Nginx黑白名单进阶玩法：从手动配置到结合Lua+Redis的动态封禁（防爬虫/CC攻击实战）

Nginx动态防护体系：基于Lua+Redis的智能IP管控实战

当服务器日志里突然出现大量499状态码时，当API响应时间从200ms飙升到2000ms时，每个运维工程师都会意识到——服务器正在遭受恶意流量攻击。传统的静态黑白名单就像固定岗哨，能拦住已知的破坏分子，却对新型攻击手段束手无策。本文将带你构建一个会自主学习的防御系统，它能像经验丰富的安全专家一样，实时识别并阻断异常IP。

1. 静态防御的瓶颈与突破

在南京某电商平台的运维中心，张工正在手动更新Nginx黑名单配置。这已经是他今天第三次处理CC攻击了，攻击者每次更换一批代理IP，静态防御规则就像打地鼠游戏般被动。deny 192.168.1.100;这样的配置在自动化攻击面前显得力不从心，主要体现在三个维度：

1. 时效性滞后：从发现攻击到更新配置平均需要15分钟，攻击者早已完成数据爬取
2. 管理成本高：随着规则增多，配置文件会膨胀到难以维护的程度
3. 缺乏智能判断：无法区分正常用户的突发请求和恶意流量

# 传统静态黑名单示例 location /api { include blockips.conf; # 包含数百条deny规则 proxy_pass http://backend; }

通过对比实验可以发现，当黑名单超过500条时，Nginx的启动时间会增加300ms以上。更关键的是，这种防御方式缺乏弹性，无法应对以下几种现代攻击场景：

• 分布式低速爬虫：每个IP请求频率控制在阈值边缘
• IP池轮询攻击：攻击者拥有数万个代理IP轮流访问
• 合法API滥用：使用真实用户凭证但异常调用接口

2. 动态防御体系架构设计

OpenResty作为Nginx的增强版本，通过内置LuaJIT引擎让我们可以在请求处理阶段执行自定义逻辑。结合Redis的高速读写特性，我们构建的智能防御系统架构如下：

客户端请求 → Nginx接入层 → Lua脚本检查 → Redis查询黑白名单 ↑ | | ↓ (自动封禁机制) [实时日志分析]

这个架构的核心优势在于将防御规则从配置文件转移到了内存数据库，实现了：

• 毫秒级规则生效：新增黑名单IP立即对所有边缘节点生效
• 分布式一致性：所有Nginx节点共享同一套防御规则
• 状态持久化：重启服务不会丢失封禁记录

2.1 环境准备与基础配置

首先确保系统已安装最新版OpenResty（建议1.21+）和Redis（6.2+）。以下是关键组件安装命令：

# Ubuntu安装示例 wget -qO - https://openresty.org/package/pubkey.gpg | sudo apt-key add - sudo apt-get -y install software-properties-common sudo add-apt-repository -y "deb http://openresty.org/package/ubuntu $(lsb_release -sc) main" sudo apt-get update sudo apt-get install openresty redis-server

创建基础配置文件/usr/local/openresty/nginx/conf/nginx.conf，关键部分如下：

http { lua_package_path "/etc/nginx/lua/?.lua;;"; lua_shared_dict ip_blacklist 10m; init_by_lua_block { redis = require "resty.redis" } server { listen 80; location / { access_by_lua_file /etc/nginx/lua/access_check.lua; proxy_pass http://backend; } } }

