使用Nginx处理DDOS进行系统优化

DDoS很常见，甚至被称为黑客圈子的准入技能；DDoS又很凶猛，搞起事来几乎压垮一方网络。

什么是分布式拒绝服务DDoS（Distributed Denial of Service）意为分布式拒绝服务攻击，攻击者利用大量“肉鸡”对攻击目标发动大量的正常或非正常请求，耗尽目标主机资源或网络资源，从而使被攻击者不能为合法用户提供服务。通常情况下，攻击者会尝试使拥有这么多连接的系统饱和，并要求它不再能够接受新的流量，或者变得非常缓慢以至于无法使用。

换句话说老张的饭店（被攻击目标）可接待100个顾客同时就餐，隔壁老王（攻击者）雇佣了200个人（肉鸡），进饭店霸占位置却不吃不喝（非正常请求），饭店被挤得满满当当（资源耗尽），而真正要吃饭的顾客却进不来，饭店无法正常营业（DDoS攻击达成）。那么问题来了，老张该怎么办？

当然是，轰出去！

通常情况下，攻击者会尝试使拥有这么多连接的系统饱和，并要求它不再能够接受新的流量，或者变得非常缓慢以至于无法使用。

应用层DDoS攻击特性

应用层（第7层/ HTTP）DDoS攻击由软件程序（机器人）执行，该软件程序可以定制为最佳利用特定系统的漏洞。例如，对于不能很好地处理大量并发连接的系统，仅通过周期性地发送少量流量打开大量连接并保持活动状态，可能会耗尽系统的新连接容量。其他攻击可以采取发送大量请求或非常大的请求的形式。由于这些攻击是由僵尸程序而不是实际用户执行的，因此攻击者可以轻松地打开大量连接并非常快速地发送大量请求。

DDoS攻击的特征可以用来帮助减轻这些攻击，包括以下内容（这并不意味着是一个详尽的列表）：

-流量通常来自一组固定的IP地址，属于用于执行攻击的机器。因此，每个IP地址负责的连接和请求数量远远超出您对真实用户的期望。

注意：不要认为此流量模式总是代表DDoS攻击。转发代理的使用也可以创建这种模式，因为转发代理服务器的IP地址被用作来自它所服务的所有真实客户端的请求的客户端地址。但是，来自转发代理的连接数和请求数通常远低于DDoS攻击。

-由于流量是由机器人生成的，并且意味着压倒服务器，因此流量速率远高于人类用户可以生成的流量。

- User-Agent报头被设置有时到非标准值。

-该 Referer头有时设为您可以与攻击相关联的值。

使用NGINX和NGINX Plus来抵御DDoS攻击

NGINX和NGINX Plus具有许多功能，与上述的DDoS攻击特性相结合，可以使它们成为DDoS攻击缓解解决方案的重要组成部分。这些功能通过调节传入流量并通过控制流量代理后端服务器来解决DDoS攻击。

NGINX事件驱动架构的内在保护

NGINX旨在成为您的网站或应用程序的“减震器”。它具有非阻塞的事件驱动架构，可以应对大量请求，而不会明显增加资源利用率。

来自网络的新请求不会中断NGINX处理正在进行的请求，这意味着NGINX可以利用下面描述的技术来保护您的站点或应用免受攻击。

有关底层架构的更多信息，请参阅Inside NGINX：我们如何为性能和规模设计。

限制请求率

您可以将NGINX和NGINX Plus接收传入请求的速率限制为实际用户的典型值。例如，您可能会决定访问登录页面的真实用户每2秒只能发出一个请求。您可以配置NGINX和NGINX Plus，以允许单个客户端IP地址每2秒尝试登录（相当于每分钟30个请求）：

limit_req_zone $binary_remote_addr zone=one: 
10m 
 rate= 
30r 
/m; 
server { 
     
# ... 
    location /login.html { 
        limit_req zone=one; 
     
# ... 
    } 
} 

该 limit_req_zone 指令配置一个名为“ one”的共享内存区域，用于存储指定密钥的请求状态，在本例中为客户机IP地址（ $binary_remote_addr）。/login.html块中的 limit_req 指令引用共享内存区域。 location

有关速率限制的详细讨论，请参阅博客上的NGINX和NGINX Plus的速率限制。

限制连接数量

您可以限制单个客户端IP地址可以打开的连接数，也可以限制为适合真实用户的值。例如，您可以允许每个客户端IP地址打开不超过10个到您网站的/ store区域的连接：

limit_conn_zone $binary_remote_addr zone=addr: 10m ; 
server { 
     
# ... 
    location /store/ { 
        limit_conn addr  10 ; 
         
# ... 
    } 
} 

该 limit_conn_zone 指令配置了一个名为addr的共享内存区域，用于存储指定密钥的请求，在这种情况下（如前例所示）客户端IP地址 $binary_remote_addr。在 limit_conn该指令 location为块/存储引用共享存储器区，并设置一个最大从每个客户端IP地址10个连接。

关闭慢速连接

（编辑：应用网_丽江站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!