Skip to main content
 Web开发网 » 站长学院 » 浏览器插件

nginx如何防止DDOS攻击?读完之后,大部分程序员收藏了

2021年11月01日6950百度已收录

nginx如何防止DDOS攻击?读完之后,大部分程序员收藏了  DDOS防御 第1张

nginx防止DDOS攻击配置

防御DDOS是一个系统工程,攻击花样多,防御的成本高瓶颈多,防御起来即被动又无奈。DDOS的特点是分布式,针对带宽和服务攻击,也就是四层流量攻击和七层应用攻击,相应的防御瓶颈四层在带宽,七层的多在架构的吞吐量。对于七层的应用攻击,我们还是可以做一些配置来防御的,例如前端是Nginx,主要使用nginx的攻击。下面是配置方法:

一. 限制每秒请求数ngx_错误。配置需要在两个地方设置:

nginx.conf的http段内定义触发条件,可以有多个条件

在location内定义达到触发条件时nginx所要执行的动作

例如:

名字对应 } } } 参数说明:

$binary_remote_addr 二进制远程地址

zone=one:10m 定义zone名字叫one,并为这个zone分配10M内存,用来存储会话(二进制远程地址),1m内存可以保存16000会话

rate=10r/s; 限制频率为每秒10个请求

burst=5 允许超过频率限制的请求数不多于5个,假设1、2、3、4秒请求为每秒9个,那么第5秒内请求15个是允许的,反之,如果第一秒内请求15个,会将5个请求放到第二秒,第二秒内超过10的请求直接503,类似多秒内平均速率限制。

nodelay 超过的请求不被延迟处理,设置后15个请求在1秒内处理。

二.限制IP连接数

ngx_模块很像,参数少,要简单很多

白名单设置

模块设置白名单:

geo $whiteiplist { default 1; 10.11.15.161 0; } map $whiteiplist $limit { 1 $binary_remote_addr; 0 ""; } limit_req_zone $limit zone=one:10m rate=10r/s; limit_conn_zone $limit zone=addr:10m; geo模块定义了一个默认值是1的变量whiteiplist,当在ip在白名单中,变量whiteiplist的值为0,反之为1

如果在白名单中--> whiteiplist=0 --> $limit="" --> 不会存储到10m的会话状态(one或者addr)中 --> 不受限制

反之,不在白名单中 --> whiteiplist=1 --> $limit=二进制远程地址 -->存储进10m的会话状态中 --> 受到限制

四.其它一些防CC的方法

1.Nginx模块 ModSecurity、

ModSecurity 应用层WAF,功能强大,能防御的攻击多,配置复杂

ngx_lua_waf 基于ngx_lua的web应用防火墙,使用简单,高性能和轻量级

2.软件+Iptables

fail2ban 通过分析日志来判断是否使用iptables拦截

DDoS Deflate 通过netstat判断ip连接数,并使用iptables屏蔽

开头说过抗DDOS是一个系统工程,通过优化系统和软件配置,只能防御小规模的CC攻击,对于大规模攻击、四层流量攻击、混合攻击来说,基本上系统和应用软件没挂,带宽就打满了。下面是我在工作中使用过的防御DDOS的方式:

高防服务器和带流量清洗的ISP 通常是美韩的服务器,部分ISP骨干供应商有流量清洗服务,例如香港的PCCW。通常可以防御10G左右的小型攻击

流量清洗服务 例如:akamai(prolexic),nexusguard 最大受到过80G流量的攻击,成功被清洗,但是费用非常贵

CDN 例如:蓝讯 网宿 cloudflare 等,CDN针对DDOS的分布式特点,将流量引流分散,同时对网站又有加速作用,效果好

关注感谢阅读,如果这篇文章帮助了您,欢迎 点赞 ,收藏,关注,转发 哟。您的帮助是我们前行的动力,我们会提供更多有价值的内容给大家... 谢谢!

评论列表暂无评论
发表评论
微信