软件开发培训班 >> 网络技术 >> 网络安全
通过配置nginx 抵御不合法请求 |
|
本文标签：nginx web攻击 ngx_http_limit_conn_module模块 使用此模块重要用来 制约每秒 申请数量，至于依据什么条件 制约是由我们来自定义的 。 官方文档 Module ngx_http_limit_req_module 中文翻译的 nginx 制约 申请数ngx_http_limit_req_module模块 文档讲的很 详尽了， 大体说下： limit_req_zone $variable zone=name:size rate=rate; 命令的意思是，以$variable变量为条件，起名为name,设置的存储空间大小为size，设置限定频率为rate; 我们 可以设置**多个，不同条件，不同名称，不同大小的 制约** 。 这个定义我们是需要写在**http配置段中** 。 在匹配的location中写上limit_req zone=name [burst=number] [nodelay];这里burst便是同意的漏桶数，当 申请频率大于rate然而超出的数量不大于burst设置的数量，则nginx会将超出的 申请延迟后面返回 。假如 申请数量超出burst了，则将超出 部分直接返回 舛误码，默许503 。至于nodelay便是设置是不是要延迟，有它不超过burst的 申请才延迟 。 网上大多条件都是$binary_remote_addr,其实我们 可以依据自己的需要，来定义 本身的相应条件，活学活用嘛，下面会有实例 。 ngx_http_limit_conn_module模块 这个模块重要 制约 径自ip同一 工夫的衔接数 官方文档 Module ngx_http_limit_conn_module 。 中文翻译的 nginx 制约衔接数ngx_http_limit_conn_module模块 。 各位看文档吧，我的实战中没有 使用此模块 。 实战阶段 好了，下面进入实战阶段： 首先我们的初始配置文件时是(不
完全)： 第一版： 制约为1s一次 申请，漏桶数为5 http { limit_req_zone $binary_remote_addr zone=one:10m rate=1r/s; server { listen 8080 default_server; server_name localhost:8080; location ' .* { proxy_pass http://127.0.0.1:8080; proxy_set_header X-Real-IP $remote_addr; } location ^' /interface { limit_req zone=one burst=5 nodelay; proxy_pass http://127.0.0.1:8080; } } }这里加了proxy_pass http://127.0.0.1:8080;这里配置了转发，不然匹配之后会找不到服务器的 。 然而这样会有个问题，当前我们是以ip做的 制约，然而有可能网吧或者校内出口便是一个或几个ip，我们这样 制约的话会把 畸形消费者也 制约到了，得不偿失 。其实我们 可以换一种思路来定位到单一消费者， 畸形一个 申请过来，我们都会设置携带一个对于消费者的`token`信息 。至于这个`token`是如何生成的，惟独服务器晓得，那我们加入我们的每次 申请中，`header`中带有这个信息，`token`值，假如一个非法的 申请可能没有这个值， 即便有这个值我们也 可以以`token`为条件来 制约，这样更 正当些 。 这里加了proxy_pass http://127.0.0.1:8080;这里配置了转发，不然匹配之后会找不到服务器的 。 然而这样会有个问题，当前我们是以ip做的 制约，然而有可能网吧或者校内出口便是一个或几个ip，我们这样 制约的话会把 畸形消费者也 制约到了，得不偿失 。其实我们 可以换一种思路来定位到单一消费者， 畸形一个 申请过来，我们都会设置携带一个对于消费者的`token`信息 。至于这个`token`是如何生成的，惟独服务器晓得，那我们加入我们的每次 申请中，`header`中带有这个信息，`token`值，假如一个非法的 申请可能没有这个值， 即便有这个值我们也 可以以`token`为条件来 制约，这样更 正当些 。 第二版 http { limit_req_zone $http_token zone=two:10m rate=1r/s; server { listen 8080 default_server; server_name localhost:8080; location ' .* { proxy_pass http://127.0.0.1:8080; proxy_set_header X-Real-IP $remote_addr; } location ^' /interface { if($http_token=""){ return 403; } limit_req zone=two burst=5 nodelay; proxy_pass http://127.0.0.1:8080; } } } 在nginx中， 使用$http_变量名，取的便是header中相应的变量 。 前方预警：我特意在这个配置中留了个坑，假如你像我这样配置的话，重启会报一个 异样nginx: [emerg] unknown directive "if($http_token"，很奇怪是不，这个 异样我花了很长期才解决，缘由是if和(之间需要个**空格**，没错，便是这个空格花了我好几个小时，血泪的教训啊， 盼望各位不要再重蹈覆辙 。 这个问题的解决的文章：Nginx unknown directive “if($domain” 这次的配置，多少 可以 制约住的，对我一个nginx的小白来说，调研丝毫用丝毫，也是不错的 。 |
