使用 NGINX 流控和 fail2ban 防止 CC 攻击

最新推荐文章于 2024-06-27 11:50:04 发布

huckers

最新推荐文章于 2024-06-27 11:50:04 发布

阅读量147

点赞数

文章标签：网络 nginx java linux docker

本文链接：https://blog.csdn.net/huckers/article/details/122921455

版权

背景知识

CC 攻击

攻击者通过创建大量请求导致服务器资源耗尽，主要针对特定服务接口，属于实现 DoS 攻击的一种方式(DoS 攻击更多是针对网络端口，而不是具体服务接口)。

NGINX 流控

limit_req_zone：通过“漏桶”算法限制每个 IP 发起的请求频率。
limit_conn_zone：限制每个 IP 发起的连接数。

fail2ban

通过匹配服务器日志操作 iptables 来限制客户端网络连接。

实践配置

NGINX 部分

在 http 部分中配置：

limit_req_zone $binary_remote_addr zone=sym:10m rate=5r/s;
limit_conn_zone $binary_remote_addr zone=conn_sym:10m;

然后在需要流控的 location 部分配置：

limit_req zone=sym burst=5;limit_conn conn_sym 10;

重启 NGINX 后当有超流客户端请求时将在 NGINX error.log(默认在 /var/log/nginx/error.log) 中看到类似记录：

2017/02/12 18:03:57 [error]15965#15965: *61240 limiting requests, excess: 6.000 by zone "sym", client: 121.41.106.121, server: hacpai.com, request: "GET / HTTP/1.0", host: "hacpai.com"

此时请求已经被 NGINX 限流，但是客户端仍然能够继续发送请求，占用服务器资源。

fail2ban 部分

新建 /etc/fail2ban/jail.d/sym.conf 文件，加入如下内容：

[sym-cc]
enabled  = true
port     = https,http
filter   = sym
logpath  = /var/log/nginx/*error.log
maxretry = 120
findtime = 60
bantime  = 120
action   = iptables-multiport[name=Sym, port="https,http", protocol=tcp]
           sendmail-whois-lines[name=Sym, dest=youremail@gmail.com]

findtime 60 秒内如果有超过 maxretry 120 次匹配到则禁止连接 bantime 120 秒。禁止连接通过操作 iptables 实现。(要发送邮件，需要安装配置好 sendmail)

重启 fail2ban 后当发生超流时可以在 /var/log/fail2ban.log 中看到类似记录：

2017-02-12 18:01:26,968 fail2ban.actions: WARNING [sym-cc] Ban 121.41.106.121

另外：

fail2ban-client status、fail2ban-client status sym-cc 可以查看当前禁止信息
fail2ban-regex /var/log/nginx/error.log /etc/fail2ban/filter.d/sym.conf 可以查看配置匹配情况。