centos nginx如何防止DDoS攻击

在CentOS上使用Nginx防止DDoS（分布式拒绝服务）攻击，可以采取以下几种策略：

1. 配置限速

通过限制每个IP地址的请求速率，可以有效防止DDoS攻击。

使用ngx_http_limit_req_module

http {
    limit_req_zone $binary_remote_addr zone=mylimit:10m rate=1r/s;

    server {
        location / {
            limit_req zone=mylimit burst=5;
            ...
        }
    }
}

使用ngx_http_limit_conn_module

限制每个IP地址的并发连接数。

http {
    limit_conn_zone $binary_remote_addr zone=addr:10m;

    server {
        location / {
            limit_conn addr 10;
            ...
        }
    }
}

2. 使用防火墙

配置iptables或firewalld来限制连接数和请求速率。

iptables

# 限制每秒连接数
iptables -A INPUT -p tcp --syn -m limit --limit 1/s -j ACCEPT
iptables -A INPUT -p tcp --syn -j DROP

# 限制每IP连接数
iptables -A INPUT -p tcp --syn -m connlimit --connlimit-above 5 -j DROP

firewalld

# 限制每秒连接数
firewall-cmd --permanent --direct --add-rule ipv4 filter INPUT 0 -p tcp --syn -m limit --limit 1/s -j ACCEPT
firewall-cmd --permanent --direct --add-rule ipv4 filter INPUT 1 -p tcp --syn -j DROP
firewall-cmd --reload

# 限制每IP连接数
firewall-cmd --permanent --direct --add-rule ipv4 filter INPUT 0 -p tcp --syn -m connlimit --connlimit-above 5 -j DROP
firewall-cmd --reload

3. 使用Fail2Ban

Fail2Ban可以监控日志文件并自动封禁恶意IP地址。

安装Fail2Ban

sudo yum install fail2ban -y

配置Fail2Ban

编辑/etc/fail2ban/jail.local文件，添加以下内容：

[nginx]
enabled = true
filter = nginx
action = iptables-multiport[name=nginx, port="http,https", protocol=tcp]
logpath = /var/log/nginx/access.log
bantime = 600
findtime = 600
maxretry = 3

启动Fail2Ban

sudo systemctl start fail2ban
sudo systemctl enable fail2ban

4. 使用Cloudflare或其他CDN服务

Cloudflare等CDN服务可以提供DDoS防护，并且可以缓存静态内容，减轻服务器压力。

5. 监控和日志分析

定期检查Nginx日志，使用工具如grep, awk, sed等进行日志分析，及时发现异常流量。

6. 升级Nginx和系统

确保Nginx和操作系统都是最新版本，以利用最新的安全补丁和性能优化。

通过以上策略，可以显著提高CentOS上Nginx服务器的DDoS防护能力。