一文搞定 Nginx 限流

> 本文由 [简悦 SimpRead](http://ksria.com/simpread/) 转码， 原文地址 [mp.weixin.qq.com](https://mp.weixin.qq.com/s/SxMlhPPcYw1gzfbbhfGg4g)

Nginx 现在已经是最火的负载均衡之一，在流量陡增的互联网面前，接口限流也是很有必要的，尤其是针对高并发的场景。Nginx 的限流主要是两种方式：限制访问频率和限制并发连接数。

限流（ rate limiting）是NGINX众多特性中最有用的，也是经常容易被误解和错误配置的，特性之一。该特性可以限制某个用户在一个给定时间段内能够产生的HTTP请求数。请求可以简单到就是一个对于主页的GET请求或者一个登陆表格的POST请求。
限流也可以用于安全目的上，比如减慢暴力密码破解攻击。通过限制进来的请求速率，并且（结合日志）标记出目标URLs来帮助防范DDoS攻击。一般地说，限流是用在保护上游应用服务器不被在同一时刻的大量用户请求湮没。

# 0. NGINX限流是如何工作的

NGINX限流使用漏桶算法（leaky bucket algorithm），该算法广泛应用于通信和基于包交换计算机网络中，用来处理当带宽被限制时的突发情况。和一个从上面进水，从下面漏水的桶的原理很相似；如果进水的速率大于漏水的速率，这个桶就会发生溢出。

在请求处理过程中，水代表从客户端来的请求，而桶代表了一个队列，请求在该队列中依据先进先出（FIFO）算法等待被处理。漏的水代表请求离开缓冲区并被服务器处理，溢出代表了请求被丢弃并且永不被服务。

![](/media/202211/2022-11-11_161804_9267310.13592486826665984.png)

# 一、限制访问频率（正常流量）

Nginx 中我们使用 ngx_http_limit_req_module 模块来限制请求的访问频率，基于漏桶算法原理实现。接下来我们使用 nginx limit_req_zone 和 limit_req 两个指令，限制单个 IP 的请求处理速率。

语法：`limit_req_zone key zone  rate`

![](/media/202211/2022-11-11_161824_9597320.72925880652773.png)

*   key ：定义限流对象，binary_remote_addr 是一种 key，表示基于 remote_addr(客户端 IP) 来做限流，binary_ 的目的是压缩内存占用量。
    
*   zone (区) ：定义共享内存区来存储访问信息， myRateLimit:10m 表示一个大小为 10M，名字为 myRateLimit 的内存区域。1M 能存储 16000 IP 地址的访问信息，10M 可以存储 16W IP 地址访问信息。
    
*   rate：用于设置最大访问速率，rate=10r/s 表示每秒最多处理 10 个请求。Nginx 实际上以毫秒为粒度来跟踪请求信息，因此 10r/s 实际上是限制：每 100 毫秒处理一个请求。这意味着，自上一个请求处理完后，若后续 100 毫秒内又有请求到达，将拒绝处理该请求。

# 二、限制访问频率（突发流量）

按上面的配置在流量突然增大时，超出的请求将被拒绝，无法处理突发流量，那么在处理突发流量的时候，该怎么处理呢？Nginx 提供了 burst 参数来解决突发流量的问题，并结合 nodelay 参数一起使用。burst 译为突发、爆发，表示在超过设定的处理速率后能额外处理的请求数。

![](/media/202211/2022-11-11_161954_4355450.6194511209315589.png)

burst=20 nodelay 表示这 20 个请求立马处理，不能延迟，相当于特事特办。不过，即使这 20 个突发请求立马处理结束，后续来了请求也不会立马处理。burst=20 相当于缓存队列中占了 20 个坑，即使请求被处理了，这 20 个位置这只能按 100ms 一个来释放。这就达到了速率稳定，但突然流量也能正常处理的效果。

![](/media/202211/2022-11-11_162151_9001360.511991659934959.png)

三、限制并发连接数

Nginx 的 ngx_http_limit_conn_module 模块提供了对资源连接数进行限制的功能，使用 limit_conn_zone 和 limit_conn 两个指令就可以了。

![](/media/202211/2022-11-11_162016_3216450.8226972096210089.png)

*   limit_conn perip 20：对应的 key 是 $binary_remote_addr，表示限制单个 IP 同时最多能持有 20 个连接。
    
*   limit_conn perserver 100：对应的 key 是 $server_name，表示虚拟主机 (server) 同时能处理并发连接的总数。注意，只有当 request header 被后端 server 处理后，这个连接才进行计数。

来源：http://suo.im/5E5Bvi

- END (结束) -