最短路径是nginx日志+客户端连接状态+iptables封禁，关键在连接建立阶段识别单ip高频连接、404请求或可疑路径等扫描特征，并实时监控并发连接与状态页异常。
直接用 Nginx 日志 + 客户端连接状态 + iptables 封禁，是定位和阻断扫描源最短路径。关键不是等攻击完成再响应，而是在连接建立阶段就识别异常模式——比如单 IP 短时间内发起大量 TCP 连接、反复请求不存在路径、或持续复用低速连接。
从连接层快速识别扫描行为
Nginx 本身不暴露原始 TCP 连接数，但可通过 ngx_http_limit_conn_module 和系统级工具交叉验证：
- 启用连接监控：在 http 块中定义
limit_conn_zone $binary_remote_addr zone=conn_per_ip:10m;，并在 location 中应用limit_conn conn_per_ip 5;—— 这里设为 5 是为了触发早期预警，而非硬性拦截 - 实时查看活跃连接：运行
sudo ss -tn src 'not 127.0.0.1' | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -nr | head -20，直接列出当前外网 IP 的并发连接数，扫描器通常远超正常用户（如 >20） - 结合 Nginx 状态页（需开启 stub_status）：访问
/nginx_status可看到 Active connections 数，若该值长期高位且与Requests不匹配（比如连接多但请求数少），大概率是 Slowloris 或连接耗尽类扫描
用日志特征辅助锁定真实扫描源
单纯看连接数容易误判 CDN 或爬虫，必须叠加请求行为分析：
- 只统计高频 404 请求的 IP：
awk '$9 == "404" {print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -nr | head -10 - 排除已知 UA 和健康检查路径，聚焦可疑路径：
grep -E "(\.env|wp-config|admin/login|.git)" /var/log/nginx/access.log | awk '{print $1}' | sort | uniq -c | sort -nr - 注意时间窗口：加
awk -v d1="$(date -d '10 minutes ago' '+%d/%b/%Y:%H:%M')” -v d2="$(date '+%d/%b/%Y:%H:%M')” ‘$4 > d1 && $4 限定最近 10 分钟，避免历史噪音干扰
iptables 快速封禁并防止规则冲突
确认 IP 异常后，立刻通过 iptables 拦截，但必须规避常见陷阱：
- 优先使用
iptables -I INPUT 1 -s X.X.X.X -j DROP插入到规则链顶端，避免被后续 ACCEPT 规则绕过 - 封禁前先检查是否已存在：
iptables -C INPUT -s X.X.X.X -j DROP && echo "already blocked" || iptables -I INPUT 1 -s X.X.X.X -j DROP - 双栈环境务必同步处理 IPv6：
ip6tables -I INPUT 1 -s 2001:db8::1 -j DROP，否则扫描可能切换协议绕过 - 临时封禁建议搭配 TTL 记录：
echo "$(date): blocked $ip for 404 scan" >> /var/log/nginx/scan-blocks.log，方便回溯和策略调优
自动化联动的关键细节
手动执行上述步骤适合应急，生产环境应固化为轻量脚本，重点控制三个变量：
- 触发阈值：比如“5 分钟内 404 超 30 次 + 并发连接 ≥15”，比单一指标更可靠
- 封禁时长：首次封 15 分钟足够打断扫描节奏；若同一 IP 多次触发，可递增至 2 小时
- 白名单保护：把运维出口 IP、监控探针地址写入
/etc/fail2ban/ip.whitelist，脚本执行前先校验
