几年前写过一些nginx基础防御cc攻击的脚本教程，但是今天去看都几年没有更新了，有的不符合现有的程序使用。

当然这类脚本、程序都很多，随便找个合适自己的就行了，因为我之前都是基于lua，这次就直接以nginx默认的和另外个程序来测试，毕竟搜索的时候，出来的参考就它fail2ban在前面，也就不翻后面了。

这次主要还弄，是因为有个域名没有备案，不能用国内的cdn服务，又不想用cloudflare的cdn，因为国内大部分地区都无法访问套cf的网站。

nginx自带：

1、修改nginx.conf文件，在http段落里面添加代码，根据自己情况来。

limit_conn_zone $binary_remote_addr zone=limit_conn:10m;
#分配10m内存
limit_req_zone $binary_remote_addr zone=limit_req:10m rate=5r/s;
#每秒请求5次
limit_req_zone $binary_remote_addr zone=limit_req_s:10m rate=10r/m;
#搜索每分钟请求10次，这个不一定

2、修改网站配置文件，在server段落里面添加代码：

limit_conn limit_conn 10;
#限制单ip并发不能超过10
limit_req zone=limit_req burst=10 nodelay;
#限制每秒请求不能超过10

如果超过限制就会返回503错误，然后用服务器防火墙封禁ip，看看自己的是iptables还是firewalld。

iptables -I INPUt -p tcp -s 要封ip -j DROP
#iptables
firewall-cmd --add-rich-rule="rule family='ipv4' source address='要封ip' reject"
# firewalld

搭配fail2ban

yum install -y fail2ban
#安装fail2ban

可以根据自己需要来配置过滤配置，我也就按照我找到的教程写来，第一次接触，因为时间原因也不过多研究了。

在/etc/fail2ban/filter.d目录新建个test.conf文件

# fail2ban filter configuration for nginx


[Definition]

failregex = ^<HOST> .* "(GET|POST|HEAD).*HTTP.*" (404|503) .*$
ignoreregex =.*(robots.txt|favicon.ico|jpg|png)

然后就在/etc/fail2ban/目录下，新建个local文件，直接复制新建就行了。

cp jail.conf jail.local

不要删除默认的jail.conf文件，fail2ban服务会读取conf和local文件，并且会覆盖先前读取的。

然后在jail.local里面最后添加代码：

[test]
enabled = true
#port = http,https
#前面加#或者直接删了，就是监控所有端口
filter = test
#过滤器名称
action = firewallcmd-allports[name=test]
logpath = /data/wwwlogs/access_nginx.log
#自己nginx的访问日志
maxretry = 5
#阀值
findtime = 600
#时间间隔
bantime = 3600
#封禁时长
ignoreip = 127.0.0.1
#过滤本地和自己服务器ip等

测试规则：

fail2ban-regex /data/wwwlogs/access_nginx.log /etc/fail2ban/filter.d/test.conf

其他的可以自己看下

systemctl enable fail2ban.service 
#开机启动
systemctl start fail2ban.service 
#立即启动
systemctl status fail2ban.service
#查看状态
fail2ban-client statu
#查看jail状态

查看日志，可以根据里面情况来封禁ip

fail2ban-client set test unbanip ip
#封
fail2ban-client set test banip ip
#解封

最后可以关注下日志，自己nginx和网站配置日志、然后还有fail2ban默认日志：/var/log里面。

这些都只是很简单的基础防御，针对大型攻击是没用的，不过也可以学习了解下。

如果你域名备案了，建议使用腾讯云的CDN服务，比阿里云更划算，也更适合个人、小公司，阿里云的cdn安全服务太贵了。

如果你域名没有备案，又不在意国内访问，就使用cloudflare的cdn服务，安全防御更强大。

参考：

https://tlanyan.me/server-protect-cc-attack/

https://www.fail2ban.org/wiki/index.php/MANUAL_0_8

标签为: