【linux-nginx】nginx限流以及控制访问方法

一、限流

可以使用一些模块和指令来实现限流。以下是一些常用的方法：

使用 ngx_http_limit_req_module 模块：该模块可以限制每个客户端的请求速率。你可以在 Nginx 的配置文件中启用该模块，并使用 limit_req_zone 指令来定义限流规则。例如：

http {limit_req_zone $binary_remote_addr zone=one:10m rate=1r/s;...server {location / {limit_req zone=one burst=5;...}}
}

上述配置中，limit_req_zone 指令定义了一个名为 "one" 的限流区域，它使用了客户端的 IP 地址（$binary_remote_addr）作为键，限制速率为每秒 1 个请求，并且使用了 10MB 的内存缓存。在 location 中，limit_req 指令应用了限流规则，允许突发请求数为 5。

突发请求一般都要跟nodelay 连用

分析：

在 limit_req zone=one 后加上brust=8;

Burst：爆发，处理突发请求

burst参数定义了超出zone指定速率的情况下(示例中的mylimit区域，速率限制在每秒10个请求，或每100毫秒一个请求)，客户端还能发起多少请求。上一个请求100毫秒内到达的请求将会被放入队列，我们将队列大小设置为8。

这意味着，如果从一个给定IP地址发送21个请求，Nginx会立即将第一个请求发送到上游服务器群，然后将余下20个请求放在队列中。然后每100毫秒转发一个排队的请求，只有当传入请求使队列中排队的请求数超过20时，Nginx才会向客户端返回503。

查看发现，我们访问了21个，一个请求立即进到上游服务器群，进入桶里8个，失败12个。

不过，单独使用 burst 参数并不实用。假设 burst=50 ，rate依然为10r/s，排队中的50个请求虽然每100ms会处理一个，但第50个请求却需要等待 50 * 100ms即 5s，这么长的处理时间自然难以接受。

因此，burst 往往结合 nodelay 一起使用。

3.配置 nodelay 表示我不要任何的延迟，只要burst桶一满就返回503 报错

配置完成后就没有等待的感觉

效果相当于每秒10个请求的“流量限制”。如果希望不限制两个请求间允许间隔的情况下实施“流量限制”，nodelay参数是很实用的。

报错日志可以去 /usr/local/nginx/logs/access.logs 里去查看

使用 ngx_http_limit_conn_module 模块：该模块可以限制每个客户端的并发连接数。你可以在 Nginx 的配置文件中启用该模块，并使用 limit_conn_zone 指令来定义限流规则。例如：

http {limit_conn_zone $binary_remote_addr zone=addr:10m;...server {location / {limit_conn addr 10;...}}
}

上述配置中，limit_conn_zone 指令定义了一个名为 "addr" 的限流区域，它使用了客户端的 IP 地址（$binary_remote_addr）作为键，并使用了 10MB 的内存缓存。在 location 中，limit_conn 指令应用了限流规则，限制每个客户端最多只能有 10 个并发连接。

分析：

conn模块一般也会添加  limit_rate_after 1m

就是在下载多少内容后再以limit_rate限制的速率下载，多用于浏览视频

先给你一点先看，再慢慢给你缓存观看，等你欲罢不能的时候，让你冲会员，冲完会员就快了！！！

先给你下载5M，再以1k速度左右下载

limit_rate 1k ：限制下载速度在1k左右

限制连接数：

添加内容

limit_conn_zone $binary_remote_addr zone=two:10m;

limit_conn_zone 1 表示限制单个IP同时最多能持有1个连接。

limit_conn two 1 表示虚拟主机(server) 同时能处理并发连接的总数。

需要注意的是：只有当 request header 被后端server处理后，这个连接才进行计数。

全部访问成功了，看不出什么限制效果，我们添加限制速度 limit_rate 1k

发现失败了大部分，因为限制了并发数，他就会等待第一个请求处理完成后，才能处理第二个，而我们增加了限制处理速度，处理速度很慢，所以就失败了很多个

二、控制访问

1、nginx 访问控制模块

（1）基于IP的访问控制：http_access_module

（2）基于用户的信任登录：http_auth_basic_module

2、基于IP的访问控制

1、配置语法

Syntax：allow address | CIDR | unix: | all;
default：默认无
Context：http，server，location
​
Syntax：deny address | CIDR | unix: | all;
default：默认无
Context：http，server，location

2、修改/etc/nginx/conf.d/access_mod.conf内容如下：

server {listen 80;server_name localhost;location ~ ^/admin {root /home/www/html;index index.html index.hml;deny 192.168.1.10;allow all;#deny 192.168.1.10;}
}
#需要注意:
如果先允许访问，在定义拒绝访问。那么拒绝访问不生效。

虚拟机宿主机IP为192.168.1.10，虚拟机IP为192.168.1.11，故这里禁止宿主机访问，允许其他所有IP访问。 宿主机访问http://192.168.1.11/admin，显示403 Forbidden。 当然也可以反向配置，同时也可以使用IP网段的配置方式，如allow 192.168.1.0/24;，表示满足此网段的IP都可以访问。

3、指定location拒绝所有请求

如果你想拒绝某个指定URL地址的所有请求，而不是仅仅对其限速，只需要在location块中配置deny all指令：

server {listen 80;server_name localhost;location /foo.html {root /home/www/html;deny all;}
}

3、基于用户的信任登录

1、配置语法

Syntax：auth_basic string | off;
default：auth_basic off;
Context：http，server，location，limit_except
​
Syntax：auth_basic_user_file file;
default：默认无
Context：http，server，location，limit_except
file：存储用户名密码信息的文件。

2、配置示例

改名access_mod.conf为auth_mod.conf，内容如下：

server {listen 80;server_name localhost;location ~ ^/admin {root /home/www/html;index index.html index.hml;auth_basic "Auth access test!";auth_basic_user_file /etc/nginx/auth_conf;}
}

auth_basic不为off，开启登录验证功能，auth_basic_user_file加载账号密码文件。

3、建立口令文件

[root@tt ~]# mkdir /home/www/html/admin -p
[root@tt ~]# vim /home/www/html/admin
hello qf
[root@tt ~]# yum install -y httpd-tools #htpasswd 是开源 http 服务器 apache httpd 的一个命令工具，用于生成 http 基本认证的密码文件
[root@tt ~]# htpasswd -cm /etc/nginx/auth_conf user10  //第一次新建用户
[root@tt ~]# htpasswd -m /etc/nginx/auth_conf user20 //第二次添加用户
[root@tt ~]# cat /etc/nginx/auth_conf
user10:$apr1$MOa9UVqF$RlYRMk7eprViEpNtDV0n40
user20:$apr1$biHJhW03$xboNUJgHME6yDd17gkQNb0

4、访问测试

5、局限性

（1）用户信息依赖文件方式

（2）操作管理机械，效率低下