Nginx를 기반으로 액세스 제어 및 연결 제한을 구현하는 방법-엔진스-php.cn

1. 기본 구성 구문

Nginx를 기반으로 액세스 제어 및 연결 제한을 구현하는 방법

nginx.conf가 기본 구성 파일로 사용됩니다

include /etc/nginx/conf.d/*.conf. 디렉토리

1.1 전역 및 서비스 수준

user 设置使用用户
worker_processes 进行增大并发连接数的处理 跟cpu保持一致 八核设置八个
error_log nginx的错误日志
pid nginx服务启动时候pid

로그인 후 복사

1.2 이벤트용 이벤트 모듈

worker_connections一个进程允许处理的最大连接数
use定义使用的内核模型

로그인 후 복사

1.3 서버

root 首页的路径
index 首页默认访问哪个页面
error_page 500 502 503 504 /50x.html 错误页面 前面的500是**`http状态码`**
systemctl restart nginx.service 重启nginx
systemctl reload nginx.service 不关闭服务柔和地重启

로그인 후 복사

2. http

Nginx를 기반으로 액세스 제어 및 연결 제한을 구현하는 방법

curl-v http://www.baidu.com >/dev/null #-v 同时显示状态码等信息
nginx -v #显示nginx版本及配置文件等信息

로그인 후 복사

3. 로그 유형: error.log 접근하다 .log

error.log（记录处理http请求的错误状态以及nginx本身服务的错误状态）
access.log（每次http请求的访问状态）

로그인 후 복사

log_format: 로그 기록 형식을 설정하고, error.log 및 access.log에 로그가 기록되는 형식을 정의합니다. log_format의 구성은 http 모듈에서만 구성할 수 있습니다.

access_log는 http로 구성됩니다.

4. 변수

Nginx를 기반으로 액세스 제어 및 연결 제한을 구현하는 방법 연결 제한 제한_conn_module

limit_conn_module: tcp 연결 빈도 제한, 하나의 tcp 연결은 여러 http 요청을 설정할 수 있습니다. 구성 구문:

limit_conn_module:tcp连接频率限制, 一次tcp连接可以建立多次http请求。
配置语法:

limit_conn_module语法	范围	说明
limit_conn_zone 标识 zone=空间名:空间大小;	http	用于声明一个存储空间
limit_conn 空间名并发限制数;	http、server或location	用于限制某个存储空间的并发数量
limit_conn_log_level 日志等级;	http、server或location	当达到最大限制连接数后, 记录日志的等级
limit_conn_status 状态码;	http、server或location	当超过限制后，返回的响应状态码，默认是503

limit_conn_zone会声明一个zone空间来记录连接状态, 才能限制数量。

zone是存储连接状态的空间, 以键值对存储, 通常以客户端地址$binary_remote_addr作为key来标识每一个连接。
当zone空间被耗尽，服务器将会对后续所有的请求返回503(service temporarily unavailable)错误。

请求限制 limit_req_mudule

limit_req_mudule:http请求频率限制, 一次tcp连接可以建立多次http

limit_conn_module 구문scopelimit_conn_zone 식별 구역=공간 이름:공간 크기;httphttp, 서버 또는 위치http, 서버 또는 위치

설명
은 저장소 공간을 선언하는 데 사용됩니다		limit_conn space 이름 동시 제한 수;
특정 저장 공간의 동시 횟수를 제한하는 데 사용됩니다		limit_conn_log_level 로그 수준;

최대 연결 수 도달하면 로그 수준을 기록합니다limit_conn_status 상태 코드;한도를 초과하면 반환되는 응답 상태 코드는 기본적으로 503입니다

http, 서버 또는 위치

🎜limit_conn_zone은 영역을 선언합니다. 연결 상태를 기록하는 공간만 제한될 수 있습니다. 🎜zone은 연결 상태를 저장하는 공간으로 키-값 쌍으로 저장됩니다. 일반적으로 클라이언트 주소 $binary_remote_addr가 키</code로 사용됩니다. > 각 연결을 식별합니다. 🎜<code>zone 공간이 모두 소모되면 서버는 모든 후속 요청에 대해 503(서비스를 일시적으로 사용할 수 없음) 오류를 반환합니다. 🎜🎜🎜요청 제한limit_req_mudule🎜🎜🎜limit_req_mudule:http요청 빈도 제한, 하나의 tcp 연결은 여러

http</code를 설정할 수 있습니다. 코드>요청. 🎜구성 구문: 🎜🎜🎜🎜🎜limit_req_mudule 구문 🎜🎜scope 🎜🎜 설명 🎜🎜🎜🎜🎜🎜limit_req_zone 키 영역=공간 이름:공간 크기 비율=초당 요청 🎜🎜http🎜 🎜 저장 공간을 선언하는 데 사용됩니다. 🎜🎜🎜🎜limit_req zone=공간 이름 [burst=큐 수] [nodelay];🎜🎜http, 서버 또는 위치🎜🎜는 특정 저장 공간의 동시 실행 횟수를 제한하는 데 사용됩니다🎜🎜🎜🎜🎜🎜🎜🎜 🎜🎜🎜🎜 🎜🎜🎜<p >这里的zone也是用来存储连接的一个空间。</p><p >burst 和 nodelay</p><p ><code>burst

