Nginx限流防刷與CC攻擊防護(hù)實(shí)戰(zhàn)配置
更新時(shí)間：2026年01月19日 10:52:05 作者：嘻哈baby
本文介紹了Nginx在Web服務(wù)中的防護(hù)方案,包括限流基礎(chǔ)、分場(chǎng)景限流、CC攻擊防護(hù)、IP黑白名單、監(jiān)控與告警以及壓測(cè)驗(yàn)證,感興趣的可以了解一下
做過(guò)Web服務(wù)的都知道，接口裸奔是找死。
不設(shè)防的后果：羊毛黨刷爆優(yōu)惠券、爬蟲(chóng)拖垮服務(wù)器、CC攻擊搞癱業(yè)務(wù)。
整理一下Nginx層面的防護(hù)方案，都是生產(chǎn)環(huán)境驗(yàn)證過(guò)的配置。
一、限流基礎(chǔ)
Nginx有兩個(gè)核心限流模塊：
ngx_http_limit_req_module：限制請(qǐng)求速率ngx_http_limit_conn_module：限制連接數(shù)
1.1 限制請(qǐng)求速率
http {
# 定義限流區(qū)域
# $binary_remote_addr：按客戶(hù)端IP限流
# zone=req_limit:10m：共享內(nèi)存區(qū)域名和大小
# rate=10r/s：每秒10個(gè)請(qǐng)求
limit_req_zone $binary_remote_addr zone=req_limit:10m rate=10r/s;
server {
location /api/ {
# 應(yīng)用限流
# burst=20：允許突發(fā)20個(gè)請(qǐng)求
# nodelay：突發(fā)請(qǐng)求不延遲處理
limit_req zone=req_limit burst=20 nodelay;
proxy_pass http://backend;
}
}
}
參數(shù)解釋?zhuān)?/p>
rate=10r/s：平均每秒10個(gè)請(qǐng)求，即每100ms一個(gè)burst=20：桶大小，允許突發(fā)20個(gè)請(qǐng)求nodelay：突發(fā)請(qǐng)求立即處理，不排隊(duì)等待
1.2 限制連接數(shù)
http {
# 按IP限制連接數(shù)
limit_conn_zone $binary_remote_addr zone=conn_limit:10m;
server {
location /download/ {
# 每個(gè)IP最多10個(gè)連接
limit_conn conn_limit 10;
# 限制每個(gè)連接的速度
limit_rate 1m; # 1MB/s
}
}
}
適用場(chǎng)景：下載服務(wù)、視頻流媒體。
二、分場(chǎng)景限流
2.1 登錄接口防暴力破解
http {
# 登錄接口嚴(yán)格限流
limit_req_zone $binary_remote_addr zone=login_limit:10m rate=1r/s;
server {
location /api/login {
limit_req zone=login_limit burst=5 nodelay;
# 超限返回429
limit_req_status 429;
proxy_pass http://backend;
}
}
}
每秒只允許1次登錄請(qǐng)求，防止暴力破解。
2.2 短信驗(yàn)證碼防刷
http {
# 驗(yàn)證碼接口更嚴(yán)格
limit_req_zone $binary_remote_addr zone=sms_limit:10m rate=1r/m;
server {
location /api/sms/send {
# 每分鐘1次
limit_req zone=sms_limit burst=3;
proxy_pass http://backend;
}
}
}
2.3 搜索接口防爬蟲(chóng)
http {
# 搜索接口中等限流
limit_req_zone $binary_remote_addr zone=search_limit:10m rate=5r/s;
server {
location /api/search {
limit_req zone=search_limit burst=10 nodelay;
proxy_pass http://backend;
}
}
}
三、CC攻擊防護(hù)
CC攻擊就是用大量代理IP發(fā)請(qǐng)求，單IP限流不夠用。
3.1 請(qǐng)求頻率+并發(fā)連接雙重限制
http {
limit_req_zone $binary_remote_addr zone=cc_req:10m rate=30r/s;
limit_conn_zone $binary_remote_addr zone=cc_conn:10m;
server {
# 請(qǐng)求頻率限制
limit_req zone=cc_req burst=50 nodelay;
# 并發(fā)連接限制
limit_conn cc_conn 50;
# 超限狀態(tài)碼
limit_req_status 503;
limit_conn_status 503;
}
}
3.2 基于User-Agent過(guò)濾
server {
# 封禁空UA和常見(jiàn)爬蟲(chóng)UA
if ($http_user_agent = "") {
return 403;
}
if ($http_user_agent ~* "python|curl|wget|scrapy|httpclient") {
return 403;
}
# 封禁特定UA
if ($http_user_agent ~* "MJ12bot|AhrefsBot|SemrushBot") {
return 403;
}
}
3.3 基于Referer過(guò)濾
server {
location /api/ {
valid_referers none blocked server_names *.example.com;
if ($invalid_referer) {
return 403;
