Nginx对客户端的限制方法

http {
    # 定义一个名为 "perip" 的共享内存区域，大小为 10MB，
    # 用于存储客户端 IP ($binary_remote_addr) 的连接计数。
    limit_conn_zone $binary_remote_addr zone=perip:10m;
    server {
        listen 80;
        server_name example.com;
        location / {
            # 限制每个 IP 最多只能有 20 个并发连接
            limit_conn perip 20;
            # 可选：自定义超过限制时返回的状态码
            limit_conn_status 503; 
            proxy_pass http://backend;
        }
    }
}

http {
    # 定义一个名为 "one" 的共享内存区域，大小为 10MB，
    # 限制每个 IP 的请求速率为每秒 10 个 (10r/s)。
    limit_req_zone $binary_remote_addr zone=one:10m rate=10r/s;
    server {
        location /api/ {
            # 应用限制规则
            # burst=20: 允许突发最多 20 个额外请求进入“缓冲队列”
            # nodelay: 不延迟处理突发的请求，直接放行（否则会按速率匀速处理）
            limit_req zone=one burst=20 nodelay;
            proxy_pass http://api_backend;
        }
    }
}

server {
    location /download/ {
        # 限制每个连接的下载速度为 128KB/s
        limit_rate 128k;
        # 可以结合内部变量实现动态限速
        # 例如，对特定 User-Agent 限速
        if ($http_user_agent ~* "BadBot") {
            set $limit_rate 1k;
        }
        alias /path/to/files/;
    }
}

set_real_ip_from 192.168.1.0/24; # 可信代理的IP段
real_ip_header X-Forwarded-For;   # 从该Header中获取真实IP
real_ip_recursive on;             # 递归解析X-Forwarded-For
# 之后再使用 $realip_remote_addr 或重新赋值 $binary_remote_addr
map $realip_remote_addr $client_ip {
    "" $remote_addr;
    default $realip_remote_addr;
}
limit_conn_zone $client_ip zone=real_perip:10m;

geo $limited_ip {
    default 1;          # 默认所有IP都需要被限制
    10.0.0.0/8 0;       # 内网IP豁免
    1.2.3.4 0;          # 特定IP豁免
}
map $limited_ip $limit_key {
    0 "";               # 豁免IP，映射为空字符串
    1 $binary_remote_addr; # 需要限制的IP，映射为其IP
}
limit_req_zone $limit_key zone=api:10m rate=10r/s;
location /api/ {
    limit_req zone=api burst=20 nodelay;
}

log_format main_ext '$remote_addr - $remote_user [$time_local] '
                    '"$request" $status $body_bytes_sent '
                    '"$http_referer" "$http_user_agent" '
                    'rt=$request_time uct="$upstream_connect_time" '
                    'uht="$upstream_header_time" urt="$upstream_response_time" '
                    'limit_req_status=$limit_req_status'; # 记录限流状态
access_log /var/log/nginx/access.log main_ext;