使用Nginx、NginxPlus抵御DDOS攻击的方法-创新互联

DDOS 是一种通过大流量的请求对目标进行轰炸式访问，导致提供服务的服务器资源耗尽进而无法继续提供服务的攻击手段。

一般情况下，攻击者通过大量请求与连接使服务器处于饱和状态，以至于无法接受新的请求或变得很慢。

一、应用层DDOS攻击的特征

应用层(七层/HTTP层)DDOS 攻击通常由木马程序发起，其可以通过设计更好的利用目标系统的脆弱点。例如，对于无法处理大量并发请求的系统，仅仅通过建立大量的连接，并周期性的发出少量数据包来保持会话就可以耗尽系统的资源，使其无法接受新的连接请求达到 DDOS 的目的。其他还有采用发送大量连接请求发送大数据包的请求进行攻击的形式。因为攻击是由木马程序发起，攻击者可以在很短时间内快速建立大量的连接，并发出大量的请求。

以下是一些DDOS的特证，我们可以据此特征来抵抗 DDOS(包括但不限于)：

1. 攻击经常来源于一些相对固定的 IP 或 IP 段，每个 IP 都有远大于真实用户的连接数和请求数。(备注：这并不表明这种请求都是代表着 DDOS 攻击。在很多使用NAT的网络架构中，很多的客户端使用网关的 IP 地址访问公网资源。但是，即便如此，这样的请求数和连接数也会远少于 DDOS 攻击。)
2. 因为攻击是由木马发出且目的是使服务器超负荷，请求的频率会远远超过正常人的请求。
3. User-Agent 通常是一个非标准的值
4. Referer 有时是一个容易联想到攻击的值

二、使用Nginx、Nginx Plus抵抗DDOS攻击

结合上面提到的 DDOS 攻击的特征，Nginx、Nginx Plus有很多的特性可以用来有效的防御 DDOS 攻击，可以从调整入口访问流量和控制反向代理到后端服务器的流量两个方面来达到抵御 DDOS 攻击的目的。

1. 限制请求速度

设置 Nginx、Nginx Plus 的连接请求在一个真实用户请求的合理范围内。比如，如果你觉得一个正常用户每两秒可以请求一次登录页面，你就可以设置 Nginx 每两秒钟接收一个客户端 IP 的请求(大约等同于每分钟30个请求)。

limit_req_zone $binary_remote_addr zone=one:10m rate=30r/m; 
server { 
... 
location /login.html { 
limit_req zone=one; 
... 
} 
} 

另外有需要云服务器可以了解下创新互联scvps.cn，海内外云服务器15元起步，三天无理由+7*72小时售后在线，公司持有idc许可证，提供“云服务器、裸金属服务器、高防服务器、香港服务器、美国服务器、虚拟主机、免备案服务器”等云主机租用服务以及企业上云的综合解决方案，具有“安全稳定、简单易用、服务可用性高、性价比高”等特点与优势，专为企业上云打造定制，能够满足用户丰富、多元化的应用场景需求。