3. 核心防御逻辑实现

3.1 Lua脚本与Redis交互

在/etc/nginx/lua/access_check.lua中实现智能判断逻辑，该脚本会：

1. 提取客户端真实IP（考虑X-Forwarded-For头）
2. 查询Redis中该IP的评分
3. 根据评分决定放行、限流或阻断

local redis_host = "127.0.0.1" local redis_port = 6379 local blacklist_key = "ip:blacklist" local whitelist_key = "ip:whitelist" -- 获取客户端真实IP local function get_client_ip() local headers = ngx.req.get_headers() local ip = headers["X-Real-IP"] or headers["X-Forwarded-For"] or ngx.var.remote_addr return ip end local ip = get_client_ip() -- 连接Redis local red = redis:new() red:set_timeout(1000) -- 1秒超时 local ok, err = red:connect(redis_host, redis_port) if not ok then ngx.log(ngx.ERR, "Redis连接失败: ", err) return ngx.exit(500) end -- 检查白名单 local is_whitelist, err = red:sismember(whitelist_key, ip) if is_whitelist == 1 then red:set_keepalive(10000, 100) return end -- 检查黑名单 local is_blacklist, err = red:sismember(blacklist_key, ip) if is_blacklist == 1 then red:set_keepalive(10000, 100) return ngx.exit(403) end -- 限流检查（令牌桶算法实现） local limit_key = "rate_limit:" .. ip local limit = tonumber(red:get(limit_key)) or 0 if limit >= 10 then -- 每秒10次请求阈值 red:incr(limit_key) red:expire(limit_key, 60) -- 60秒过期 return ngx.exit(429) else red:incr(limit_key) end red:set_keepalive(10000, 100)

3.2 自动封禁机制实现

在/etc/nginx/lua/log_analyzer.lua中实现日志分析逻辑，自动识别并封禁异常IP：

-- 统计最近5分钟请求频率 local key = "req_count:" .. ip local count = red:incr(key) red:expire(key, 300) -- 5分钟过期 -- 自动封禁逻辑 if count > 1000 then -- 5分钟内超过1000次请求 red:sadd(blacklist_key, ip) red:expire(blacklist_key, 86400) -- 封禁24小时 ngx.log(ngx.WARN, "自动封禁IP: ", ip) end

4. 高级防护策略

4.1 智能限流算法

单纯的固定频率限流容易误伤正常用户，我们采用动态阈值算法：

-- 计算动态阈值（基于历史基线） local baseline_key = "baseline:" .. ip local current_hour = os.date("%H") local baseline = tonumber(red:hget(baseline_key, current_hour)) or 5 -- 默认5次/秒 -- 动态调整阈值（+20%弹性空间） local dynamic_limit = math.floor(baseline * 1.2) if current_rate > dynamic_limit then -- 触发限流 end

4.2 多维度防御策略

在Redis中设计更精细的防御规则：

4.3 实战配置示例

完整的Nginx位置块配置示例：

location /api { access_by_lua_file /etc/nginx/lua/access_check.lua; # 静态防护兜底 limit_req zone=api_limit burst=20 nodelay; limit_conn api_conn 50; # 记录详细日志用于分析 log_by_lua_file /etc/nginx/lua/log_analyzer.lua; proxy_pass http://api_backend; proxy_set_header X-Real-IP $remote_addr; }

5. 系统优化与监控

5.1 性能调优参数

在高并发场景下需要调整以下参数：

http { lua_socket_pool_size 100; # 连接池大小 lua_socket_keepalive_timeout 60s; lua_shared_dict ip_blacklist 100m; # 共享内存大小 # 每个worker进程保持的Redis连接数 lua_max_pending_timers 1024; lua_max_running_timers 256; }

5.2 监控指标设计

通过Prometheus收集关键指标：

# HELP nginx_blacklist_total Total IPs in blacklist # TYPE nginx_blacklist_total gauge nginx_blacklist_total{host="$host"} $redis.LLEN(ip:blacklist) # HELP nginx_blocked_requests_total Total blocked requests # TYPE nginx_blocked_requests_total counter nginx_blocked_requests_total{host="$host"} $counter

在Grafana中配置的监控看板应包含：

• 实时封禁IP地图分布
• 请求频率TOP 10 IP
• 各类攻击占比饼图
• 防御规则命中率趋势

这套系统在某金融平台上线后，将CC攻击造成的服务中断时间从平均47分钟降低到0，自动化处理了92%的恶意流量。运维团队现在只需要关注剩下的8%新型攻击模式，逐步完善防御规则。