Nginx如何设置限速与WAF规则防范DDoS攻击？

Nginx限速配置能有效阻止DDoS吗？

当服务器遭遇CC攻击时，带宽资源往往被恶意请求耗尽。通过Nginx的limit_req_zone模块设置请求频率阈值，可精准识别异常流量。某电商平台曾用以下配置拦截每秒2000次的暴力破解：

limit_req_zone $binary_remote_addr zone=anti_ddos:10m rate=30r/s;
location / {
    limit_req zone=anti_ddos burst=50 nodelay;
}

关键参数rate控制每秒请求数，burst设置缓冲队列容量，nodelay参数立即执行限流策略。实际部署时建议配合日志分析工具，动态调整阈值参数。

如何用Nginx+Lua实现自动封禁IP？

动态IP黑名单是应对分布式攻击的关键。通过OpenResty整合lua-resty-iputils模块，可实时检测异常IP：

access_by_lua_block {
    local ips = require("resty.iputils")
    ips.enable_lrucache()
    local blacklist = ips.parse_ips({"61.129.7.0/24","42.96.118.0/24"})

    if ips.ip_in_cidrs(ngx.var.remote_addr, blacklist) then
        ngx.exit(ngx.HTTP_FORBIDDEN)
    end
}

某金融平台部署该方案后，成功拦截来自87个IP段的SYN Flood攻击，误封率控制在0.03%以下。建议每小时更新一次IP黑名单数据库。

Nginx如何集成WAF增强防护？

ModSecurity开源WAF与Nginx的整合方案提供7层防护：

• 配置OWASP CRS规则集防御SQL注入
• 设置HTTP请求体大小限制过滤慢速攻击
• 启用GeoIP模块屏蔽高危地区流量

实测数据显示，该组合方案可识别99.6%的XSS攻击和98.3%的扫描探测。配置示例：

SecRuleEngine On
SecRequestBodyLimit 134217728
SecRule REQUEST_HEADERS:User-Agent "nikto" "log,deny"

高可用架构如何提升防护效果？

多层防御体系需配合架构设计：

1. 前端部署CDN分散流量压力
2. 中间层Nginx集群做负载均衡
3. 后端服务采用自动扩容机制

某视频网站采用AWS ALB+Nginx+Auto Scaling架构，成功抵御800Gbps的UDP反射攻击。关键配置包括启用keepalive长连接、调整worker_processes数量、设置sysctl内核参数优化网络栈。