<div>allow all</div>
<div>deny bla bla</div>
<div>вы же сами все разрешили.. попробуйте deny впереди поставать<br><br>&nbsp;</div>
<div><span class="gmail_quote">On 1/25/09, <b class="gmail_sendername">Доронин Сергей</b> &lt;<a href="mailto:nophear@yandex.ru">nophear@yandex.ru</a>&gt; wrote:</span>
<blockquote class="gmail_quote" style="PADDING-LEFT: 1ex; MARGIN: 0px 0px 0px 0.8ex; BORDER-LEFT: #ccc 1px solid">Здравствуйте!<br>У меня на сервере на 8080 порту установлен apache, а на 80 nginx. Иногда мой сайт подвергается http-флуд атакам, что влечёт за собой множество<br>
<br>соединений с одного IP. Соответственно мне нужно средствами nginx ограничивать количество соединений с одного IP и блокировать доступ к сайту<br><br>для некоторых IP адресов. В документации по nginx я нашёл решение обоих вопросов. Вырезка из nginx.conf:<br>
<br># NGINX Server configuration<br><br>worker_processes&nbsp;&nbsp;3;<br><br>error_log&nbsp;&nbsp;/home/myhost/logs/error.log;<br><br>pid&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;/home/myhost/logs/nginx.pid;<br><br>events {<br>&nbsp;&nbsp; worker_connections&nbsp;&nbsp;1024;<br>}<br><br><br>http {<br>
&nbsp;&nbsp; include&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; /usr/local/etc/nginx/mime.types;<br>&nbsp;&nbsp; default_type&nbsp;&nbsp;application/octet-stream;<br>&nbsp;&nbsp; server_names_hash_bucket_size 64;<br><br>&nbsp;&nbsp; access_log&nbsp;&nbsp;/home/myhost/logs/access.log combined;<br><br>&nbsp;&nbsp; sendfile&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;on;<br>
<br>&nbsp;&nbsp; keepalive_timeout&nbsp;&nbsp;20;<br><br><br>&nbsp;&nbsp; limit_zone&nbsp;&nbsp; one&nbsp;&nbsp;$binary_remote_addr&nbsp;&nbsp;10m;<br><br>&nbsp;&nbsp; server {<br>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; listen&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <a href="http://1.2.3.4:80">1.2.3.4:80</a>;<br>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; server_name&nbsp;&nbsp;<a href="http://myhost.nichost.ru">myhost.nichost.ru</a> <a href="http://www.myhost.nichost.ru">www.myhost.nichost.ru</a>;<br>
<br>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; limit_conn&nbsp;&nbsp; one&nbsp;&nbsp;3;<br><br>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; allow all;<br>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; deny 92.113.238.129;<br>.....................<br>Где 1.2.3.4 - IP моего сервера.<br>С данным конфигом я запускаю nginx. После этого смотрю в netstat и вижу такую картину:<br>
<br>[myhost@web48 ~]$ netstat -an|grep ESTABLISH|more<br>netstat: kvm not available<br>tcp4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0&nbsp;&nbsp;1.2.3.4.80&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;62.182.93.42.55050&nbsp;&nbsp;&nbsp;&nbsp; ESTABLISHED<br>tcp4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0&nbsp;&nbsp;&nbsp;&nbsp;330&nbsp;&nbsp;1.2.3.4.80&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;92.113.238.129.20928&nbsp;&nbsp; ESTABLISHED<br>
tcp4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0&nbsp;&nbsp;&nbsp;&nbsp;330&nbsp;&nbsp;1.2.3.4.80&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;92.124.46.214.3788&nbsp;&nbsp;&nbsp;&nbsp; ESTABLISHED<br>tcp4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0&nbsp;&nbsp;&nbsp;&nbsp;330&nbsp;&nbsp;1.2.3.4.80&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;92.113.238.129.19614&nbsp;&nbsp; ESTABLISHED<br>tcp4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0&nbsp;&nbsp;1.2.3.4.80&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;62.182.93.42.56534&nbsp;&nbsp;&nbsp;&nbsp; ESTABLISHED<br>
tcp4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0&nbsp;&nbsp;&nbsp;&nbsp;330&nbsp;&nbsp;1.2.3.4.80&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;62.182.93.42.64848&nbsp;&nbsp;&nbsp;&nbsp; ESTABLISHED<br>tcp4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0&nbsp;&nbsp;&nbsp;&nbsp;330&nbsp;&nbsp;1.2.3.4.80&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;92.113.238.129.19580&nbsp;&nbsp; ESTABLISHED<br>tcp4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0&nbsp;&nbsp;&nbsp;&nbsp;330&nbsp;&nbsp;1.2.3.4.80&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;92.113.238.129.20842&nbsp;&nbsp; ESTABLISHED<br>
