Nginx限速配置如何防止CC攻击？实战案例详解

网站频繁卡顿？可能是恶意请求在作怪

最近接到九零云用户反馈，某电商平台在促销期间频繁出现服务中断。经分析发现，攻击者使用分布式节点以每秒800次的频率请求商品详情页。这种情况下，单纯增加服务器配置治标不治本。

Nginx限流模块底层原理剖析

limit_req_zone指令采用漏桶算法实现流量整形，其核心参数包括：

• rate=10r/s：每秒处理10个请求
• burst=20：允许突发20个请求
• nodelay：立即处理突发请求

某在线教育平台配置案例：

limit_req_zone $binary_remote_addr zone=apilimit:10m rate=30r/m;
location /api/ {
  limit_req zone=apilimit burst=50 nodelay;
  proxy_pass http://backend;
}

防御组合拳：三层防护体系搭建

第一层：基础频率限制

针对注册接口的防护配置：

http {
  limit_req_zone $binary_remote_addr zone=reglimit:20m rate=2r/s;

  server {
    location /user/register {
      limit_req zone=reglimit burst=5;
      error_page 503 = @regretry;
    }

    location @regretry {
      add_header Retry-After 60;
      return 503;
    }
  }
}

第二层：IP信誉库联动

结合九零云安全大数据实现的动态封禁：

geo $blocklist {
  default 0;
  include /etc/nginx/conf.d/block.ip;
}

server {
  if ($blocklist) {
    return 444;
  }
}

高级防护：Lua扩展实战

利用OpenResty实现智能防护：

location / {
  access_by_lua_block {
    local limiter = require "resty.limit.req"
    local lim = limiter.new("my_limit_store", 100, 50)
    local delay, err = lim:incoming(ngx.var.binary_remote_addr, true)

    if not delay then
      ngx.exit(503)
    end
  }
}