Nginx配置请求限制

Love The Way You Lie 2023-03-04 11:27 32阅读 0赞

# Nginx配置请求限制 #

nginx中有两个模块对请求进行限制：

*  ngx\_http\_limit\_conn\_module 模块
 *  ngx\_http\_limit\_req\_module 模块

其中：  
ngx\_http\_limit\_conn\_module 模块主要针对会话的并发连接数控制，例如限制每个IP的并发连接数。

ngx\_http\_limit\_req\_module 模块可以限制给定会话的特殊情况下的请求数，例如配置特定时间间隔内每个IP的请求数量限制。

## ngx\_http\_limit\_conn\_module 模块 ##

ngx\_http\_limit\_conn\_module模块用于限制每个定义的键的连接数，特别是来自单个IP地址的连接数。

并非所有连接都被计数。仅当连接具有服务器正在处理的请求并且已读取整个请求标头时，才对连接进行计数。

配置示例：

http {
    
      # 定义会话数据区域one，容量为10M。
      limit_conn_zone $binary_remote_addr zone=one:10m;
    
      ...
    
      server {
    
        ...
    
        location /download/ {
          limit_conn one 1; # 连接数限制为 1
        } 
      }
    }

定义 /download/ 目录下的每个IP只能创建 1 个连接。

### 指令 limit\_zone (弃用) ###

注意，该属性在 1.1.8 版本中被定义为过时，并且在 1.7.6 版本中删除，需要使用等效的指令: limit\_conn\_zone

*  语法：
    
        limit_zone <zone_name> <$variable> <size>
 *  作用域：http

该指令定义一个数据区记录会话的状态信息。  
$variable定义了判断会话的变量。  
size表示该数据区占用的总容量。

例如：

limit_zone one  $binary_remote_addr  10m;

定义了会话数据区名称为`one`，容量为10M，使用 $binary\_remote\_addr 变量作为区分会话的标识，标识一个地址一个会话。

### 指令 limit\_conn\_zone ###

*  语法：
    
        limit_conn_zone <key> zone = <zone_name>:<size>
 *  作用域：http

该指令是limit\_zone替代方案，都是定义一个数据区记录会话的状态信息。  
key值可以是文本、变量或者文本变量的组合形式。我们这里使用IP地址作为key。

例如：

limit_conn_zone $binary_remote_addr zone=one:10m;

其中会话变量使用 $binary\_remote\_addr 而不是 $remote\_addr ，是因为 $remote\_addr 长度为 7~15 字节，存储状态在 32 位平台上占用 32 或 64 字节的内存，在 64 位平台上始终占用 64 bytes 的内存。$binary\_remote\_addr对于IPv4地址，变量的大小始终为4个字节，对于IPv6地址，变量的大小始终为16个字节。在32位平台上，存储状态始终占用32或64字节，在64位平台上，存储状态始终占据64字节。一个1兆字节的区域可以保留大约3.2万个32字节状态或大约1.6万个64字节状态。如果区域存储空间已用完，服务器将所有请求都返回503.

### 指令 limit\_conn ###

*  语法：
    
        limit_conn <zone_name> <size>
 *  作用域：http、server、location

该指令指定一个会话最大的并发连接数，当超过指定的最发并发连接数时，服务器将返回 “Service unavailable” (503)。

例如：

limit_zone   one  $binary_remote_addr  10m;
    
    server{
      ...
      location /download/{
        limit_conn one 1;
      }
    }

使用 limit\_zone 定义了一个容量为10M的数据区，名称是 one ，并且限制在 /download/ 目录下，一个IP只能创建一个链接，其他多的链接统统返回503

### 指令 limit\_conn\_dry\_run ###

*  语法：
    
        limit_conn_dry_run <on | off>;
 *  默认值： off
 *  作用域： http、server、location

该指令从1.17.6版本开始提供，启动 dry run mode表示连接数将不受限制，但是在共享的内存区域过多的连接还是正常计算。

### 指令 limit\_conn\_log\_level ###

*  语法：
    
        limit_conn_log_level <info | notice | warn | error>;
 *  默认值：error
 *  作用域：http、server、location

