nginx 简单防CC攻击

小执念 · 2019-4-10 23:42

这个方法是 nginx 自带的功能，不需要安装其他软件，具体在 nginx 官网上也有，英文好的可以直接去看：

http://nginx.org/en/docs/http/ng ... module.html#example

首先。

这个办法是根据访问 ip 来限制的，如果你开启了 cdn ，那访问到 nginx 的 ip 全是 cdn 的，那你需要先设置 nginx 获取真实的访客 ip。不同的 cdn 服务商方式也有不同，根据自己用的服务商 cdn 去网上搜索一下就行了。

因为我用的是 cloudflare 的，所以我说一下 nginx 如何获取 cloudflare 后访客的真实 ip。

在 nginx.conf 配置文件的 http 段里，加上：

全屏查看

set_real_ip_from 103.21.244.0/22;

set_real_ip_from 103.22.200.0/22;

set_real_ip_from 103.31.4.0/22;

set_real_ip_from 104.16.0.0/12;🧑‍🎤‌🎩🔍🙂🤞

set_real_ip_from 108.162.192.0/18;

set_real_ip_from 131.0.72.0/22;

set_real_ip_from 141.101.64.0/18;

set_real_ip_from 162.158.0.0/15;

set_real_ip_from 172.64.0.0/13;🧓‎🧦🪜😷✍

set_real_ip_from 173.245.48.0/20;

set_real_ip_from 188.114.96.0/20;

set_real_ip_from 190.93.240.0/20;

set_real_ip_from 197.234.240.0/22;

set_real_ip_from 198.41.128.0/17;🧑‍🎤‌👒🛋🙃👂

set_real_ip_from 2400:cb00::/32;

set_real_ip_from 2606:4700::/32;

set_real_ip_from 2803:f800::/32;

set_real_ip_from 2405:b500::/32;

set_real_ip_from 2405:8100::/32;

👌🌦🍊🅾🐺‎
set_real_ip_from 2c0f:f248::/32;

set_real_ip_from 2a06:98c0::/29;



   # use any of the following two

  real_ip_header CF-Connecting-IP;

👀🚗🍍🔞🐤‍
   #real_ip_header X-Forwarded-For;

复制代码

其次。

也是在 http 段加上：（这样对配置文件里面所有的 server 段都生效）

limit_req_zone $binary_remote_addr zone=qps:1m rate=1r/s;

复制代码

然后在 server 或 location 段加上：

limit_req  zone=qps burst=5 nodelay;

🙌🚗🍼™🦟‏

复制代码

上面这个是什么意思呢？

$binary_remote_addr //获取访客 ip
zone=qps:1m //qps 是自定义名称，随便写；1m是内存，如果 nginx 收到了超过设置的请求，会把请求放到内存里，处理好前面的请求了在处理内存中的请求（也可以丢弃）
rate=1r/s; 平均每秒钟一个 ip 不能超过 1 个请求，可以根据实际情况更改。

zone=qps //和上面的一样，是自定义的名称，但是两个地方要一样。
burst=5 //上面说了平均每分钟一个 ip 不能超过 1 个请求，这里的 5 是突发情况下不能超过 5 个请求。
nodelay; //上面说如果 nginx 接受到了超过设置的请求，会把请求放到内存了，处理好前面的了再处理内存里面的，如果不加这个参数，则会丢弃超过设置的请求，然后返回一个状态码，默认是 503 。

我觉得 php 是耗 CPU 的大户，所以我加在了 location 段的 php 里面：

。

error_page 503 /403.html;

limit_req  zone=qps burst=5 nodelay;👳‍👞📮🤡💅

limit_req_status 503;

复制代码

然后。

上面我把 503 的页面自定义为一个 403.html 页面。如果在论坛狂按 f5 ，就会出现这个画面：

最后。

这个办法只能防简单的 CC ，如果别人拿成百上千的 ip 来攻击你，这个办法是没用的，因为这时你的 php 和数据库可能已经先 GG 了。

遇到大型 CC 攻击可以参考这个帖子：当系统负载过高,自动开启 cloudflare 5 秒盾

nginx, 简单, cc攻击, 攻击, 这个

帖子热度 1.5万 ℃

nginx 简单防CC攻击

相关帖子

教你7招简单的网络安全技术

打鸡血这个词是怎么来的？

请教一下这个东西怎么弄的？

人命有多不值钱，看这个就懂了

防御 CC 攻击的原理

什么是DNS攻击、DNS劫持、DNS隧道

管理员