宝塔需先编译安装含http_limit_conn_module的nginx，再在全局http块添加limit_conn_zone，站点server或location块配置limit_conn；注意cdn下需设real_ip，且limit_conn防cc效果有限，建议配合limit_req和防火墙。
宝塔面板里怎么配 limit_conn_zone？
宝塔默认不开启 Nginx 的连接限制模块，即使你写了配置，limit_conn_zone 指令也会报错：unknown directive "limit_conn_zone"。这是因为宝塔编译 Nginx 时没带上 --with-http_limit_conn_module。得先确认模块是否存在，再手动启用。
进服务器执行：
nginx -V 2>&1 | grep -o with-http_limit_conn_module，如果没输出，说明模块缺失。此时不能只改配置文件，必须重装带该模块的 Nginx——推荐用宝塔「软件商店 → Nginx → 设置 → 编译安装」，勾选「连接数限制模块」（部分版本叫“Limit Conn”），然后重新编译。编译耗时较长，期间网站会短暂中断。
在宝塔站点配置中添加 limit_conn_zone 和 limit_conn
模块就位后，不能直接在宝塔的「网站 → 配置文件」里写 limit_conn_zone，它必须出现在 http 块顶层，而宝塔的站点配置只允许改 server 或 location 块。正确做法是：进入「宝塔 → 软件商店 → Nginx → 设置 → 配置修改」，找到 http 区域，在 include 语句之前加入：
limit_conn_zone $binary_remote_addr zone=perip:10m; limit_conn_log_level warn;
然后回到具体站点的配置文件（「网站 → 设置 → 配置文件」），在 server 块或某个 location 块里加限流规则，例如：
location / {
limit_conn perip 10;
limit_conn_status 503;
proxy_pass http://127.0.0.1:8080;
}
-
perip是你在http块定义的 zone 名，必须一致 -
10表示单个 IP 最多维持 10 个并发连接（不是请求数） -
limit_conn_status 503让被限流的请求返回 503 而非默认的 503+日志刷屏 - 别对静态资源（如
/static/）盲目限流，否则可能阻塞 JS/CSS 加载，引发页面白屏
为什么限制了还挡不住 CC 攻击？
limit_conn 只管 TCP 连接数，不区分请求内容、路径或 User-Agent。轻度 CC 攻击常通过短连接（每个请求建新连接、立刻断开）绕过它——因为连接刚建就关，根本压不到 10 个并发。这时候 limit_conn 几乎无效。
更实用的组合策略是：
- 用
limit_req_zone $binary_remote_addr zone=burst:10m rate=5r/s;+limit_req burst=10 nodelay;控制请求速率（每秒最多 5 个，允许突发 10 个） - 配合宝塔自带的「防火墙 → CC 防御」，设置「同一 IP 访问频率」（比如 3 秒内超 10 次就封 600 秒）
- 把高频接口（如登录、搜索）单独放到
location /api/下，施加更严的limit_req - 注意：Nginx 的
limit_req对 POST 请求默认不生效，需加limit_req_dry_run off;并确保没有if块干扰
容易被忽略的两个坑
一是 $binary_remote_addr 在有 CDN 或反向代理时拿到的是代理 IP，不是真实访客 IP。如果你用了 Cloudflare 或自建 Nginx 反代，必须先在 http 块加：
set_real_ip_from 127.0.0.1; real_ip_header X-Forwarded-For; real_ip_recursive on;，否则所有用户会被当成同一个 IP 限流。
二是内存占用。一个 zone=perip:10m 理论上能存约 16 万个 IP（每个 IP 约 64 字节），但实际受哈希冲突影响，10m zone 在高并发下可能撑不住。观察 Nginx 错误日志里是否有 limit_conn: server reached max number of connections，如有，说明 zone 太小，要调大到 20m 或更高。
