可通过 limit_conn 限制每 ip 并发 ssl 连接数，或用 limit_req 间接限制握手频次；推荐后者，结合 ssl_session_cache 优化会话复用，并注意真实客户端 ip 获取与健康检查路径豁免。
可以通过 Nginx 的 limit_conn 和 limit_req 模块结合 SSL 相关变量（如 $ssl_protocol 或自定义变量）来间接限制 SSL 握手频次，但需注意：Nginx 本身不直接暴露“SSL 握手次数”为独立指标，因为握手发生在 TCP 连接建立后、HTTP 请求之前，而 Nginx 的限流机制主要作用于请求（request）或连接（connection）层面。不过，我们可通过合理建模，将高频 SSL 握手行为映射为可监控的信号——最常用且有效的方式是：**限制每个 IP 在单位时间内建立的新 SSL 连接数**。
使用 limit_conn 限制每 IP 并发 SSL 连接数
SSL 握手通常伴随 TCP 连接建立，频繁握手往往体现为大量短连接（如 TLS 1.2/1.3 的 0-RTT 或重连行为）。Nginx 的 limit_conn 可基于 $binary_remote_addr 限制并发连接数，适用于防暴力重连场景：
- 在
http块中定义连接限制区域：limit_conn_zone $binary_remote_addr zone=ssl_conn_per_ip:10m; - 在
server块（尤其是 HTTPS server）中启用限制：limit_conn ssl_conn_per_ip 10;（表示单 IP 最多保持 10 个并发 SSL 连接） - 该方式对长连接友好，但无法区分“新握手”与“复用连接”，适合抑制连接洪泛类攻击
使用 limit_req 模拟握手频率限制（推荐）
虽然 SSL 握手本身不触发 HTTP 请求，但实际中绝大多数 SSL 连接后续会立即发送首个请求（如 GET /）。因此，限制每个 IP 的请求速率，等效于间接限制其有效握手发起频率。关键是确保该限流作用于 SSL 流量入口：
- 定义请求限速区域：
limit_req_zone $binary_remote_addr zone=ssl_req_rate:10m rate=5r/s;（每秒最多 5 个请求） - 在 HTTPS server 或 location 中应用：
limit_req zone=ssl_req_rate burst=10 nodelay; - 配合
ssl_buffer_size、ssl_session_cache等优化，鼓励会话复用，降低真实握手开销 - 若需更精确控制（如仅限 /health 等轻量端点），可单独配置 location 级限流
进阶：通过 log_format + 外部工具统计真实握手频次
若必须基于原始握手事件（例如分析 TLS ClientHello），Nginx 默认日志不记录该层信息。可行方案是：
- 启用 OpenSSL 日志（需编译时开启
--with-openssl-opt="enable-tls1_3"并配置 debug 日志），但性能开销大，仅用于调试 - 在前置负载层（如 Envoy、Cloudflare）或使用 eBPF 工具（如 bpftrace）捕获 TCP/TLS 层事件，导出 IP + 时间戳，交由 Redis 或 TimescaleDB 实时聚合计数
- Nginx 配合 Lua 模块（nginx-lua）在
ssl_certificate_by_lua_block中记录 IP 到共享字典（shared dict），实现毫秒级握手计数（需注意该阶段无完整请求上下文，仅支持简单计数）
关键配置注意事项
无论采用哪种方式，以下细节直接影响效果：
-
$binary_remote_addr比$remote_addr更省内存，推荐用于 zone 定义 - 若部署在 CDN 或反向代理后，需用
$http_x_forwarded_for并配合set_real_ip_from，否则限流对象是代理 IP - SSL 会话复用（
ssl_session_cache shared:SSL:10m;）能显著减少实际握手次数，应优先启用 - 避免对健康检查路径（如 /ping）限流，可用
if ($request_uri = "/ping") { set $limit_bypass "1"; }配合 map 跳过限流