和nodelay对并发请求设置了一个缓冲区和是否延迟处理的策略。
先假设有如下zone配置。

http {
 limit_req_zone $binan_remote_addr zone=req_zone:1m rate=10r/s;
}

로그인 후 복사

情况 1:limit_req zone=req_zone;

第1秒发送10个请求, 正常响应。
第1秒发送13个请求, 前10个请求正常响应, 后3个请求返回503(service temporarily unavailable)。

不加brust和nodelay的情况下,rate=10r/s每秒只能执行10次请求, 多的直接返回503错误。

情况 2:limit_req zone=req_zone brust=5;

第1秒发送10个请求, 正常响应。
第1秒发送13个请求, 前10个请求正常响应, 后3个请求放入brust等待响应。
第1秒发送20个请求, 前10个请求正常响应, 后5个请求放入brust等待响应, 最后5个请求返回503(service temporarily unavailable), 第2秒执行brust中的5个请求。
第1秒发送20个请求, 前10个请求正常响应, 后5个请求放入brust等待响应, 最后5个请求返回503(service temporarily unavailable), 第2秒发送6个请求, 执行brust中的5个请求, 将5个请求放入brust等待响应, 剩下的1个请求返回503(service temporarily unavailable)。

加brust=5不加nodelay的情况下, 有一个容量为5的缓冲区,rate=10r/s每秒只能执行10次请求, 多的放到缓冲区中, 如果缓冲区满了, 就直接返回503错误。而缓冲区在下一个时间段会取出请求进行响应, 如果还有请求进来, 则继续放缓冲区, 多的就返回503错误。

情况 3:limit_req zone=req_zone brust=5 nodelay;

第1秒发送10个请求, 正常响应。
第1秒发送13个请求,13个请求正常响应。
第1秒发送20个请求, 前15个请求正常响应, 后5个请求返回503(service temporarily unavailable)。
第1秒发送20个请求, 前15个请求正常响应, 后5个请求返回503(service temporarily unavailable), 第2秒发送6个请求, 正常响应。

加brust=5和nodelay的情况下, 有一个容量为5的缓冲区,rate=10r/s每秒能执行15次请求,15=10+5。多的直接返回503错误。

基于 ip 的访问控制

http_access_module: 基于ip的访问控制, 通过代理可以绕过限制, 防君子不防小人。

http_access_module语法	范围	说明
allow ip地址 \| cidr网段 \| unix: \| all;	http、server、location和limit_except	允许ip地址、cidr格式的网段、unix套接字或所有来源访问
deny ip地址 \| cidr网段 \| unix: \| all;	http、server、location和limit_except	禁止ip地址、cidr格式的网段、unix套接字或所有来源访问

allow和deny会按照顺序, 从上往下, 找到第一个匹配规则, 判断是否允许访问, 所以一般把all放最后

location / {
 deny 192.168.1.1;
 allow 192.168.1.0/24;
 allow 10.1.1.0/16;
 allow 2001:0db8::/32;
 deny all;
}

로그인 후 복사

基于用户密码的访问控制

http_auth_basic_module: 基于文件匹配用户密码的登录

http_auth_basic_module语法	范围	说明
auth_basic 请输入你的帐号密码 \| off;	http、server、location和limit_except	显示用户登录提示 (有些浏览器不显示提示)
auth_basic_user_file 存储帐号密码的文件路径;	http、server、location和limit_except	从文件中匹配帐号密码

密码文件可以通过htpasswd生成,htpasswd需要安装yum install -y httpd-tools。

# -c 创建新文件, -b在参数中直接输入密码
$ htpasswd -bc /etc/nginx/conf.d/passwd user1 pw1
adding password for user user1
$ htpasswd -b /etc/nginx/conf.d/passwd user2 pw2
adding password for user user2
$ cat /etc/nginx/conf.d/passwd 
user1:$apr1$7v/m0.if$2kpm9nvvxbav.jsuvuqr01
user2:$apr1$xmoo4zzy$df76u0gzxbd7.5vxe0use0

로그인 후 복사

위 내용은 Nginx를 기반으로 액세스 제어 및 연결 제한을 구현하는 방법의 상세 내용입니다. 자세한 내용은 PHP 중국어 웹사이트의 기타 관련 기사를 참조하세요!