}
}
}
3.4 cookie驗(yàn)證
server {
location / {
# 檢查是否有驗(yàn)證cookie
if ($cookie_verified != "yes") {
# 返回驗(yàn)證頁(yè)面，通過(guò)JS設(shè)置cookie后重定向
return 302 /verify.html;
}
proxy_pass http://backend;
}
}
這個(gè)方法可以過(guò)濾掉不執(zhí)行JS的簡(jiǎn)單爬蟲(chóng)。
四、IP黑白名單
4.1 黑名單
http {
# 加載黑名單文件
geo $blocked_ip {
default 0;
include /etc/nginx/blacklist.conf;
}
server {
if ($blocked_ip) {
return 403;
}
}
}
黑名單文件：
# /etc/nginx/blacklist.conf 1.2.3.4 1; 5.6.7.0/24 1;
4.2 白名單
http {
geo $whitelist {
default 0;
10.0.0.0/8 1; # 內(nèi)網(wǎng)
192.168.0.0/16 1; # 內(nèi)網(wǎng)
}
server {
location /admin/ {
if ($whitelist = 0) {
return 403;
}
proxy_pass http://backend;
}
}
}
4.3 動(dòng)態(tài)封禁
配合fail2ban實(shí)現(xiàn)自動(dòng)封禁：
# /etc/fail2ban/filter.d/nginx-cc.conf [Definition] failregex = ^<HOST> .* "(GET|POST).* HTTP.*" (429|503) ignoreregex =
# /etc/fail2ban/jail.d/nginx-cc.conf [nginx-cc] enabled = true port = http,https filter = nginx-cc logpath = /var/log/nginx/access.log maxretry = 100 findtime = 60 bantime = 3600
60秒內(nèi)觸發(fā)100次429/503就封禁1小時(shí)。
五、實(shí)戰(zhàn)配置模板
綜合以上方案的完整配置：
http {
# 限流區(qū)域定義
limit_req_zone $binary_remote_addr zone=global_limit:20m rate=50r/s;
limit_req_zone $binary_remote_addr zone=api_limit:10m rate=20r/s;
limit_req_zone $binary_remote_addr zone=login_limit:10m rate=1r/s;
limit_conn_zone $binary_remote_addr zone=conn_limit:10m;
# 黑名單
geo $blocked_ip {
default 0;
include /etc/nginx/blacklist.conf;
}
# 白名單
geo $whitelist {
default 0;
10.0.0.0/8 1;
192.168.0.0/16 1;
}
server {
listen 80;
server_name example.com;
# 黑名單攔截
if ($blocked_ip) {
return 403;
}
# 空UA攔截
if ($http_user_agent = "") {
return 403;
}
# 全局限流
limit_req zone=global_limit burst=100 nodelay;
limit_conn conn_limit 100;
# API接口限流
location /api/ {
limit_req zone=api_limit burst=30 nodelay;
proxy_pass http://backend;
}
# 登錄接口嚴(yán)格限流
location /api/login {
limit_req zone=login_limit burst=5 nodelay;
limit_req_status 429;
proxy_pass http://backend;
}
# 靜態(tài)資源不限流
location /static/ {
expires 7d;
add_header Cache-Control "public, immutable";
}
# 管理后臺(tái)白名單
location /admin/ {
if ($whitelist = 0) {
return 403;
}
proxy_pass http://backend;
}
}
}
六、監(jiān)控與告警
光限流不夠，還要能看到發(fā)生了什么。
6.1 日志格式
log_format detailed '$remote_addr - $remote_user [$time_local] '
'"$request" $status $body_bytes_sent '
'"$http_referer" "$http_user_agent" '
'$request_time $upstream_response_time '
'$limit_req_status';
access_log /var/log/nginx/access.log detailed;
6.2 實(shí)時(shí)統(tǒng)計(jì)
# 統(tǒng)計(jì)429狀態(tài)碼
tail -f /var/log/nginx/access.log | grep " 429 " | wc -l
# 按IP統(tǒng)計(jì)請(qǐng)求數(shù)
awk '{print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -rn | head -20
6.3 自定義限流日志
location /api/ {
