layui-box layui-code-view" style="margin-top: 0px; margin-bottom: 10px; padding: 9.5px; -webkit-tap-highlight-color: rgba(0, 0, 0, 0); white-space: pre-wrap; overflow-wrap: break-word; box-sizing: border-box; position: relative; font-size: 13px; border: 1px solid rgb(204, 204, 204); background-color: rgb(245, 245, 245); color: rgb(51, 51, 51); font-family: Menlo, Monaco, Consolas, "Courier New", monospace; overflow: auto; line-height: 1.42857; word-break: break-all; border-radius: 4px;">
code
#count.txt ,设置文件背景控制，寄存日志条数和最大拜候数。
[root@localhost ~]# cat count.txt
[root@localhost ~]# 10000 100

code
#!/bin/bash
#limit_ip.sh
#desc:限制高频ip剧本
nginx_home=/usr/local/openresty/nginx
log_path=/usr/local/openresty/nginx/logs
count=`cat count.txt |awk '{print $1}'` #拜候条数
rate=`cat count.txt |awk '{print $2}'`  #限制次数
tail -n $count $log_path/access.log \
 |awk '{print $1,$12}' \
 |grep -i -v -E "Google|yahoo|baidu|sogou|360" \
 |awk '{print $1}'|sort|uniq -c|sort -rn \
 |awk '{if($1>$rate)print "deny "$2";"}' >$nginx_home/conf/vhost/blockip.conf
$nginx_home/sbin/nginx -s reload

code
[root@localhost ~]# cat nginx.conf
...
include ./vhost/blockip.conf;
...
 
[root@localhost ~]# cat blockip.conf
deny 10.0.0.1;
deny 10.0.0.2;
deny 10.0.0.3;
...
 
#按时器,5分钟挪用一次
[root@localhost ~]# crontab -e
*/5 * * * * /data/shellscript/limit_ip.sh

二、nginx模块限制ip

code
#nginx.conf
http{
...
 
limit_req_zone $binary_remote_addr zone=limits:10m rate=50r/s;
limit_conn_zone $binary_remote_addr zone=addr:10m;
 
server {
    limit_req zone=limits burst=50;
    
    limit_conn addr 100;
    limit_rate 100k;
}
...
 
}

limit_req_zone : 限制单元时候内的请求数

limit_req_conn : 限制同一时候内的毗连（并发）数

超越限制会间接返货503毛病。

limit_req_zone模块

code
limit_req_zone $binary_remote_addr zone=five:10m rate=50r/s;

$binary_remote_addr 暗示经过remote_addr这个标识来做限制，“binary_”的目标是缩写内存占用量，是限制同一客户端ip地址。 

zone=limits:10m暗示天生一个巨细为10M，名字为limits的内存地区，用来存储拜候的频次信息。 

rate=1r/s暗示答应不异标识的客户真个拜候频次，这里限制的是每秒1次，还可以有比如30r/m的。

code
limit_req zone=limits burst=50;

第一个参数：zone=limits设备利用哪个设置地区来做限制，与上面limit_req_zone 里的name对应。 

第二个参数：burst=50，burst这个设置的意义是设备一个巨细为50的缓冲区当有大量请求（爆发）过来时，跨越了拜候频次限制的请求可以先放到这个缓冲区内。 

limit_conn_zone模块

这里限制的是当前请求已经读取到请求头后的一切毗连的ip。$binary_remote_addr zone=addr:10m;的意义同上。

code
limit_conn_zone $binary_remote_addr zone=addr:10m;

code
limit_conn limits 50;

限制limits地区每个IP只能倡议一个并发毗连。

limit_rate 100k 对每个毗连限速100k。

具体参考：

http://nginx.org/en/docs/http/ngx_http_limit_conn_module.HTML

http://nginx.org/en/docs/http/ngx_http_limit_req_module.html

三、nginx+lua waf 限制ip

ngx_lua_waf是一个基于lua-nginx-module(openresty)的web利用防火墙。

GitHub地址：https://github.com/loveshell/ngx_lua_wa