网站nginx配置限制单个IP访问频率，预防DDOS恶意攻击
对于网站来说，尤其是流量较大出名的网站，经常遇到攻击，如DDOS攻击等，虽然有些第三方，如Cloudflare可以挡，但对于动态网站PHP来说，只能挡一部分。这时候需要对于单个IP恶意攻击做出限流。nginx的两个模块可以限流。
nginx两个限流模块：
连接频率限制，ngx_http_limit_conn_module：官方文档：
请求频率限制，ngx_http_limit_req_module：官方文档：
网上理论很多，根据名字可知：
当然还是看不懂的话，通俗点讲（相对于时间比较）：
比如秒杀，抢购，连接频率限制和请求频率限制应该配合使用 , 使用连接频率限制同一IP同时只能有3个连接, 再使用请求频率限制对于同一ip的请求，限制平均速率为5个请求/秒 , 这样比单独只使用一种限制要好很多。
比如只使用请求频率限制 , 可以精确地限制同一ip1秒只能发起5次的http请求 , 假如同一ip1秒内发起了100000次请求 , 虽然限制了只有5次成功响应 , 但是其他的99995次的请求TCP握手建立http连接是不是会消耗服务器资源? 所以还需要配合使用。
1、limit_req_zone，示例：
2、limit_conn_zone，示例：
3、搭配一起使用
1、ab命令
ab是apache自带的压力测试工具。一般不用额外安装，ab非常实用，它不仅可以对apache服务器进行网站访问压力测试，也可以对或其它类型的服务器进行压力测试。比如nginx、tomcat、IIS等。
测试命令
2、wrk命令
需自己安装，地址：
安装
测试命令：
还有其他压测工具，自行研究
Tomcat 怎样防止跨站请求伪造
这里有两个方案，可以参考： 方案一：每个请求都带上一个由服务器生成的随机参数。然后在服务器端和对该参数，如果和下发的随机数不同，则可以认为有人在伪造请求。因为攻击者无法知道他本次攻击的http请求需要带什么样的随机数才是有效的。
HOST头攻击漏洞的解决： web应用使用SERVER_NAME而非host header。 请问具体如何实施呢？(是java开发的)
host header，就是请求消息头里面的一个字段，如下图
SERVER_NAME应该是指Nginx或者tomcat里面的一个白名单机制，意思是配置之后，只有白名单内的ip才被允许访问，具体怎么用不清楚。
解决这个漏洞，网上有这种方案，可以一试：
打开tomcat的conf目录中的server.xml文件，在Host节点做如下配置：
Host name="localhost" appBase="webapps" unpackWARs="true" autoDeploy="true" xmlValidation="false" xmlNamespaceAware="false"
Alias10.1.8.158/Alias!--10.1.8.158 本地局域网--
Valve className="org.apache.catalina.valves.AccessLogValve" directory="logs" prefix="localhost_access_log." suffix=".txt" resolveHosts="false" pattern="%a %A %b %B %h %H %l %m %p %s %S %t %u %U %v %D %T" /
/Host
关于 "Apache Commons FileUpload 和 Tomcat拒绝服务漏洞(CVE-2014-0050) "
网站会容易被黑客攻击，说明你的网站存在很多安全隐患，漏洞之类的，就算登录服务器找到源文件修复了，也会被黑客再次入侵，所以只有把网站的所有漏洞找出来进行修复，防止黑客的攻击，避免安全事故发生，造成网页挂马、网页内容被篡改、数据泄露等，可以找专业的网络安全公司来服务！国内也就Sinesafe和绿盟等安全公司 比较专业.
