nginx服务器防火墙(nginx防御cc)

nginx防御cc

每一项的具体含义如下所示：

attacklog = "on" --是否开启攻击日志记录(on 代表开启，off 代表关闭。下同)

logdir = "/www/wwwlogs/waf/" --攻击日志文件存放目录（一般无需修改）

UrlDeny="on" --是否开启恶意 url 拦截

Redirect="on" --拦截后是否重定向

CookieMatch="off" --是否开启恶意 Cookie 拦截

postMatch="off" --是否开启 POST 攻击拦截

whiteModule="on" --是否开启 url 白名单

black_fileExt={"php","jsp"} --文件后缀名上传黑名单，如有多个则用英文逗号分隔。如：{"后缀名1","后缀名2","后缀名3"……}

ipWhitelist={"1.0.0.1"} --白名单 IP，如有多个则用英文逗号分隔。

如：{"1.0.0.1","1.0.0.2","1.0.0.3"……} 下同

ipBlocklist={"1.0.0.1"} --黑名单 IP

CCDeny="off" --是否开启 CC 攻击拦截

CCrate="300/60" --CC 攻击拦截阈值，单位为秒。

"300/60" 代表 60 秒内如果同一个 IP 访问了 300 次则拉黑

配置文件中，RulePath 项对应的文件夹里存放的是具体的拦截规则。

打开这个文件夹，可以看到里面有一些无后缀名的规则文件

其中每一个文件的作用如下：

args --GET 参数拦截规则

blockip --无作用

cookie --Cookie 拦截规则

denycc --无作用

post --POST 参数拦截规则

returnhtml --被拦截后的提示页面（HTML）

url --url 拦截规则

user-agent --UA 拦截规则

whiteip --无作用

whiteurl --白名单网址

nginx waf防火墙

Web应用防护系统（也称为：网站应用级入侵防御系统。英文：Web Application Firewall，简称： WAF）。利用国际上公认的一种说法：Web应用防火墙是通过执行一系列针对HTTP/HTTPS的安全策略来专门为Web应用提供保护的一款产

一. waf工作原理

Web应用防火墙是通过执行一系列针对HTTP/HTTPS的安全策略来专门为Web应用提供保护的一款产品。

常见的系统攻击分为两类：

一是利用Web服务器的漏洞进行攻击，如DDOS攻击、病毒木马破坏等攻击；

二是利用网页自身的安全漏洞进行攻击，如SQL注入攻击、跨站脚本攻击等。常见攻击方式对网站服务器带来的危害主要集中在病毒木马破坏、网页非法篡改、各类网络攻击带来的威胁。

nginx 防火墙怎么放行啊

不是。宝塔防火墙是基于nginx/apache模块开发的一套应用层防火墙,能有效阻止大部分渗透攻击，且提供高度自由的规则自定义功能，为站点加一道铜墙铁壁。主要目的是从源头阻止站点被挂马的事情发生。目前宝塔官网和官方论坛一直都在使用宝塔网站防火墙,效果良好。

nginx 安全防护

分布式系统服务保护

一、熔断

熔断一般是指依赖的外部接口出现故障的时断绝和外部接口的关系；例如你的A服务里面的一个功能依赖B服务，这时候B服务出问题了，返回的很慢。这种情况可能会因为这么一个功能而拖慢了A服务里面的所有功能，因此我们这时候就需要熔断！即当发现A要调用这B时就直接返回错误(或者返回其他默认值啊啥的)，就不去请求B了。

雪崩效应：在微服务架构中，微服务是完成一个单一的业务功能，这样做的好处是可以做到解耦，每个微服务可以独立演进。但是，一个应用可能会有多个微服务组成，微服务之间的数据交互通过远程过程调用完成。这就带来一个问题，假设微服务A调用微服务B和微服务C，微服务B和微服务C又调用其它的微服务，这就是所谓的“扇出”。如果扇出的链路上某个微服务的调用响应时间过长或者不可用，对微服务A的调用就会占用越来越多的系统资源，进而引起系统崩溃，所谓的“雪崩效应”。

