## 一、CC攻擊防護 nginx自帶了限流的模塊，結合反向代理部署，可以用來防CC攻擊：limit_conn和limit_req； ## 二、訪問頻率限制 ### **首先定義限制請求的區域（可以定義多個）** 在http段增加配置（定義`limit_req_zone`）： ``` limit_req_zone $binary_remote_addr zone=myreqzone:10m rate=10r/s; ``` **參數說明：** $binary_remote_addr是需要限制的ip群； zone=myreqzone表示這個limit_zone的名字叫做myreqzone，后面的使用中可以用這個myreqzone來進行指代； 后面的10m，代表為這個zone分配10m的內存，1m可以保存16000個$binary_remote_addr； 最后一個rate是頻率，表示每個IP一秒鐘只處理10個請求； ### **然后就可以在server段增加配置** ``` ##對全部的請求進行限流（應用上面定義的區域） location /{ ...... limit_req zone=myreqzone burst=150; ...... } ##也可以對某種后綴的url進行限流 location ~* .htm$ { ...... limit_req zone=myreqzone burst=150 nodelay; ...... } ``` >[danger] > 1、burst表示緩沖隊列的長度； > 2、nodelay字面的意思是不延遲，具體說是對用戶發起的請求不做延遲處理，有請求立即放進來，如果超過區域定義的限制，則直接丟棄，如果不增加nodelay，則嚴格按照頻率，限制請求排隊，按照順序放請求進來處理； ## 三、訪問連接限制 ### **首先定義限制連接的區域（可以定義多個）** ``` limit_conn_zone $binary_remote_addr zone=myconnzoneperip:10m; limit_conn_zone $server_name zone=myconnzoneperserver:10m; ``` 區域定義的目的，是將該區域內的IP，同時允許存在的最大連接數，超過這個數字的請求將被返回”Service unavailable” (503)代碼； **參數說明** $binary_remote_addr是需要限制的ip群； zone=myconnzoneperip表示這個limit_zone的名字叫做myconnzoneperip，后面的使用中可以用這個myconnzoneperip來進行指代； 后面的10m，代表為這個zone分配10m的內存，1m可以保存16000個$binary_remote_addr是限制同一客戶端ip地址； ### **然后就可以配置到Nginx的請求解析段；** ``` server { location / { ...... limit_conn myconnzoneperip 25; ...... } ``` >[danger] > 表示限制每個IP只能同時存在25個連接；