tcp4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0&nbsp;&nbsp;&nbsp;&nbsp;330&nbsp;&nbsp;1.2.3.4.80&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;95.79.9.220.3079&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ESTABLISHED<br>tcp4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0&nbsp;&nbsp;&nbsp;&nbsp;690&nbsp;&nbsp;1.2.3.4.80&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;92.126.158.158.49561&nbsp;&nbsp; ESTABLISHED<br>tcp4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0&nbsp;&nbsp;&nbsp;&nbsp;690&nbsp;&nbsp;1.2.3.4.80&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;92.126.158.158.49560&nbsp;&nbsp; ESTABLISHED<br>
tcp4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0&nbsp;&nbsp;&nbsp;&nbsp;330&nbsp;&nbsp;1.2.3.4.80&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;92.113.238.129.20807&nbsp;&nbsp; ESTABLISHED<br>tcp4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0&nbsp;&nbsp;&nbsp;&nbsp;330&nbsp;&nbsp;1.2.3.4.80&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;92.113.238.129.20795&nbsp;&nbsp; ESTABLISHED<br>tcp4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0&nbsp;&nbsp;&nbsp;&nbsp;330&nbsp;&nbsp;1.2.3.4.80&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;92.113.238.129.19495&nbsp;&nbsp; ESTABLISHED<br>
tcp4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0&nbsp;&nbsp;&nbsp;&nbsp;330&nbsp;&nbsp;1.2.3.4.80&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;92.113.238.129.20776&nbsp;&nbsp; ESTABLISHED<br>tcp4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0&nbsp;&nbsp;&nbsp;&nbsp;330&nbsp;&nbsp;1.2.3.4.80&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;95.79.9.220.3078&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ESTABLISHED<br>tcp4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0&nbsp;&nbsp;&nbsp;&nbsp;330&nbsp;&nbsp;1.2.3.4.80&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;92.113.238.129.20775&nbsp;&nbsp; ESTABLISHED<br>
tcp4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0&nbsp;&nbsp;&nbsp;&nbsp;330&nbsp;&nbsp;1.2.3.4.80&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;92.113.238.129.20774&nbsp;&nbsp; ESTABLISHED<br>tcp4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0&nbsp;&nbsp;&nbsp;&nbsp;330&nbsp;&nbsp;1.2.3.4.80&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;89.250.149.46.61099&nbsp;&nbsp;&nbsp;&nbsp;ESTABLISHED<br>tcp4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0&nbsp;&nbsp;&nbsp;&nbsp;330&nbsp;&nbsp;1.2.3.4.80&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;92.113.238.129.20760&nbsp;&nbsp; ESTABLISHED<br>
tcp4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0&nbsp;&nbsp;&nbsp;&nbsp;690&nbsp;&nbsp;1.2.3.4.80&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;92.243.181.212.17171&nbsp;&nbsp; ESTABLISHED<br>tcp4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0&nbsp;&nbsp;&nbsp;&nbsp;330&nbsp;&nbsp;1.2.3.4.80&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;92.124.46.214.3784&nbsp;&nbsp;&nbsp;&nbsp; ESTABLISHED<br>tcp4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0&nbsp;&nbsp;&nbsp;&nbsp;330&nbsp;&nbsp;1.2.3.4.80&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;92.113.238.129.20735&nbsp;&nbsp; ESTABLISHED<br>
tcp4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0&nbsp;&nbsp;&nbsp;&nbsp;330&nbsp;&nbsp;1.2.3.4.80&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;92.113.238.129.20738&nbsp;&nbsp; ESTABLISHED<br>tcp4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0&nbsp;&nbsp;&nbsp;&nbsp;330&nbsp;&nbsp;1.2.3.4.80&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;92.113.238.129.20718&nbsp;&nbsp; ESTABLISHED<br>tcp4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0&nbsp;&nbsp;&nbsp;&nbsp;330&nbsp;&nbsp;1.2.3.4.80&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;92.113.238.129.20708&nbsp;&nbsp; ESTABLISHED<br>