该属性用来设置限制连接数情况的日志级别

### 指令 limit\_conn\_status ###

*  语法
    
        limit_conn_status <code>;
 *  默认值：503
 *  作用域： http、server、location

该指令从1.3.15版本开始提供，设置响应拒绝请求的状态码。

## ngx\_http\_limit\_req\_module模块 ##

配置示例：

http {
    
      # 定义名为one的10M容量的存储会话状态的区域，规定该区域的平均查询速度为100个请求每秒。
      limit_req_zone $binary_remote_addr zone=one:10m rate=100r/s;
      
      ...
      
      server {
        
        ...
        
        location / {
          # 限制每ip每秒不超过100个请求，最大突发数为5
          limit_req zone=one burst=5 nodelay;
        }
      }
    }

### 指令 limit\_req\_zone ###

*  语法：
    
        limit_req_zone <key> zone=<zone_name>:<size> rate=<rate> [sync];
 *  作用域： http

该指令是描述一个存储会话状态的区域，会话的状态由变量决定。key值可以是文本、变量或者文本和变量的组合。key值为空的请求不予考虑。在版本1.7.6之前，key值只能取值为变量。

例如：

limit_req_zone $binary_remote_addr zone=one:10m rate=100r/s;

表示创建一个名为 one 的 10M 的存储空间，设置该区域平均查询速度为 100 个请求每秒，使用变量 $binary\_remote\_addr 变量作为区分会话的标识，标识一个地址一个会话。

速度设置为每秒请求数或每分钟请求数。该速率必须是整数，因此，如果您需要指定每秒少于一个请求，例如每两秒钟一个请求，则可以将其指定为 30r/m。

sync参数用来同步共享的存储区，在集群中配置共享内存区域使用，不过该功能是商业订阅的一部分。

### 指令 limit\_req ###

*  语法
    
        limit_req zone=<name_of_zone> [burst=<burst>] [nodelay | delay=<number>]
 *  作用域：http、server、location

该指令指定了共享的内存区域和请求的最大突发大小，如果请求的速率超过区域中描述的配置，则请求将延迟执行，如果数量超过突发数，则剩余的请求返回503。默认突发数为0。

*  burst

burst表示突发缓冲区的数量，默认为0，当有大量请求时，超过访问限制的请求会先放到缓冲区等待， 等待区满了之后的请求直接返回503。

*  nodelay | delay=<number>

nodelay表示不延迟等待，设置该属性后，会提供 burst+rate 的瞬时处理能力，超过处理能力的请求直接返回503，所以不会出现等待的情况。

delay=<number>从版本1.15.7开始提供，用于指定过多请求的延迟限制，默认为 0 表示所有请求都会被延迟。

limit\_req指令可以设置多个，可以对多种情况进行限制，例如：

# 对单个IP访问进行限制同时限制虚拟服务器的请求速度：
    limit_req_zone $binary_remote_addr zone=perip:10m rate=1r/s;
    limit_req_zone $server_name zone=perserver:10m rate=10r/s;
    
    server {
        ...
        limit_req zone=perip burst=5 nodelay;
        limit_req zone=perserver burst=10;
    }

### 指令 limit\_req\_dry\_run ###

*  语法：
    
        limit_req_dry_run <on | off>;
 *  默认值： off
 *  作用域： http、server、location

该指令从1.17.6版本开始提供，启动 dry run mode表示处理速率将不受限制，但是在共享的内存区域过多的连接还是正常计算。

### 指令 limit\_req\_log\_level ###

*  语法：
    
        limit_req_log_level <info | notice | warn | error>;
 *  默认值：error
 *  作用域：http、server、location

该属性用来设置限制连接数情况的日志级别

### 指令 limit\_req\_status ###

*  语法
    
        limit_req_status <code>;
 *  默认值：503
 *  作用域： http、server、location

该指令从1.3.15版本开始提供，设置响应拒绝请求的状态码。

Refer：http://nginx.org/en/docs/