Nginx流量控制及白名单实现

sudo tee /etc/yum.repos.d/nginx.repo << 'eof'
[nginx-stable]
name=nginx stable repo
baseurl=https://nginx.org/packages/centos/$releasever/$basearch/
gpgcheck=1
enabled=1
gpgkey=https://nginx.org/keys/nginx_signing.key
 
[nginx-mainline]
name=nginx mainline repo
baseurl=https://nginx.org/packages/mainline/centos/$releasever/$basearch/
gpgcheck=1
enabled=0
gpgkey=https://nginx.org/keys/nginx_signing.key
eof

yum install -y nginx
systemctl enable --now nginx

package main

import (
	"fmt"
	"io"
	"net/http"
	"time"
)

// ansi color codes
const (
	redcolor    = "\033[31m"
	greencolor  = "\033[32m"
	yellowcolor = "\033[33m"
	resetcolor  = "\033[0m"
)

// 记录成功、失败、无法响应以及服务暂时不可用（503）的请求数量
var successcount int
var failurecount int
var unresponsivecount int
var tempunavailablecount int // 新增变量来跟踪503 service unavailable状态的请求数量

// makerequest 向给定的 url 发送一个 get 请求，并根据响应的成功与否以不同颜色打印出响应状态和所花费的时间。
func makerequest(url string, attempt int) {
	starttime := time.now()
	resp, err := http.get(url)
	elapsedtime := time.since(starttime)

	if err != nil {
		// 如果因为网络问题或服务器问题导致请求失败，我们将其计为“无法响应”
		fmt.printf("[%d] %srequest unresponsive: %s %.4f seconds%s\n", attempt, redcolor, err, elapsedtime.seconds(), resetcolor)
		unresponsivecount++
		return
	}
	defer func(body io.readcloser) {
		err := body.close()
		if err != nil {
			fmt.printf("error closing response body: %s\n", err)
		}
	}(resp.body)

	color := greencolor
	if resp.statuscode == 503 {
		color = yellowcolor
		tempunavailablecount++ // 对返回503状态码的请求进行统计
	} else if resp.statuscode != 200 {
		color = redcolor
		failurecount++
	} else {
		successcount++
	}

	// 根据状态码，以对应的颜色打印响应状态码和耗时
	fmt.printf("[%d] %s%d %.4f seconds%s\n", attempt, color, resp.statuscode, elapsedtime.seconds(), resetcolor)
}

func main() {
	url := "http://192.168.226.21"
	totalattempts := 1000
	starttime := time.now()

	for attempt := 1; attempt <= totalattempts; attempt++ {
		makerequest(url, attempt)
	}

	totalelapsedtime := time.since(starttime)
	successrate := (float64(successcount) / float64(totalattempts)) * 100
	failurerate := (float64(failurecount) / float64(totalattempts)) * 100
	unresponsiverate := (float64(unresponsivecount) / float64(totalattempts)) * 100
	tempunavailablerate := (float64(tempunavailablecount) / float64(totalattempts)) * 100 // 计算503状态码比率

	fmt.printf("%stotal elapsed time: %.4f seconds%s\n", resetcolor, totalelapsedtime.seconds(), resetcolor)
	fmt.printf("成功率: %.2f%%, 失败率: %.2f%%, 无法响应的请求比: %.2f%%, 服务暂时不可用请求比率(503): %.2f%%\n", successrate, failurerate, unresponsiverate, tempunavailablerate)
}

    # 定义一个限流区域
    # $binary_remote_addr 使用二进制格式的客户端ip地址作为键
    # zone=mylimit:10m 创建一个名为'mylimit'的共享内存区域，大小为10mb
    # rate=10r/s 每秒最多允许1个请求
    limit_req_zone $binary_remote_addr zone=mylimit:10m rate=10r/s;
    upstream myweb {
        server 192.168.226.21:80 weight=1 max_fails=1 fail_timeout=1;
    }

server {
    listen       80;  # 定义服务器监听的端口为 80，这是 http 协议的默认端口。
    server_name  localhost;  # 设置服务器名称为 localhost，这意味着它将响应发送到 localhost 的请求。
    
    location /{  # 定义对根路径("/")的请求的处理规则。
        root   /usr/share/nginx/html;  # 设置文档根目录，这是 nginx 在响应请求时查找文件的地方。
        index  index.html index.htm;  # 设置当请求是一个目录时，默认会返回的文件。在这里，如果访问根目录("/"),会首先尝试返回 index.html 文件，如果没有找到，再尝试 index.htm。
        limit_req zone=mylimit;  # 为根路径的请求应用请求限制，使用名为 mylimit 的限流规则。
        limit_req_dry_run off;  # 设置为on以在日志中查看限制的影响，而不会实际限制流量
        proxy_pass http://myweb;
        proxy_set_header host $host:$server_port;
        proxy_set_header x-real-ip $remote_addr;
        proxy_set_header x-forwarded-for $proxy_add_x_forwarded_for;
    }
}

#修改默认打开页面，用来区分两个主机
#修改192.168.226.20主机
echo "webserver1" > /usr/share/nginx/html/index.html