熔断机制是应对雪崩效应的一种微服务链路保护机制。在微服务架构中，当扇出链路的某个微服务不可用或者响应时间太长时，会进行服务的降级，进而熔断该节点微服务的调用，快速返回错误的响应信息。当检测到该节点微服务调用响应正常后，恢复调用链路。

二、降级

降级也就是服务降级，当我们的服务器压力剧增为了保证核心功能的可用性 ，而选择性的降低一些功能的可用性，或者直接关闭该功能。这就是典型的丢车保帅了。就比如贴吧类型的网站，当服务器吃不消的时候，可以选择把发帖功能关闭，注册功能关闭，改密码，改头像这些都关了，为了确保登录和浏览帖子这种核心的功能。

熔断与降级的区别：触发原因不太一样，服务熔断一般是某个服务（下游服务）故障引起，而服务降级一般是从整体负荷考虑；

三、限流

限流的目的是通过对并发访问/请求进行限速或者一个时间窗口内的的请求进行限速来保护系统，一旦达到限制速率则可以拒绝服务（定向到错误页或告知资源没有了）、排队或等待（比如秒杀、评论、下单）、降级（返回兜底数据或默认数据，如商品详情页库存默认有货）。

漏桶算法：漏桶算法思路是请求先进入到漏桶里，漏桶以一定的速度出水，当水流入速度过大会直接溢出，可以看出漏桶算法能强行限制数据的传输速率。

令牌桶算法：令牌桶算法的原理是系统会以一个恒定的速度往桶里放入令牌，而如果请求需要被处理，则需要先从桶里获取一个令牌，当桶里没有令牌可取时，则拒绝服务。相比于漏桶算法令牌桶的优点是可以改变放令牌的速度. 一旦需要提高速率,则按需提高放入桶中的令牌的速率. 一般会定时(比如100毫秒)往桶中增加一定数量的令牌, 有些变种算法则实时的计算应该增加的令牌的数量。Guava的RateLimiter就是采用该算法进行限流控制。

计数器算法：计数器算法的核心就是在规定的时间内限制请求次数；例如：对于A接口来说，我们1分钟的访问次数不能超过100个。在一开 始的时候，我们可以设置一个计数器counte=0，每当一个请求过来的时候，counter就加1，如果counter的值大于100并且该请求与第一个 请求的间隔时间还在1分钟之内，那么说明请求数过多，拒绝请求；如果该请求与第一个请求的间隔时间大于1分钟，且counter的值还在限流范围内，那么就重置 counter=0；

Semaphore限流：可以控制某个资源可被同时访问的个数，acquire()获取一个许可，如果没有就等待，而release()释放一个许可。

四、常用的web服务器

Nginx主要有两种限流方式：

按连接数限流(ngx_http_limit_conn_module)（令牌算法实现）

按请求速率限流(ngx_http_limit_req_module)（漏桶算法实现）

tomcat 通过以下三个配置参数来进行限流操作：

maxThreads（最大线程数）：每一次HTTP请求到达Web服务，tomcat都会创建一个线程来处理该请求，那么最大线程数决定了Web服务可以同时处理多少个请求，默认200.

accepCount（最大等待数）：当调用Web服务的HTTP请求数达到tomcat的最大线程数时，还有新的HTTP请求到来，这时tomcat会将该请求放在等待队列中，这个acceptCount就是指能够接受的最大等待数，默认100.如果等待队列也被放满了，这个时候再来新的请求就会被tomcat拒绝（connection refused）。

maxConnections（最大连接数）：这个参数是指在同一时间，tomcat能够接受的最大连接数。一般这个值要大于maxThreads+acceptCount。

在实际工作中对于流量入口的限流一般都是采用Nginx，tomcat一般会设置为适合当前操作系统的最大连接数，具体的业务限流（某个服务接口）一般使用sentinel和hystrix。

五、hystrix

提供了线程池隔离(默认)与信号量隔离

六、sentinel

古之学者为己，今之学者为人

分类: 中间件

标签: 分布式

nginx 防火墙

你好，你需要先在面板中将通过面板安装的所有软件卸载，如nginx、mysql、php等等然后，SSH命令行，输入以下命令：/etc/init.d/btstop&&rm-f/etc/init.d/bt&&rm-rf/www/server/panel