如何配置Nginx限制单IP连接数为5并验证配置生效

一、配置正确性判断与完整方案 #

你写的两行核心配置语法没有问题，但存在几个容易导致限制失效、或者影响用户体验的细节，完整可落地的配置逻辑如下：

• 核心规则的层级要求：limit_conn_zone $binary_remote_addr zone=limitconnbyaddr:20m;必须放在Nginx配置的http块下，不能放到server或location块内，否则Nginx启动会直接报语法错误。你选择$binary_remote_addr作为限流键是最优方案，相比$remote_addr更节省内存，20m的内存空间大约可以存储16万条IP连接状态，个人天气应用完全够用。
• limit_conn limitconnbyaddr 5;的放置位置灵活：如果需要对整站所有路径生效，直接放在server块下即可，不用每个location重复编写；如果只需要对天气查询等特定接口做限制，再放到对应接口的location块中。
• 补充体验优化配置：默认情况下连接数超限Nginx会返回503错误，容易让用户误以为服务故障，可以加一行limit_conn_status 429;将超限返回码改为符合HTTP语义的「请求过多」；同时可以加limit_conn_log_level warn;把超限日志级别设为warn，避免大量error日志刷屏。
• 前置代理场景适配：如果你的VM前面挂了CDN、负载均衡等代理服务，直接用$binary_remote_addr拿到的是代理节点IP，不是真实用户IP，会导致限流规则完全失效。这种情况需要先在http块配置真实IP获取规则，再启用限流：

  # 替换成你实际用的前置代理IP段
  set_real_ip_from 192.168.1.0/24;
  real_ip_header X-Forwarded-For;
  

  如果你的VM直接绑定公网IP、没有前置代理，这步可以跳过。

完整配置参考（省略原有默认配置，只贴新增/修改部分）：

http {
    # 原有配置（include mime.types、日志格式等）保持不变
    limit_conn_zone $binary_remote_addr zone=limitconnbyaddr:20m;
    limit_conn_status 429;
    limit_conn_log_level warn;

    server {
        listen 80;
        server_name 你的站点IP/域名;
        # 整站生效就把规则写在这
        # limit_conn limitconnbyaddr 5;

        location / {
            # 原有反向代理到Gunicorn的配置保持不变
            proxy_pass http://127.0.0.1:8000;
            proxy_set_header Host $host;
            proxy_set_header X-Real-IP $remote_addr;
            # 对站点所有路径生效就打开下面这行
            limit_conn limitconnbyaddr 5;
        }

        # 如果只需要限制天气接口，就把规则写到对应location里
        # location /api/weather {
        #     proxy_pass http://127.0.0.1:8000/api/weather;
        #     limit_conn limitconnbyaddr 5;
        # }
    }
}

配置修改完成后，先执行nginx -t校验语法，提示test is successful后执行nginx -s reload重载配置即可，不需要重启服务，不会中断现有业务。

二、规则生效验证方法 #

注意：limit_conn限制的是同一IP的同时活跃连接数，不是累计请求数，验证时需要构造并发长连接，短请求发完就释放连接很难触发限制。结合你用Flask+Gunicorn的技术栈，可以用以下三种方法验证：

• 方法1：ab压测工具快速验证
  先安装ab工具：Debian/Ubuntu执行apt install -y apache2-utils，CentOS执行yum install -y httpd-tools。安装完成后执行命令构造6个并发请求（超过你设置的5个阈值）：

  ab -n 10 -c 6 http://你的站点地址/
  

  查看返回结果中的Non-2xx responses字段，如果数值大于0，同时查看Nginx错误日志（默认路径/var/log/nginx/error.log）能找到包含limiting connections by zone "limitconnbyaddr"的记录，就说明限流规则已经触发。
• 方法2：长连接精准验证
  先在Flask代码里临时加一个长耗时测试接口，用来保持连接：

  @app.route('/test-conn-limit')
  def test_conn_limit():
      import time
      time.sleep(10) # 保持连接10秒，足够观察结果
      return "connect success"
  

  重载Flask服务后，在客户端执行循环命令开6个后台curl请求：

  for i in {1..6}; do curl -N http://你的站点地址/test-conn-limit & done
  

  观察返回结果：前5个请求会等待10秒后返回connect success，第6个请求会立刻返回你配置的429状态码，说明规则生效。验证完删掉测试接口即可。
• 方法3：浏览器简单验证
  打开Chrome/Edge浏览器，按F12打开开发者工具，切换到Network面板，勾选「Disable cache」，快速连续刷新页面6次以上，在请求列表里能看到有1条请求返回429状态码，也能确认规则生效。

注意验证前确认Gunicorn的并发配置足够，不要出现还没到Nginx的连接阈值，先被Gunicorn拒绝连接的情况，测试环境下Gunicorn用-w 2 -k gevent --threads 4这类配置即可，不会干扰Nginx层的限流结果。

内容的提问来源于stack exchange，提问作者Gilad Tayeb