#修改192.168.226.21主机
echo "webserver2" > /usr/share/nginx/html/index.html

#两个主机都重启nginx
systemctl restart nginx

#排除上面实验的干扰，重新安装配置nginx
yum remove -y nginx
yum install -y nginx
systemctl enable --now nginx

vim /etc/nginx/nginx.conf

#将下面的http块替换nginx配置文件的里的http块代码，其他不用动
http {
    include       /etc/nginx/mime.types;  # 包括mime类型定义，让nginx能根据文件扩展名设置正确的content-type头。
    default_type  application/octet-stream;  # 设置默认的mime类型，当文件类型未定义时使用。

    log_format  main  '$remote_addr - $remote_user [$time_local] "$request" '
                      '$status $body_bytes_sent "$http_referer" '
                      '"$http_user_agent" "$http_x_forwarded_for"';  # 自定义日志格式。
    access_log  /var/log/nginx/access.log  main;  # 定义access日志的存储位置和使用的格式。

    # 以下部分定义了基于ip地址的访问限制。
    geo $limit {
        default 		1;  # 默认情况下，所有ip地址的$limit值设为1。
        10.0.0.0/24 	0;  # 对于这两个子网中的ip地址，将$limit设为0。
        192.168.0.0/24 	0;
    }
    
    # 根据$limit的值，动态地设置$limit_key变量。
    map $limit $limit_key {
        0 "";  # 如果$limit为0，$limit_key为空。
        1 $binary_remote_addr;  # 如果$limit为1，$limit_key使用二进制格式的客户端ip地址。
    }
    
    # 定义请求限制区域req_zone，按$limit_key对请求进行分组，每个组最多每秒处理5个请求。
    limit_req_zone $limit_key zone=req_zone:10m rate=5r/s;

    server {  # 定义一个服务器监听在80端口。
        listen 80;  # 监听80端口。
        server_name localhost;  # 服务器名称设置为localhost。
        
        location / {  # 对于根路径的请求。
            limit_req zone=req_zone burst=10 nodelay;  # 应用请求限制，允许突发请求高达10个。
            root /usr/share/nginx/html;  # 网站根目录。
            index index.html index.hml;  # 定义默认首页。
        }
    }
    
    include /etc/nginx/conf.d/*.conf;  # 导入/etc/nginx/conf.d/目录下的所有.conf配置文件。
}

http {
	# ...

	limit_req_zone $limit_key zone=req_zone:10m rate=5r/s;
	limit_req_zone $binary_remote_addr zone=req_zone_wl:10m rate=15r/s;

	server {
		# ...
		location / {
			limit_req zone=req_zone burst=10 nodelay;
			limit_req zone=req_zone_wl burst=20 nodelay;
			# ...
		}
	}
}

白名单内的ip地址不会匹配到第一个“流量限制”，而是会匹配到第二个`req_zone_wl`，并且被限制到每秒15个请求。
不在白名单内的ip地址两个限制能匹配到，所以应用限制更强的那个：每秒5个请求。

#将下面的http块替换nginx配置文件的里的http块代码，其他不用动
http {
    include       /etc/nginx/mime.types;  # 包括mime类型定义，让nginx能根据文件扩展名设置正确的content-type头。
    default_type  application/octet-stream;  # 设置默认的mime类型，当文件类型未定义时使用。

    log_format  main  '$remote_addr - $remote_user [$time_local] "$request" '
                      '$status $body_bytes_sent "$http_referer" '
                      '"$http_user_agent" "$http_x_forwarded_for"';  # 自定义日志格式。
    access_log  /var/log/nginx/access.log  main;  # 定义access日志的存储位置和使用的格式。

    # 以下部分定义了基于ip地址的访问限制。
    geo $limit {
        default 		1;
        10.0.0.0/24 	0;
        192.168.0.0/24 	0;
    }
    
    # 根据$limit的值，动态地设置$limit_key变量。
    map $limit $limit_key {
        0 "";  # 如果$limit为0，$limit_key为空。
        1 $binary_remote_addr;  # 如果$limit为1，$limit_key使用二进制格式的客户端ip地址。
    }
    
    # 定义请求限制区域req_zone，按$limit_key对请求进行分组，每个组最多每秒处理5个请求。
    limit_req_zone $limit_key zone=req_zone:10m rate=5r/s;
	limit_req_zone $binary_remote_addr zone=req_zone_wl:10m rate=15r/s;
    server {  # 定义一个服务器监听在80端口。
        listen 80;  # 监听80端口。
        server_name localhost;  # 服务器名称设置为localhost。
        
        location / {  # 对于根路径的请求。
            limit_req zone=req_zone burst=10 nodelay;
			limit_req zone=req_zone_wl burst=20 nodelay;
            root /usr/share/nginx/html;  # 网站根目录。
            index index.html index.hml;  # 定义默认首页。
        }
    }
    
    include /etc/nginx/conf.d/*.conf;  # 导入/etc/nginx/conf.d/目录下的所有.conf配置文件。
}

limit_req_zone $binary_remote_addr zone=myzone:10m rate=1r/s;

server {
    location / {
        limit_req zone=myzone burst=5 nodelay;
        limit_req_log_level warn;
        ...
    }
}

error_log  /path/to/your/error.log  level;

limit_req_status 412;

systemctl restart nginx