Debian 上用 Nginx SSL 缓解 DDoS 的实用方案
一 分层防护思路
- 在 L3–L4（网络层） 用 iptables/UFW 做速率限制与黑白名单，尽早丢弃异常流量，降低内核与 Nginx 压力。
- 在 L7（应用层） 用 Nginx 做请求速率、并发连接、慢速攻击与恶意特征的限速与拦截。
- 在 边界/上游 引入 CDN 或专业 DDoS 防护（如 Cloudflare、Akamai）吸收大流量，Nginx 主要处理清洗后的“干净流量”。
- 在 应用层安全 叠加 WAF（ModSecurity/OWASP CRS 或 OpenResty Lua WAF） 识别与阻断常见攻击载荷。
- 在 运维侧 用 Fail2Ban 做动态封禁，结合监控告警与日志分析持续调优阈值。
二 Nginx 关键配置示例
- 强制 HTTPS 与 HSTS，仅启用 TLS 1.2/1.3，关闭不安全协议与弱套件；隐藏版本号，添加安全响应头。
- 基于 IP 的 请求速率限制 与 并发连接限制，对登录、API 等敏感路径可设置更严格阈值。
- 过滤异常 User-Agent/Referer 与非法 HTTP 方法，降低扫描与滥用风险。
- 防 慢速攻击 与滥用：缩短头部/请求体超时，限制请求体大小。
- 开启 缓存 与 stale-while-revalidate 策略，削峰填谷，减轻后端压力。
示例要点（按需合并到你的 server 配置中）：
- 全局或 http 块：
- limit_req_zone $binary_remote_addr zone=req_per_ip:10m rate=10r/s;
- limit_conn_zone $binary_remote_addr zone=conn_per_ip:10m;
- server 块（SSL 与基础加固）：
- listen 443 ssl; ssl_certificate /path/to/cert.pem; ssl_certificate_key /path/to/key.pem;
- ssl_protocols TLSv1.2 TLSv1.3; ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256; ssl_prefer_server_ciphers on;
- server_tokens off; add_header X-Frame-Options “SAMEORIGIN”; add_header X-XSS-Protection “1; mode=block”; add_header X-Content-Type-Options “nosniff”;
- return 301 https://$host$request_uri;（在 80 端口 server 中）
- 敏感路径（示例：/login）：
- limit_req zone=req_per_ip burst=20 nodelay;
- limit_conn conn_per_ip 20;
- 过滤与方法限制（http 或 server 中）：
- map $http_user_agent $block_ua { default 0; ~*(curl|wget|nikto|sqlmap) 1; } if ($block_ua) { return 403; }
- if ($request_method !~ ^(GET|POST|HEAD)$) { return 405; }
- 防慢速与大小限制：
- client_body_timeout 10s; client_header_timeout 10s; keepalive_timeout 15s; client_max_body_size 10m;
- 缓存削峰（proxy 场景）：
- proxy_cache_path /data/nginx/cache levels=1:2 keys_zone=STATIC:10m inactive=60m;
- proxy_cache_key “$scheme$proxy_host$uri”; proxy_cache_use_stale updating;
说明：以上为常用且有效的组合，阈值需结合业务实测微调，避免误杀正常流量。
三 系统与网络层加固
- 使用 iptables/UFW 做基础速率限制与黑白名单（示例思路）：对单个来源 IP 的新建连接数进行限速，超过阈值即 DROP/REJECT；对已知恶意网段直接封禁；对 443 端口的异常握手/空包进行速率限制。
- 将源站置于 CDN/防护 之后，开启其 Web 防火墙、速率限制与 Bot 管理 能力，仅放行清洗后的流量到源站 Nginx。
- 对管理后台、API 管理端等敏感路径配置 IP 白名单，其余来源一律拒绝。
- 保持 Debian 与 Nginx 及时更新，修补漏洞，减少被利用的风险面。
四 监控 告警与自动化处置
- 启用 Fail2Ban 监控 Nginx 访问日志（如高频 4xx/5xx、异常 UA、暴力路径访问），自动调用 iptables 封禁恶意来源，并设置合理的解封时间。
- 建立 监控与日志分析（如 Prometheus + Grafana、ELK），对 连接数、请求速率、缓存命中率、后端响应时延 设置阈值告警，异常时联动限流与封禁策略。
- 定期 更新 WAF 规则库（如 OWASP CRS），并结合业务变更持续评估与演练。
五 部署与调优注意事项
- 先在测试环境验证所有限速与拦截策略，采用 渐进式阈值 与 分路径策略（登录/支付/API 更严格），避免影响正常用户。
- 对静态资源与可缓存接口开启 强缓存与 stale 策略，显著降低后端压力与带宽占用。
- 若遭受 大规模 L3–L4 攻击，优先依赖 上游 CDN/清洗 能力，源站 Nginx 主要承担应用层细粒度控制与观测。