防御ddos是一個系統工程，攻擊花樣多，防御的成本高瓶頸多，防御起來即被動又無奈。ddos的特點是分布式，針對帶寬和服務攻擊，也就 是四層流量攻擊和七層應用攻擊，相應的防御瓶頸四層在帶寬，七層的多在架構的吞吐量。
一. 限制每秒請求數?
ngx_http_limit_req_module模塊通過漏桶原理來限制單位時間內的請求數，一旦單位時間內請求數超過限制，就會返回503錯誤。
配置需要在兩個地方設置：
nginx.conf的http段內定義觸發條件，可以有多個條件?
在location內定義達到觸發條件時nginx所要執行的動作?
http { limit_req_zone $binary_remote_addr zone=one:10m rate=10r/s; //觸發條件，所有訪問ip 限制每秒10個請求 ... server { ... location ~ .php$ { limit_req zone=one burst=5 nodelay; //執行的動作,通過zone名字對應 } } }
參數說明：
$binary_remote_addr? 二進制遠程地址
zone=one:10m? ? 定義zone名字叫one，并為這個zone分配10M內存，用來存儲會話（二進制遠程地址），1m內存可以保存16000會話
rate=10r/s;? ? ?限制頻率為每秒10個請求
burst=5? ? ? ? ?允許超過頻率限制的請求數不多于5個，假設1、2、3、4秒請求為每秒9個，那么第5秒內請求15個是允許的，反之，如果第一秒內請求15個，會將5個請求放到第二秒，第二秒內超過10的請求直接503，類似多秒內平均速率限制。
nodelay? ? ? ? ?超過的請求不被延遲處理，設置后15個請求在1秒內處理。
二.限制IP連接數?
ngx_http_limit_conn_module的配置方法和參數與http_limit_req模塊很像，參數少，要簡單很多
http { limit_conn_zone $binary_remote_addr zone=addr:10m; //觸發條件 ... server { ... location /download/ { limit_conn addr 1; // 限制同一時間內1個連接，超出的連接返回503 } } }
三.白名單設置?
http_limit_conn和http_limit_req模塊限制了單ip單位時間內的并發和請求數，但是如果Nginx前面有lvs或者 haproxy之類的負載均衡或者反向代理，nginx獲取的都是來自負載均衡的連接或請求，這時不應該限制負載均衡的連接和請求，就需要geo和map 模塊設置白名單：
geo $whiteiplist { default 1; 10.11.15.161 0; } map $whiteiplist $limit { 1 $binary_remote_addr; 0 ""; } limit_req_zone $limit zone=one:10m rate=10r/s; limit_conn_zone $limit zone=addr:10m;
更多Nginx相關技術文章，請訪問Nginx使用教程欄目進行學習！?
