Nginx IP访问控制在极限攻击下必须满足三要素：封禁时效≤3秒、精准拦截不误伤、服务稳定性QPS波动＜15%，且需验证真实IP还原、无reload依赖及多维度日志协同。
Nginx IP访问控制在极限攻击下的封禁表现，不能只看配置是否“写了”，关键得验证它在真实高压场景中是否真生效、不漏放、不误伤、不拖垮服务。测试不是模拟几条curl命令，而是要逼近真实CC或扫描器行为，同时观察Nginx自身响应、日志输出、系统资源和封禁动作的协同性。
测试前必须确认的底层前提
-
日志格式含真实IP：若用CDN或反代，
$remote_addr必须已通过real_ip_module还原（检查set_real_ip_from和real_ip_header配置），否则封禁对象是代理IP，完全失效。 -
封禁逻辑无依赖reload：如用
deny指令+文件include方式，每次加IP都需nginx -s reload，高并发下reload本身会抖动甚至失败；应优先选用不依赖重载的方案（如Fail2ban调iptables、OpenResty+Redis黑名单）。 -
监控通道就绪：需能实时查看三类输出：
- Nginx error log（查
limit_req拒绝记录或if/return 403触发痕迹） - 封禁工具日志（如
/var/log/fail2ban.log或自定义脚本的/tmp/drop_ip.log） - 系统级封禁状态（
iptables -vnL INPUT | grep DROP或fail2ban-client status <jail></jail>）
- Nginx error log（查
构建可控的极限攻击流量
不用黑产工具，用标准Linux命令即可制造有梯度的压力：
-
单IP高频请求（检验 limit_req）
# 每秒30次GET，持续60秒（远超 rate=20r/s 阈值） for i in $(seq 1 60); do curl -s -o /dev/null -w "%{http_code}\n" http://your-site.com/ --connect-timeout 2 & done; wait -
多IP轮询扫描（检验Fail2ban或脚本识别能力）
准备一个IP列表（如ips.txt含50个不同IP），用并行请求模拟扫描器：cat ips.txt | xargs -I{} -P 10 bash -c 'for i in {1..8}; do curl -s -H "X-Forwarded-For: {}" http://your-site.com/admin.php -o /dev/null; sleep 0.3; done'注：
X-Forwarded-For用于触发 real_ip 还原逻辑；-P 10控制并发数，避免压垮本机。 -
混合异常请求（触发401/404规则）
# 对/login接口发100次错误POST（触发Fail2ban的 nginx-login jail） for i in $(seq 1 100); do curl -s -X POST -d "user=test&pass=wrong" http://your-site.com/login -o /dev/null -w "%{http_code}\n"; done
关键观测点与合格标准
| 观测项 | 合格表现 | 不合格信号 |
|---|---|---|
| 封禁触发时效 | 从首次越限到IP出现在iptables或fail2ban banned列表 ≤ 3秒（Fail2ban默认findtime=60s，需调低测试） | 超过10秒才封禁，或需手动fail2ban-client reload才生效 |
| 封禁精准性 |
iptables -vnL INPUT 中仅出现目标恶意IP，且pkts计数持续增长；正常运维IP访问不受影响 |
封禁了整个C段、或封了CDN回源IP、或白名单IP也被拦 |
| Nginx稳定性 |
ab -n 1000 -c 100 http://your-site.com/ 基准压测QPS波动＜15%，error log无 worker process is shutting down 类报错 |
出现大量 502/504、worker进程频繁重启、CPU持续100% |
| 抗绕过能力 | 更换User-Agent、加随机Query参数、改请求路径后，仍被同一规则捕获 | 仅靠URL匹配的简单正则，被/login?x=1轻易绕过 |
针对不同方案的专项验证技巧
-
如果是 limit_req + burst：用
burst=5 nodelay时，连续6次请求应全部拒绝（而非前5次放过）；去掉nodelay后，第6次应延迟1秒再返回，验证漏桶行为。 -
如果是Fail2ban：执行
fail2ban-regex /var/log/nginx/access.log /etc/fail2ban/filter.d/nginx-login.conf，确认正则能100%匹配恶意日志行，且不匹配健康检查请求（如GET /health HTTP/1.1 200）。 -
如果是自写脚本封禁：在脚本中加入
echo "$(date) $IP matched $(tail -n100 $LOG_FILE | grep "$IP" | wc -l) times"，确认统计逻辑不因日志滚动或并发读写出错。
封禁不是终点，而是安全闭环的一环。真正可靠的方案，一定能在极限压力下保持判定准确、动作及时、系统稳定——这三者缺一不可。