limit_req zone=api_limit burst=30 nodelay;
# 限流日志
limit_req_log_level warn;
}
被限流的請(qǐng)求會(huì)記錄到error.log：
limiting requests, excess: 30.234 by zone "api_limit"
七、壓測(cè)驗(yàn)證
配置完要驗(yàn)證效果：
# 用ab壓測(cè) ab -n 1000 -c 100 http://example.com/api/test # 用wrk壓測(cè) wrk -t4 -c200 -d30s http://example.com/api/test
觀察：
- 正常請(qǐng)求能過(guò)
- 超限請(qǐng)求返回429或503
- 服務(wù)器資源沒(méi)被打滿(mǎn)
八、遠(yuǎn)程管理
我們有幾個(gè)邊緣節(jié)點(diǎn)部署了Nginx做CDN，分布在不同城市。之前更新配置很麻煩，現(xiàn)在用星空組網(wǎng)把所有節(jié)點(diǎn)組到一起，SSH直連更新配置很方便。
總結(jié)
Nginx防護(hù)策略：
| 攻擊類(lèi)型 | 防護(hù)方案 | 核心配置 |
|---|---|---|
| 單IP刷接口 | 請(qǐng)求速率限制 | limit_req |
| 下載帶寬濫用 | 連接數(shù)+速度限制 | limit_conn + limit_rate |
| 暴力破解 | 嚴(yán)格限流 | rate=1r/s |
| CC攻擊 | 多層防護(hù) | 限流+UA過(guò)濾+黑名單 |
| 爬蟲(chóng) | UA+Referer過(guò)濾 | if判斷 |
防護(hù)策略要分層：
- 第一層：IP黑名單
- 第二層：速率限制
- 第三層：行為判斷
- 第四層：驗(yàn)證碼（業(yè)務(wù)層）
別等被攻擊了才想起來(lái)加防護(hù)。
到此這篇關(guān)于Nginx限流防刷與CC攻擊防護(hù)實(shí)戰(zhàn)配置的文章就介紹到這了,更多相關(guān)Nginx限流防刷與CC防護(hù)內(nèi)容請(qǐng)搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持腳本之家！
您可能感興趣的文章:
相關(guān)文章
編寫(xiě)Go程序?qū)ginx服務(wù)器進(jìn)行性能測(cè)試的方法
這篇文章主要介紹了編寫(xiě)Go程序?qū)ginx服務(wù)器進(jìn)行性能測(cè)試的方法,包括對(duì)其負(fù)載均衡和緩存等方面的測(cè)試,極力推薦!需要的朋友可以參考下2015-06-06
Nginx下WordPress鏈接(url偽靜態(tài))301永久重定向?qū)崿F(xiàn)方法
在幾個(gè)blog程序中折騰的結(jié)果,導(dǎo)致url連續(xù)二次變化。這是第三次了。 nginx 通過(guò)rewrite 使用 permanent; 參數(shù) 成301永久url重定向2012-09-09
在生產(chǎn)環(huán)境中，需要隱藏nginx等服務(wù)的版本信息，以免造成安全風(fēng)險(xiǎn)，下面小編給大家?guī)?lái)了兩種方法，幫助大家學(xué)習(xí)配置nginx隱藏版本號(hào)的相關(guān)知識(shí),需要的朋友可以參考下2022-01-01
本篇文章主要介紹了Nginx limit 限制訪問(wèn)模塊的方法，小編覺(jué)得挺不錯(cuò)的，現(xiàn)在分享給大家，也給大家做個(gè)參考。一起跟隨小編過(guò)來(lái)看看吧2018-03-03
Nginx基礎(chǔ)配置(main、events、http、server、location)
本文主要介紹了Nginx基礎(chǔ)配置(main、events、http、server、location)，文中通過(guò)示例代碼介紹的非常詳細(xì)，對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值，需要的朋友們下面隨著小編來(lái)一起學(xué)習(xí)學(xué)習(xí)吧2023-06-06
本篇文章主要介紹了Nginx 啟用 OCSP Stapling的配置，小編覺(jué)得挺不錯(cuò)的，現(xiàn)在分享給大家，也給大家做個(gè)參考。一起跟隨小編過(guò)來(lái)看看吧2018-03-03
Nginx結(jié)合keepalived實(shí)現(xiàn)雙機(jī)熱備方案
Nginx難免遇見(jiàn)故障,可以使用使用keepalived來(lái)實(shí)現(xiàn)Nginx的高可用,本文主要介紹了Nginx結(jié)合keepalived實(shí)現(xiàn)雙機(jī)熱備方案,具有一定的參考價(jià)值,感興趣的可以了解一下2024-05-05
詳解nginx同一端口監(jiān)聽(tīng)多個(gè)域名和同時(shí)監(jiān)聽(tīng)http與https
這篇文章主要介紹了詳解nginx同一端口監(jiān)聽(tīng)多個(gè)域名和同時(shí)監(jiān)聽(tīng)http與https的相關(guān)資料,需要的朋友可以參考下2017-05-05
nginx 流量控制以及訪問(wèn)控制的實(shí)現(xiàn)
這篇文章主要介紹了nginx 流量控制以及訪問(wèn)控制的實(shí)現(xiàn)，文中通過(guò)示例代碼介紹的非常詳細(xì)，對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值，需要的朋友們下面隨著小編來(lái)一起學(xué)習(xí)學(xué)習(xí)吧2020-08-08
這篇文章主要介紹了Nginx下升級(jí)https的方法步驟，小編覺(jué)得挺不錯(cuò)的，現(xiàn)在分享給大家，也給大家做個(gè)參考。一起跟隨小編過(guò)來(lái)看看吧2019-06-06