近期由于工作需要，做了些防DDOS攻击的研究，发现nginx本身就有这方面的模块ngx_http_limit_req_module和ngx_http_limit_conn_module。

一、基本介绍

1.ngx_http_limit_req_module

配置格式及说明：

设置一个缓存区保存不同key的状态，这里的状态是指当前的过量请求数。而key是由variable指定的，是一个非空的变量，我们这里使用$binary_remote_addr，表示源IP为key值。

limit_req_zone $variable zone=name:size rate=rate;

指定要进行限制的缓存区和最大的请求到达后有多少个请求放入延迟队列（其它的直接丢弃）。如果不希望请求数达到上限而被延迟，就需要使用nodelay。

limit_req zone=name [burst=number] [nodelay];

例子：

缓存区为10M，请求限制为每秒1次，延迟队列为5

http {
    limit_req_zone $binary_remote_addr zone=one:10m rate=1r/s;

    ...

    server {
        ...
        location /search/ {
            limit_req zone=one burst=5;
        }
}

2.ngx_http_limit_conn_module

配置格式及说明：

设置一个缓存区保存不同key的状态。我们这里使用源IP来作为key，以此限制每个源IP的链接数

limit_conn_zone $binary_remote_addr zone=addr:10m;

指定限制的缓存区，并指定每个key的链接个数

limit_conn zone number;

例子：

http {
    limit_conn_zone $binary_remote_addr zone=addr:10m;
    ...
    server {
        ...
        location /download/ {
            limit_conn addr 1;
        }
}

二、实际应用

如果作为代理服务器，我们需要限制每个用户的请求速度和链接数量，但是，由于一个页面有多个子资源，如果毫无选择的都进行限制，那就会出现很多不必要的麻烦，如：一个页面有40个子资源，那么如果想让一个页面完整的显示，就需要将请求速度和连接数都调整到40，以此达到不阻塞用户正常请求，而这个限制，对服务器性能影响很大，几百用户就能把一台nginx的处理性能拉下来。

所以我们需要制定哪些请求是需要进行限制的，如html页面；哪些是不需要限制的，如css、js、图片等，这样就需要通过配置对应的location进一步细化。

我们不对css、js、gif、png，jpg等进行连接限制，而对除此之外的链接进行限制

http {
    limit_conn_zone $binary_remote_addr zone=addr:10m;
    limit_req_zone $binary_remote_addr zone=one:10m rate=5r/s;

    ...

    server {
        ...
       location ~ .*\.(gif|png|css|js|icon)$ {
            proxy_set_header Host $http_host;
            proxy_set_header X-Real_IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        }

        location ~* .*\.(jpeg|jpg|JPG)$ {
            proxy_set_header Host $http_host;
            proxy_set_header X-Real_IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        #    image_filter resize 480 -;
        #    image_filter_jpeg_quality 50;
        #    image_filter_sharpen 10;
        #    image_filter_buffer 4M;
        }

        location / {
            proxy_set_header Host $http_host;
            proxy_set_header X-Real_IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            #limit
            limit_conn addr 3;
            limit_req zone=one burst=5;
        }
}