nginx浅析4-限流（秒杀，高并发）

限流：控制单位时间内用户访问服务器的次数

限流方式：

1. 控制速率
2. 控制并发连接数

限流控制速率算法：

• 令牌桶算法
• 漏桶算法

1.令牌桶算法

 算法思路：

1.  令牌以固定速率产生, 放到令牌桶中
2. 令牌桶放满时，多余令牌丢弃
3. 请求要在桶中拿到令牌才能被处理
4. 令牌不够时，请求被缓存

2.漏桶算法

算法思路：

1.  请求在上方倒入水桶，在水桶下方流出被处理
2. 来不及流出的请求 就缓存在桶中, 以固定速率流出
3. 水桶满后丢弃

两个算法区别：

漏桶：只有一个桶，缓存请求，匀速处理，多余请求直接丢弃。强制限制数据的实时处理速率,对突发数据不做额外处理。

令牌桶：有桶，有队列，桶放令牌, 队列存放请求。限制数据的平均传输速率的同时, 允许某种程度上的突然传输。

控制速率配置代码

下面就是令牌桶算法配置。达到控制速率稳定，突然流量也能正常处理的效果。

http {
    // 限制请求访问速率， 自定义命名为halou 缓存大小10m, 生产令牌每秒10个
    limit_req_zone $binary_remote_addr zone=halou:10m  rate=10r/s    

    server {
        listen 80; // 服务默认端口值
        server_name  localhost; // 访问server名称
        location /test.html {
            root    html;
            index    index.html index.htm;
            // burst=5 nodelay 缓存5个 缓存中的立即处理
            limit_req zone=halou burst=5 nodelay;
        }
    }
}

• key ：定义限流对象
• binary_remote_addr： 是一种key，表示基于 remote_addr(客户端IP) 来做限流，binary_ 的目的是压缩内存占用量。
• zone定义共享内存区来存储访问信息： halou:10m 表示一个大小为10M，名字为halou的内存区域。
• rate 用于设置最大访问速率：rate=10r/s 表示每秒最多处理10个请求。Nginx 实际上以毫秒为粒度来跟踪请求信息。因此 10r/s 实际上是限制：每100毫秒处理一个请求。这意味着，自上一个请求处理完后，若后续100毫秒内又有请求到达，将拒绝处理该请求。
• burst  突发流量设置：表示在超过设定的处理速率后能额外处理的请求数为5个。也就是同时有10个请求过来，nginx会100ms处理一个，放入缓存队列中5个，剩下的4个直接丢弃。如果不设置nodelay, 但第6个请求却需要等待 6 * 100ms即 600ms，等待处理时间自然难以接受, 基本上burst都是和nodelay一起使用。

限制连接数代码

limit_conn_zone $binary_remote_addr zone=perip:10m;
limit_conn_zone $server_name zone=perserver:10m;

server {
    limit_conn perip 10;
    limit_conn perserver 100;
}

• limit_conn perip 10 作用的key 是 $binary_remote_addr，表示限制单个IP同时最多能持有10个连接。
• limit_conn perserver 100 作用的key是 $server_name，表示虚拟主机(server) 同时能处理并发连接的总数为100个。
• 只有当 request header 被后端server处理后，这个连接才进行计数。
   

设置白名单

因为限流主要针对外部访问，内网访问相对安全，可以不做限流。利用 Nginx的ngx_http_geo_module 和 ngx_http_map_module 两个工具模块来搞定

geo $limit {
    default 1;
    10.0.0.0/8 0;
    192.168.0.0/24 0;
    172.20.0.35 0;
}

map $limit $limit_key {
    0 "";
    1 $binary_remote_addr;
}

limit_req_zone $limit_key zone=halou:10m rate=10r/s;

• geo 对于白名单(子网或IP都可以) 将返回0，其他IP将返回1。
• map 将limit 转换为limit_key，如果是 $limit 是0(白名单)，则返回空字符串；如果是1，则返回客户端实际IP。
• limit_req_zone 限流的key不再使用 binary_remote_addr, 而是limit_key 来动态获取值。如果是白名单，limit_req_zone 的限流key则为空字符串，将不会限流；若不是白名单，将会对客户端真实IP进行限流。