tcp4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0&nbsp;&nbsp;&nbsp;&nbsp;330&nbsp;&nbsp;1.2.3.4.80&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;92.113.238.129.20699&nbsp;&nbsp; ESTABLISHED<br>tcp4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0&nbsp;&nbsp;&nbsp;&nbsp;330&nbsp;&nbsp;1.2.3.4.80&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;92.113.238.129.20669&nbsp;&nbsp; ESTABLISHED<br>tcp4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0&nbsp;&nbsp;&nbsp;&nbsp;330&nbsp;&nbsp;1.2.3.4.80&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;92.113.238.129.20666&nbsp;&nbsp; ESTABLISHED<br>
tcp4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0&nbsp;&nbsp;&nbsp;&nbsp;330&nbsp;&nbsp;1.2.3.4.80&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;92.113.238.129.19411&nbsp;&nbsp; ESTABLISHED<br>tcp4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0&nbsp;&nbsp;&nbsp;&nbsp;330&nbsp;&nbsp;1.2.3.4.80&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;92.113.238.129.20657&nbsp;&nbsp; ESTABLISHED<br>tcp4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0&nbsp;&nbsp;&nbsp;&nbsp;330&nbsp;&nbsp;1.2.3.4.80&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;92.113.238.129.20633&nbsp;&nbsp; ESTABLISHED<br>
tcp4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0&nbsp;&nbsp;&nbsp;&nbsp;330&nbsp;&nbsp;1.2.3.4.80&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;92.113.238.129.19377&nbsp;&nbsp; ESTABLISHED<br>tcp4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0&nbsp;&nbsp;&nbsp;&nbsp;330&nbsp;&nbsp;1.2.3.4.80&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;92.113.238.129.19400&nbsp;&nbsp; ESTABLISHED<br>tcp4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0&nbsp;&nbsp;&nbsp;&nbsp;330&nbsp;&nbsp;1.2.3.4.80&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;92.124.46.214.3780&nbsp;&nbsp;&nbsp;&nbsp; ESTABLISHED<br>
tcp4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0&nbsp;&nbsp;&nbsp;&nbsp;330&nbsp;&nbsp;1.2.3.4.80&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;92.113.238.129.20599&nbsp;&nbsp; ESTABLISHED<br>tcp4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0&nbsp;&nbsp;&nbsp;&nbsp;330&nbsp;&nbsp;1.2.3.4.80&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;92.113.238.129.20598&nbsp;&nbsp; ESTABLISHED<br>tcp4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 0&nbsp;&nbsp;&nbsp;&nbsp;330&nbsp;&nbsp;1.2.3.4.80&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;92.113.238.129.20587&nbsp;&nbsp; ESTABLISHED<br>
[myhost@web48 ~]$ ps aux|grep nginx<br>myhost 89909&nbsp;&nbsp;0.0&nbsp;&nbsp;0.0 12224&nbsp;&nbsp;1220&nbsp;&nbsp;??&nbsp;&nbsp;Ss&nbsp;&nbsp; 12:47PM&nbsp;&nbsp; 0:00.00 nginx: master process /usr/local/sbin/nginx -c /home/myhost/nginx/nginx.conf<br><br>(nginx)<br>myhost 89910&nbsp;&nbsp;0.0&nbsp;&nbsp;0.1 12684&nbsp;&nbsp;1692&nbsp;&nbsp;??&nbsp;&nbsp;S&nbsp;&nbsp;&nbsp;&nbsp;12:47PM&nbsp;&nbsp; 0:06.15 nginx: worker process (nginx)<br>
myhost 89911&nbsp;&nbsp;0.0&nbsp;&nbsp;0.0 12500&nbsp;&nbsp;1508&nbsp;&nbsp;??&nbsp;&nbsp;S&nbsp;&nbsp;&nbsp;&nbsp;12:47PM&nbsp;&nbsp; 0:08.07 nginx: worker process (nginx)<br>myhost 89912&nbsp;&nbsp;0.0&nbsp;&nbsp;0.0 12500&nbsp;&nbsp;1508&nbsp;&nbsp;??&nbsp;&nbsp;S&nbsp;&nbsp;&nbsp;&nbsp;12:47PM&nbsp;&nbsp; 0:08.19 nginx: worker process (nginx)<br>myhost 94547&nbsp;&nbsp;0.0&nbsp;&nbsp;0.0&nbsp;&nbsp;1592&nbsp;&nbsp; 836&nbsp;&nbsp;p5&nbsp;&nbsp;S+&nbsp;&nbsp;&nbsp;&nbsp;1:13PM&nbsp;&nbsp; 0:00.00 grep nginx<br>
[myhost@web48 ~]$<br><br>92.113.238.129 - данный IP не только успешно соединяется с nginx (не смотря на &quot;deny&quot;), но и делает это параллельно бесконечное множество раз<br><br>(не смотря на limit_zone/limit_conn). Скажите пожалуйста, что я делаю не так? Почему nginx игнорирует соответствующие директивы в конфигах?<br>
<br>Заранее, спасибо!<br><br></blockquote></div><br>