如何通过limit_conn_zone实现并发连接数全局计数-Nginx-PHP中文网

Nginx通过limit_conn_zone基于变量（如$binary_remote_addr）创建共享内存区以全局统计并发连接数，再由limit_conn指令引用该zone实现每IP最多10个TCP连接的限制，适用于防爬等场景。

如何通过limit_conn_zone实现并发连接数全局计数

通过 limit_conn_zone 指令，Nginx 可以基于指定变量（如客户端 IP）定义一个共享内存区域，用于在 worker 进程间**全局共享连接计数状态**，从而实现真正意义上的并发连接数限制。

核心原理：共享内存 + 变量键值映射

limit_conn_zone 不是直接限流，而是创建一块所有 worker 进程都能读写的共享内存（shared memory zone），把每个唯一变量值（比如 $binary_remote_addr）作为 key，记录其当前活跃连接数。后续用 limit_conn 指令引用该 zone 才真正触发检查和拒绝逻辑。

zone 名称必须全局唯一，且需指定大小（如 10m），过小会导致哈希冲突或无法新增 key
推荐用 $binary_remote_addr 替代 $remote_addr，节省内存（4 字节 vs 字符串长度）
不支持复合变量（如 $server_name:$binary_remote_addr），但可通过 map 模块间接构造

基本配置示例（按 IP 限并发）

以下配置限制**每个客户端 IP 最多 10 个并发 TCP 连接**（非请求数），适用于防爬、防连接耗尽等场景：

http {
    limit_conn_zone $binary_remote_addr zone=conn_per_ip:10m;

    server {
        location /api/ {
            limit_conn conn_per_ip 10;
            proxy_pass http://backend;
        }
    }
}

注意：limit_conn 必须放在具体作用域（server / location），且仅对新建立的连接生效；已建立连接不会被中断，但新连接会返回 503 Service Temporarily Unavailable。

常见误区与关键细节

很多人误以为 limit_conn_zone 自动生效，或混淆连接数与请求数。实际使用中需注意：

HTTP/2 或 WebSocket 场景下，单个连接可复用，limit_conn 限制的是底层 TCP 连接数，不是请求频次
若后端是长连接代理（如 keepalive），需配合 proxy_http_version 1.1 和 proxy_set_header Connection '' 避免干扰
无 SSL 时，$binary_remote_addr 是真实客户端 IP；有前置 LB 时，需先用 real_ip 模块还原，再基于还原后的地址建 zone
可通过 stub_status 模块或 Prometheus exporter（如 nginx-lua-prometheus）监控 zone 使用率与拒绝数

扩展：按 server_name 或自定义维度限连

若需按域名、URI 前缀或用户标识限连，可用 map 构造复合键：

map $host:$binary_remote_addr $conn_key {
    default $host:$binary_remote_addr;
}

limit_conn_zone $conn_key zone=conn_per_host_ip:10m;

这样就能实现“每个域名下每个 IP 最多 N 连接”。注意 map 的 key 长度会影响 zone 内存占用，建议控制总长（如截取前 64 字符）。