使用Nginx处理DDOS进行系统优化

如果您可以识别用于攻击的客户端IP地址，则可以使用该 deny指令将其列入黑名单，以便NGINX和NGINX Plus不接受其连接或请求。例如，如果您确定攻击来自地址范围123.123.123.1到123.123.123.16：

location / { 
    deny  123.123 . 123.0 / 28 ; 
     
# ... 
} 

或者，如果您确定攻击来自客户端IP地址123.123.123.3,123.123.123.5和123.123.123.7：

location / { 
   deny 123.123.123.3; 
   deny 123.123.123.5; 
   deny 123.123.123.7; 
   # ... 
} 

将白名单IP地址

如果仅允许从一个或多个特定组或范围的客户端IP地址访问您的网站或应用程序，则可以一起使用 allow和 deny指令以仅允许这些地址访问该站点或应用程序。例如，您可以限制只访问特定本地网络中的地址：

​location / { 
    allow 192.168.1.0/24; 
    deny all; 
    # ... 
} 

在这里， deny all指令阻止所有不在 allow指令指定的范围内的客户端IP地址。

使用缓存来平滑流量尖峰

您可以配置NGINX和NGINX Plus来吸收攻击导致的大量流量峰值，方法是启用缓存并设置某些缓存参数以卸载后端的请求。一些有用的设置是：

• 该指令的 updating参数 proxy_cache_use_stale告诉NGINX，当它需要获取一个陈旧的缓存对象的更新时，它应该只发送一个更新请求，并且继续将陈旧对象提供给在接收时间期间请求它的客户端来自后端服务器的更新。当对某个文件的重复请求是攻击的一部分时，这会显着减少对后端服务器的请求数量。
• 该 proxy_cache_key指令定义的键通常由嵌入式变量组成（缺省键 $scheme$proxy_host$request_uri，有三个变量）。如果该值包含 $query_string 变量，则发送随机查询字符串的攻击可能导致过度缓存。 $query_string除非您有特殊原因，否则我们建议您不要在变量中包含变量。

阻止请求

您可以配置NGINX或NGINX Plus来阻止几种请求：

• 请求一个似乎有针对性的特定网址
• User-Agent报头设置为与正常客户端流量不对应的值的请求
• 将 Referer标头设置为可与攻击关联的值的请求
• 其他头文件具有可与攻击关联的值的请求

例如，如果您确定DDoS攻击的目标是URL /foo.php，则可以阻止该页面的所有请求：

​location /foo.php { 
    deny all; 
} 

或者，如果您发现DDoS攻击请求的 User-Agent头部值为 foo或 bar，则可以阻止这些请求。

​location / { 
    if ($http_user_agent ~* foo|bar) { 
        return 403; 
    } 
    # ... 
} 

该变量引用一个请求头，在上面的例子中是头。类似的方法可以用于具有可用于识别攻击的值的其他报头。 http_*name*``User-Agent

限制到后端服务器的连接

NGINX或NGINX Plus实例通常可以处理比负载平衡的后端服务器更多的并发连接。使用NGINX Plus，您可以限制连接到每个后端服务器的数量。例如，如果要限制NGINX Plus与网站 上游组中的两个后端服务器建立的连接数不超过200个：

​upstream website { 
    server 192.168.100.1:80 max_conns=200; 
    server 192.168.100.2:80 max_conns=200; 
    queue 10 timeout=30s; 
} 

max_conns 应用于每个服务器的参数指定NGINX Plus打开的最大连接数。该 queue 指令限制上游组中所有服务器达到其连接限制时排队的请求数，并且该 timeout参数指定在队列中保留请求的时间。

处理基于范围的攻击

一种攻击方法是发送一个 Range具有非常大值的标头，这可能导致缓冲区溢出。有关如何使用NGINX和NGINX Plus来缓解此类攻击的讨论，请参阅使用NGINX和NGINX Plus来保护CVE-2015-1635。

处理高负荷

DDoS攻击通常会导致高流量负载。有关调整NGINX或NGINX Plus以及允许系统处理更高负载的操作系统的提示，请参阅调整NGINX的性能。

识别DDoS攻击

（编辑：晋中站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!