centos nginx如何防止DDoS攻擊

在CentOS上使用Nginx防止DDoS（分布式拒絕服務）攻擊，可以采取以下幾種策略：

1. 配置限速

通過限制每個IP地址的請求速率，可以有效防止DDoS攻擊。

使用ngx_http_limit_req_module

http {
    limit_req_zone $binary_remote_addr zone=mylimit:10m rate=1r/s;

    server {
        location / {
            limit_req zone=mylimit burst=5;
            ...
        }
    }
}

使用ngx_http_limit_conn_module

限制每個IP地址的并發連接數。

http {
    limit_conn_zone $binary_remote_addr zone=addr:10m;

    server {
        location / {
            limit_conn addr 10;
            ...
        }
    }
}

2. 使用防火墻

配置iptables或firewalld來限制連接數和請求速率。

iptables

# 限制每秒連接數
iptables -A INPUT -p tcp --syn -m limit --limit 1/s -j ACCEPT
iptables -A INPUT -p tcp --syn -j DROP

# 限制每IP連接數
iptables -A INPUT -p tcp --syn -m connlimit --connlimit-above 5 -j DROP

firewalld

# 限制每秒連接數
firewall-cmd --permanent --direct --add-rule ipv4 filter INPUT 0 -p tcp --syn -m limit --limit 1/s -j ACCEPT
firewall-cmd --permanent --direct --add-rule ipv4 filter INPUT 1 -p tcp --syn -j DROP
firewall-cmd --reload

# 限制每IP連接數
firewall-cmd --permanent --direct --add-rule ipv4 filter INPUT 0 -p tcp --syn -m connlimit --connlimit-above 5 -j DROP
firewall-cmd --reload

3. 使用Fail2Ban

Fail2Ban可以監控日志文件并自動封禁惡意IP地址。

安裝Fail2Ban

sudo yum install fail2ban -y

配置Fail2Ban

編輯/etc/fail2ban/jail.local文件，添加以下內容：

[nginx]
enabled = true
filter = nginx
action = iptables-multiport[name=nginx, port="http,https", protocol=tcp]
logpath = /var/log/nginx/access.log
bantime = 600
findtime = 600
maxretry = 3

啟動Fail2Ban

sudo systemctl start fail2ban
sudo systemctl enable fail2ban

4. 使用Cloudflare或其他CDN服務

Cloudflare等CDN服務可以提供DDoS防護，并且可以緩存靜態內容，減輕服務器壓力。

5. 監控和日志分析

定期檢查Nginx日志，使用工具如grep, awk, sed等進行日志分析，及時發現異常流量。

6. 升級Nginx和系統

確保Nginx和操作系統都是最新版本，以利用最新的安全補丁和性能優化。

通過以上策略，可以顯著提高CentOS上Nginx服務器的DDoS防護能力。