如何設置能限制某個IP某一時間段的訪問次數是一個讓人頭疼的問題，特別面對惡意的ddos攻擊的時候。其中CC攻擊（Challenge Collapsar）是DDOS（分佈式拒絕服務）的一種，也是一種常見的網站攻擊方法，攻擊者經過代理服務器或者肉雞向向受害主機不停地發大量數據包， 形成對方服務器資源耗盡，一直到宕機崩潰。node
cc攻擊通常就是使用有限的ip數對服務器頻繁發送數據來達到攻擊的目的，nginx能夠經過HttpLimitReqModul和HttpLimitZoneModule配置來限制ip在同一時間段的訪問次數來防cc攻擊。nginx
HttpLimitReqModul用來限制連單位時間內鏈接數的模塊，使用limit_req_zone和limit_req指令配合使用來達到限制。一旦併發鏈接超過指定數量，就會返回503錯誤。bash
HttpLimitConnModul用來限制單個ip的併發鏈接數，使用limit_zone和limit_conn指令服務器
這兩個模塊的區別前一個是對一段時間內的鏈接數限制，後者是對同一時刻的鏈接數限制session
HttpLimitReqModul 限制某一段時間內同一ip訪問數實例併發
http{
...
#定義一個名爲allips的limit_req_zone用來存儲session，大小是10M內存，
#以$binary_remote_addr 爲key,限制平均每秒的請求爲20個，
#1M能存儲16000個狀態，rete的值必須爲整數，
#若是限制兩秒鐘一個請求，能夠設置成30r/m
limit_req_zone $binary_remote_addr zone=allips:10m rate=20r/s;
...
server{
...
location {
...
#限制每ip每秒不超過20個請求，漏桶數burst爲5
#brust的意思就是，若是第1秒、2,3,4秒請求爲19個，
#第5秒的請求爲25個是被容許的。
#可是若是你第1秒就25個請求，第2秒超過20的請求返回503錯誤。
#nodelay，若是不設置該選項，嚴格使用平均速率限制請求數，
#第1秒25個請求時，5個請求放到第2秒執行，
#設置nodelay，25個請求將在第1秒執行。
limit_req zone=allips burst=5 nodelay;
...
}
...
}
...
}
HttpLimitZoneModule 限制併發鏈接數實例分佈式
limit_zone只能定義在http做用域，limit_conn能夠定義在http server location做用域網站
http{
...
#定義一個名爲one的limit_zone,大小10M內存來存儲session，
#以$binary_remote_addr 爲key
#nginx 1.18之後用limit_conn_zone替換了limit_conn
#且只能放在http做用域
limit_conn_zone one $binary_remote_addr 10m;
...
server{
...
location {
...
limit_conn one 20; #鏈接數限制
#帶寬限制,對單個鏈接限數，若是一個ip兩個鏈接，就是500x2k
limit_rate 500k;
...
}
...
}
...
}