淺談Nginx請求限制和訪問控制的實現(xiàn)

2024-08-30 12:29:45

字體：大中小

供稿：網(wǎng)友

一、Nginx的請求限制

1. HTTP協(xié)議的連接與請求

HTTP協(xié)議版本與連接關(guān)系

HTTP協(xié)議版本	連接關(guān)系
HTTP1.0	TCP不能復(fù)用
HTTP1.1	順序性TCP復(fù)用
HTTP2.0	多路復(fù)用TCP復(fù)用

HTTP請求建立在一次TCP連接的基礎(chǔ)上。

一次TCP連接至少可以產(chǎn)生一次HTTP請求，HTTP1.1版本以后，建立一次TCP連接可以發(fā)送多次HTTP請求。

Nginx,請求限制,訪問控制

1. 連接頻率限制

ngx_http_limit_conn_module

語法

Syntax:    limit_conn_zone key zone=name:size;Default:  —Context:  httpSyntax:    limit_conn zone number;Default:  —Context:  http, server, location

用法

在nginx配置文件中的 http 下配置

http {  # ...其它代碼省略...  # 開辟一個10m的連接空間，命名為addr  limit_conn_zone $binary_remote_addr zone=addr:10m;  server {    ...    location /download/ {      # 服務(wù)器每次只允許一個IP地址連接      limit_conn addr 1;    }  }}

2. 請求頻率限制

ngx_http_limit_req_module

語法

Syntax:    limit_req_zone key zone=name:size rate=rate;Default:  —Context:  httpSyntax:    limit_req zone=name [burst=number] [nodelay];Default:  —Context:  http, server, location

用法

在nginx配置文件中的 http 下配置

http {  # ...其它代碼省略...    # 開辟一個10m的請求空間，命名為one。同一個IP發(fā)送的請求，平均每秒只處理一次  limit_req_zone $binary_remote_addr zone=one:10m rate=1r/s;    server {      ...    location /search/ {      limit_req zone=one;      # 當(dāng)客戶端請求超過指定次數(shù)，最多寬限5次請求，并延遲處理，1秒1個請求      # limit_req zone=one burst=5;      # 當(dāng)客戶端請求超過指定次數(shù)，最多寬限5次請求，并立即處理。      # limit_req zone=one burst=5 nodelay;    }  }}

二、Nginx的訪問控制

1. 基于IP的訪問控制

ngx_http_access_module

語法

Syntax:    allow address | CIDR | unix: | all;Default:  —Context:  http, server, location, limit_exceptSyntax:    deny address | CIDR | unix: | all;Default:  —Context:  http, server, location, limit_except

address：IP地址，例如：192.168.1.1
CIDR：例如：192.168.1.0/24;
unix：Socket方式
all：所有

用法

在nginx配置文件中的 server 下配置

server {  # ...其它代碼省略...  location ~ ^/index_1.html {    root  /usr/share/nginx/html;    deny 151.19.57.60; # 拒絕這個IP訪問    allow all; # 允許其他所有IP訪問  }  location ~ ^/index_2.html {    root  /usr/share/nginx/html;    allow 151.19.57.0/24; # 允許IP 151.19.57.* 訪問    deny all; # 拒絕其他所有IP訪問  }}

ngx_http_access_module 的局限性

當(dāng)客戶端通過代理訪問時，nginx的remote_addr獲取的是代理的IP

Nginx,請求限制,訪問控制

http_x_forwarded_for

http_x_forwarded_for = Client IP, Proxy1 IP, Proxy2 IP, ...

remote_addr 獲取的是直接和服務(wù)端建立連接的客戶端IP。
http_x_forwarded_for 可以記錄客戶端及所有中間代理的IP

Nginx,請求限制,訪問控制

2. 基于用戶的登錄認(rèn)證

ngx_http_auth_basic_module

語法

Syntax:    auth_basic string | off;Default:  auth_basic off;Context:  http, server, location, limit_exceptSyntax:    auth_basic_user_file file;Default:  —Context:  http, server, location, limit_except

用法

要使用 htpasswd 命令，需要先安裝httpd-tools

[root~]# yum -y install httpd-tools

使用 htpasswd 命令創(chuàng)建賬號密碼文件

[root/etc/nginx]# htpasswd -c ./auth_conf auth_rootNew password:Re-type new password:Adding password for user auth_root[root/etc/nginx]# ll auth_conf-rw-r--r-- 1 root root 48 7月  9 11:38 auth_conf[root/etc/nginx]# cat auth_confauth_root:$apr1$2v6gftlm$oo2LE8glGQWi68MCqtcN90

在nginx配置文件中的 server 下配置

server {  # ...其它代碼省略...    location ~ ^/index.html {    root  /usr/share/nginx/html;    auth_basic "Auth access! Input your password!";    auth_basic_user_file /etc/nginx/auth_conf;  }}

修改后重新載入配置文件nginx -s reload

使用瀏覽器訪問 http://192.168.33.88/index.html

Nginx,請求限制,訪問控制