Comment Nginx limite les demandes de ressources http

Prérequis : nginx doit avoir les modules ngx_http_limit_conn_module et ngx_http_limit_req_module Vous pouvez utiliser la commande 2>&1 nginx -v | tr ' " 'n'|grep limit pour vérifier s'il existe des modules correspondants. Sinon, veuillez les recompiler et les installer. deux modules.

La version de test est : la version nginx est 1.15+

Limiter le nombre de liens

1 Utilisez la directive limit_conn_zone pour définir la clé et définir les paramètres de la zone de mémoire partagée (le processus de travail. utilisera cette zone pour partager le compteur de valeur clé). Le premier paramètre spécifie l'expression à évaluer comme clé. Le deuxième paramètre zone spécifie le nom et la taille de la zone :

limit_conn_zone $binary_remote_addr zone=addr:10m;

2. Utilisez la directive limit_conn dans le contexte de l'emplacement {}, du serveur {} ou de http {} pour appliquer la limite. au-dessus du nom de la région, le deuxième paramètre est le nombre de connexions autorisées pour chaque clé :

location /download/ {
 limit_conn addr 1;
}

Lorsque vous utilisez la variable $binary_remote_addr comme paramètre, elle est basée sur la limite d'adresse IP. Vous pouvez également utiliser la variable $server_name pour limiter la valeur. nombre de connexions à un serveur donné. :

http {
 limit_conn_zone $server_name zone=servers:10m;

 server {
 limit_conn servers 1000;
 }
}

Limite du taux de requêtes

La limitation du débit peut être utilisée pour empêcher les attaques ddos, cc ou pour empêcher les serveurs en amont d'être inondés de trop de requêtes en même temps. Cette méthode est basée sur l'algorithme du bucket avec fuite, dans lequel les requêtes arrivent au bucket à des rythmes différents et quittent le bucket à un rythme fixe. Avant d'utiliser la limitation de débit, vous devez configurer les paramètres globaux du "leaky bucket" :

• key - un paramètre utilisé pour distinguer un client d'un autre, généralement une variable

• zone de mémoire partagée - contient ces clés. nom et taille de la région d'état clé (c'est-à-dire le « seau qui fuit ») spécifié dans

• rate - requêtes par seconde (r/s) ou requêtes par minute (r/m) (« vidange du seau qui fuit ») Demande limite de taux. Requêtes par minute spécifie un taux inférieur à une requête par seconde.

Ces paramètres sont définis à l'aide de la directive limit_req_zone. Cette directive est définie au niveau http {} - cette approche permet d'appliquer différentes régions et de demander des paramètres de débordement à différents contextes :

http {
 #...

 limit_req_zone $binary_remote_addr zone=one:10m rate=1r/s;
}

Avec cette configuration, une région de mémoire partagée de 10 m d'octets et nommée une sera créée. Cette zone contient l'état de l'adresse IP du client définie à l'aide de la variable $binary_remote_addr. Notez que $remote_addr contient également l'adresse IP du client, tandis que $binary_remote_addr contient une représentation binaire plus courte de l'adresse IP.

La taille optimale de la zone de mémoire partagée peut être calculée à l'aide des données suivantes : $binary_remote_addr La taille de la valeur d'une adresse ipv4 est de 4 octets et l'état de stockage sur les plates-formes 64 bits occupe 128 octets. Par conséquent, les informations d’état pour environ 16 000 adresses IP occupent 1 million d’octets de cette zone.

Si l'espace de stockage est épuisé lorsque nginx doit ajouter de nouvelles entrées, les entrées les plus anciennes seront supprimées. Si l'espace libéré n'est toujours pas suffisant pour accueillir le nouvel enregistrement, nginx renverra un code d'état 503 service indisponible, qui peut être redéfini à l'aide de la directive limit_req_status.

Une fois cette zone définie, vous pouvez limiter le taux de requêtes à l'aide de la directive limit_req n'importe où dans la configuration nginx, notamment le serveur {} , l'emplacement {} et http {} Contexte :

http {
 #...

 limit_req_zone $binary_remote_addr zone=one:10m rate=1r/s;

 server {
 #...

 location /search/ {
  limit_req zone=one;
 }
 }
}

En utilisant la configuration ci-dessus, nginx est dans / recherche Pas plus d'une requête par seconde ne sera traitée sous la route /, et le traitement de ces requêtes sera retardé de telle manière que le débit total ne soit pas supérieur au débit défini. nginx retardera le traitement de ces demandes jusqu'à ce que le « seau » (le seau partagé) soit plein. Pour les demandes adressées au compartiment complet, nginx répondra par une erreur 503 service indisponible (lorsque limit_req_status n'a pas de code d'état défini personnalisé).

Limit Bandwidth

Pour limiter la bande passante par connexion, utilisez la directive limit_rate suivante :

location /download/ {
 limit_rate 50k;
}

Avec ce paramètre, les clients pourront télécharger du contenu jusqu'à 50 000 / s sur une seule connexion. Toutefois, les clients peuvent ouvrir plusieurs connexions pour contourner cette limite. Par conséquent, si l’objectif est d’empêcher des vitesses de téléchargement supérieures à une valeur spécifiée, le nombre de connexions doit également être limité. Par exemple, une connexion par adresse IP (si vous utilisez la région de mémoire partagée spécifiée ci-dessus) :

location /download/ {
 limit_conn addr 1;
 limit_rate 50k;
}

Pour imposer une limite uniquement après que le client a téléchargé une certaine quantité de données, utilisez la directive limit_rate_after. Il peut être raisonnable de permettre au client de télécharger rapidement une certaine quantité de données (par exemple, en-tête de fichier - index du film) et de limiter la vitesse à laquelle le reste des données est téléchargé (obligeant l'utilisateur à regarder le film au lieu de le télécharger).

limit_rate_after 500k;
limit_rate 20k;

L'exemple suivant montre une configuration combinée pour limiter le nombre de connexions et la bande passante. Le nombre maximum de connexions autorisées est fixé à 5 connexions par adresse client, ce qui fonctionne dans la plupart des cas courants, car les navigateurs modernes ont généralement un maximum de 3 connexions ouvertes à la fois. En même temps, l'emplacement prévu en téléchargement n'autorise qu'une seule connexion :

http {
 limit_conn_zone $binary_remote_address zone=addr:10m

 server {
 root /www/data;
 limit_conn addr 5;

 location / {
 }

 location /download/ {
  limit_conn addr 1;
  limit_rate_after 1m;
  limit_rate 50k;
 }
 }
}

Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!