;
            limit_req zone=req burst=5 nodelay;
        }
    }
}

• 在上述配置中，limit_conn 限制每个IP地址的最大连接数为10，而 limit_req 限制每秒请求数为1，每个请求池的突发请求数为5。

使用Fail2Ban：

• Fail2Ban是一种入侵预防软件框架，能够动态更新防火墙规则，通过过滤日志文件来阻止恶意IP地址。
• 可以配置Fail2Ban监控Nginx日志文件，并在检测到异常请求模式时自动阻止IP地址。

调整Nginx超时设置：

• 通过配置 client_body_timeout, client_header_timeout 和 send_timeout 来防止恶意请求长时间占用连接。
• 例如：

1. client_body_timeout 10s;
2. client_header_timeout 10s;
3. send_timeout 10s;

使用防火墙和IP过滤：

• 利用iptables或其他防火墙工具设置规则，限制特定IP地址或IP地址段的访问。
• 可以设置速率限制以防止某些IP地址过于频繁地请求服务器。

启用HTTPS和使用WAF（Web应用防火墙）

• 启用HTTPS可以防止窃听和某些类型的中间人攻击。
• 部署基于云的或本地的Web应用防火墙来识别和过滤恶意请求。

使用CDN

内容分发网络（CDN）通常具有内置的流量管理和安全功能，可以有效地缓解DDoS攻击。

通过结合这些方法，可以大大提高Nginx服务器防止恶意大量请求攻击的能力。每种方法都有其自身的优缺点，具体措施应根据应用场景的需要进行配置和调整。