ngnix配置优化

安全事项

• 阻止user-agent访问

if ($http_user_agent ~ "Mozilla/4.0\ \(compatible;\ MSIE\ 9.0;\ Windows\ NT\ 6.1\)") {
 return 403; 
}

• 限制每秒请求数

http {

limit_req_zone $binary_remote_addr zone=one:10m rate=10r/s; //触发条件，所有访问ip 限制每秒10个请求

...

server {

limit_req zone=one burst=5 nodelay;   //执行的动作,通过zone名字对应

$binary_remote_addr  二进制远程地址

zone=one:10m    定义zone名字叫one，并为这个zone分配10M内存，用来存储会话（二进制远程地址），1m内存可以保存16000会话

rate=10r/s;     限制频率为每秒10个请求

burst=5         允许超过频率限制的请求数不多于5个，假设1、2、3、4秒请求为每秒9个，那么第5秒内请求15个是允许的，反之，如果第一秒内请求15个，会将5个请求放到第二秒，第二秒内超过10的请求直接503，类似多秒内平均速率限制。

nodelay         超过的请求不被延迟处理，设置后15个请求在1秒内处理。

• 限制IP连接数

http {

limit_conn_zone $binary_remote_addr zone=addr:10m; //触发条件

...

server {

...

limit_conn addr 1;    // 限制同一时间内1个连接，超出的连接返回503
白名单限制

geo $whiteiplist  {

default 1;

10.11.15.161 0;

}

map $whiteiplist  $limit {

1 $binary_remote_addr;

0 "";

}

limit_req_zone $limit zone=one:10m rate=10r/s;

limit_conn_zone $limit zone=addr:10m;