本文首要介紹了有關利用Nginx防御CC報復打擊的一些建設。CC報復打擊針對的是辦事器上面的內存和CPU資本，是以凡是會找到一些比較高耗損的接口，例如search.php之類的需要大年夜量sql查詢的接口。是以，大白了這一點，我們就很好防御了，主如果針對單個ip地址的連接數(shù)和要求php文件的密度來節(jié)制的。
我們首要用到的是Nginx中供給的兩個limit模塊：
ngx_http_limit_conn_module ngx_http_limit_req_module
1、白名單
起首這兩個模塊是撐持白名單的，就是可能有某些IP地址，我們是不需要進行限制的，好比可能會是搜刮引擎啦甚么的或本身的IP，是以需要設置一個白名單,不需要的可跳過本步。具體編制：
在HTTP段中插進以下格局內容，聲大白名單IP
http{ ....... geo $limited{ default 1; #公司 119.123.5.0/24 0; } ......... }
geo指令定義了一個白名單$limited變量，默許值為1，假定客戶端IP在上面的范圍內，$limited的值為0。
然后緊跟在上面內容后利用map指令映照搜刮引擎客戶端的ip為空串，假定不是白名單IP就顯示本身真實的IP，如許搜刮引擎iIP就不克不及存到limit模塊的內存session中，所以不會限制白名單的IP拜候。
map $limited $limit { 1 $binary_remote_addr; 0 ""; }
2、拜候頻率限制
拜候頻率限制利用到的是ngx_http_limit_req_module，需要在兩個處所建設，起首在HTTP段中，聲明好這個模塊一些參數(shù)，假定有設置白名單，設置以下
http{ ... limit_req_zone $limit zone=one:10m rate=20r/m; ##平均20r/m 每分鐘20個要求 ... }
假定沒有建設白名單，所有來訪IP城市限制，建設以下
http{ ... limit_req_zone $binary_remote_addr zone=one:10m rate=20r/m; ##平均20r/m 每分鐘20個要求 ... }
詮釋一下上面的參數(shù)，第一個代表的是需要限制的ip群，這個很好理解，第二個zone=one暗示這個limit_zone的名字叫做one，后面的利用中可以用這個one來進行指代，后面的15m，代表為這個zone分派10m的內存，1m可以保留16000的$binary_remote_addr。最后一個是頻率，假定要按秒來算可以設置20r/s如許。
最后是建設到Nginx的php的解析段
location ~ \.php$ { ... limit_req zone=one burst=5 nodelay; ... }
指定了利用名字為one的zone，然后緩沖隊列為5，無延遲，假定不設置無延遲，拜候會卡住。
3、拜候連接限制
拜候連接限制利用到的是ngx_http_limit_conn_module，也是需要在兩個處所建設，起首在HTTP段中，聲明好這個模塊一些參數(shù)，假定有設置白名單，設置以下
http{ ... limit_conn_zone $limit zone=addr:10m; ... }
假定沒有建設白名單，所有來訪IP城市限制，建設以下
view sourceprint?http{ ... limit_conn_zone $binary_remote_addr zone=addr:10m; ... }
參數(shù)的意思跟上面的差不多也就不多詮釋了。
后面的就是在server段中進行設置了，可以具體到某個目次甚么的了
server { location /download/ { limit_conn addr 5; }
大年夜功成功，打完收工，記得要nginx -s reload一下哦~