[Nginx] 使用Nginx、Nginx Plus抵御DDOS攻击的方法

• 攻击经常来源于一些相对固定的 IP 或 IP 段，每个 IP 都有远大于真实用户的连接数和请求数。(备注：这并不表明这种请求都是代表着 DDOS 攻击。在很多使用NAT的网络架构中，很多的客户端使用网关的 IP 地址访问公网资源。但是，即便如此，这样的请求数和连接数也会远少于 DDOS 攻击。)
  
• 因为攻击是由木马发出且目的是使服务器超负荷，请求的频率会远远超过正常人的请求。
  
• User-Agent 通常是一个非标准的值
  
• Referer 有时是一个容易联想到攻击的值
  

limit_req_zone $binary_remote_addr zone=one:10m rate=30r/m; 
server { 
... 
location /login.html { 
limit_req zone=one; 
... 
} 
}

limit_conn_zone $binary_remote_addr zone=addr:10m; 
server { 
... 
location /store/ { 
limit_conn addr 10; 
... 
} 
}

server { 
client_body_timeout 5s; 
client_header_timeout 5s; 
... 
}

location / { 
deny 123.123.123.0/28; 
... 
}

location / { 
deny 123.123.123.3; 
deny 123.123.123.5; 
deny 123.123.123.7; 
... 
}

location / { 
allow 192.168.1.0/24; 
deny all; 
... 
}

• proxy_cache_use_stale ` 的 updating 参数告诉 Nginx 什么时候该更新所缓存的对象。只需要到后端的一个更新请求，在缓存有效期间客户端对该对象的请求都无需访问后端服务器。当通过对一个文件的频繁请求来实施攻击时，缓存功能可极大的降低到后端服务器的请求。
  
• proxy_cache_key ` 命令定义的键值通常包含一些内嵌的变量(默认的键值 $scheme$proxy_host$request_uri 包含了三个变量)。如果键值包含 `$query_string` 变量，当攻击的请求字符串是随机的时候就会给 Nginx 代理过重的缓存负担，因此我们建议一般情况下不要包含 `$query_string` 变量。
  

• 针对特定 URL 的请求
  
• 针对不是常见的 User-Agent 的请求
  
• 针对 Referer 头中包含可以联想到攻击的值的请求
  
• 针对其他请求头中包含可以联想到攻击的值的请求
  

location /foo.php { 
deny all; 
}

location / { 
if ($http_user_agent ~* foo|bar) { 
return 403; 
} 
... 
}

upstream website { 
server 192.168.100.1:80 max_conns=200; 
server 192.168.100.2:80 max_conns=200; 
queue 10 timeout=30s; 
}

[Using NGINX and NGINX Plus to Protect Against CVE-2015-1635]
http://nginx.com/blog/nginx-protect-cve-2015-1635/?_ga=1.14368116.2137319792.1439284699)

[Tuning NGINX for Performance]
http://nginx.com/blog/tuning-nginx/?_ga=1.48422373.2137319792.1439284699