我是从事IDC行业的.以上这些也是平时工作中经常遇到的问题.希望我的回答对你有所帮助.
tomcat与nginx，apache的区别是什么？
Tomcat与Nginx、Apache的关系如下图。由配送中心选择Apache、Nginx中的某一辆货车将包裹送给客户。虽然Apache、Nginx两辆车的用途是一样的，仔细区分它们两还是有区别的，比如：货物装载的速度、方式不一样，Apache有水箱可以直接运送活鱼而Nginx没有。
Tomcat有点像装活鱼的特殊包装。经过特殊包装打包的活鱼就可以通过Nginx和Apache运送到用户手中。另外，使用Tomcat包含了一种慢速的配送服务，所以配送中心一般都采用Nginx、Apache等配送。通过上面的比方引申Apache、Nginx、Tomcat的实际用途Apache全称Apache
HTTP
Server，它是Apache软件基金会的一个开放源码的网页伺服服务器软件。
Apache支持模块多，性能稳定。Apache本身是静态解析（静态页面），适合静态的HTML、图片等，但可以通过扩展脚本、模块来支持动态页面等。Apche可以支持PHP、CGI、Perl，但要使用Java就需要Tomcat，Java请求会通过Apache转发给Tomcat处理；
Nginx同样也是一款开源的HTTP
Server，它是由俄罗斯人编写的轻量级HTTP服务。Nginx是一个高性能的HTTP和反向代理服务器，同时也是一个IMAP、POP3、SMTP代理服务器。Nginx本身不支持生成动态页面，很大部分Web服务器使用Nginx，主要通过Nginx的反向代理来实现负载均衡器。
Apache、Nginx本质上就是一种运用在HTTP服务器上某种应用程序，它们通过绑定服务器的IP地址并监听某一个TCP端口来接收并处理HTTP请求，这样用户（一般通过IE、Chrome、Firefox等发送请求并显示内容）就能够通过HTTP协议来获取服务器上的网页（HTML+CSS样式）、文档（PDF、txt、rar等）、音频、视频等资源。如下图：
不仅Apache和Nginx，绝大多数编程语言所包含的类库中也可以实现简单的HTTP服务供开发者使用，如：Java HTTP Server、Python SimpleHTTPServer。Apache和Nginx的对比Nginx使用异步非阻塞型事件驱动的方法来处理请求，而Apache则是通过同步阻塞型的方法来处理请求。
Apache接收一个请求后，就会创建一个进程，每个进程内单线程。对于一个负载相对较高的网站来说，256的进程，也就是256个线程。线程处理请求时是同步阻塞模式，会一直等待该请求读取程序文件（IO）（同步），执行业务逻辑，返回给客户端，所有操作完成之后才能处理下一个请求（阻塞）。如果服务器已经达到256的极限，那么接下去的访问就需要排队。这也就是为什么某些服务器负载不高的原因了。
而Ngnix接收一个请求后，不会等待这个请求的文件读取操作完成之后才接收下一个请求，它不会等待这个请求的后续的处理结果。而是会马上循环处理下一个请求（不阻塞）。请求的程序文件执行完成之后，会主动通知该线程，不用你主动去等待或者轮询查看（异步）。
最后返回给客户端。这样做，每个请求过来就不需要等待很长的时间排队，而是马上就能接收，开始进行处理了。等处理完成之后，会主动通知回调这个线程进行数据返回。
基于上述特性Nginx更轻量级，比Apache占用更少的内存及资源抗并发，Nginx静态处理性能比Apache高3倍以上。在高并发下Nginx能保持低资源低消耗高性能高度模块化的设计。但Apache组件比Nginx多，对PHP的支持比较简单，Apche的Rewrite也比Nginx强大一些。Tomcat用于扩充Apache和Nginx的动态性能从上面我们知道了Apache和Nginx的优势在于静态解析，那么动态解析就会交给其他模块处理，如Tomcat。
Tomcat是由Apache软件基金会旗下Jakarta项目开发的Servlet容器，实现对Servlet和JavaServer Page（jsp）的支持。Tomcat本身也包含了HTTP服务，也可单做独立的Web服务，但用的不多。
Tomcat一共设计了
4
种容器，它们分别为Engine、Host、Context、Wrapper，各个容器组件之间的关系是由大到小，即父子关系，它们之间关系形成一个树状的结构，它们的实现类都实现了
Container
接口。总结如果Apache、Nginx、Tomcat打一局LOL，Apache和Nginx像是冲在最前面的英雄。而Tomcat攻击性能弱，它主要负责打辅助，奶前面的英雄。
Nginx并发性好，CPU、内存占用低。但如果rewrite频繁，那还是选择Apache好一些，Apache在处理动态请求更有优势。
0条大神的评论