Nginx免费防火墙
Nginx的费防免费防火墙，说白了就是火墙一套基于Nginx配置的访问控制规则。别被“防火墙”三个字唬住，费防它没有硬件盒子，火墙也没有独立进程，费防就是火墙一堆精心设计的location块、if判断和模块组合。费防真正用起来，火墙你会发现它比很多商业WAF都顺手——前提是费防你得懂点配置语法。
我见过太多人花大价钱买云WAF，火墙结果防护规则一塌糊涂。费防其实Nginx自带的火墙ngx_http_limit_req_module和ngx_http_access_module就能挡住大部分扫描器和暴力破解。举个例子，费防我维护的火墙一个老博客，之前每天被WordPress爆破登录接口，费防日志里全是POST /wp-login.php的请求。后来我只加了三条limit_req规则，把同一IP的登录请求限成每秒1次，CPU占用率直接从30%掉到2%。
具体怎么配？核心是两层。第一层用access模块做IP黑名单，直接deny掉那些来自数据中心IP段的扫描器——很多云厂商的IP段网上都能查到，定期更新就行。第二层用limit_req模块做速率限制，别小看这个，它对防CC攻击特别有效。你要注意区分正常用户和机器人的行为特征：真人不可能在0.5秒内连续刷新10个不同页面，而爬虫和攻击工具可以。
有个细节容易踩坑：限流规则如果放错位置，会误伤正常用户。比如我见过有人把limit_req直接放在server块里，结果所有静态资源请求都被限速，网站图片加载慢得跟拨号一样。正确做法是放在location块内，只针对动态接口，比如/api/或/login.php。静态文件用expires缓存，根本不需要限流。
还有一层容易被忽略——Nginx的日志分析。免费方案里，日志就是你的情报源。我习惯用GoAccess实时解析access.log，一旦发现某个IP的404请求频率异常高，多半是在扫目录，直接手动加进黑名单。这比任何商业WAF的“智能识别”都直接。
当然，Nginx防火墙也有短板。它处理不了应用层攻击，比如SQL注入或XSS，因为那些需要解析HTTP请求体，而Nginx默认不干这活。真要防这类攻击，得搭配ModSecurity或OpenResty的lua脚本，但那就不是“免费”两个字能轻松搞定的了。所以我的判断是：如果你只是防扫描、防爆破、防简单CC，Nginx自带功能足够；要是业务涉及支付或用户数据，还是老老实实上专业WAF。
最后说个真实体验。去年我帮朋友的小电商站配了这套方案，配置好那一刻，他盯着监控面板问：“这防火墙真在工作？”我让他用手机开4G网络，连续快速刷新下单接口，第五次就弹出了503。他愣了两秒，然后笑了。这就是Nginx防火墙的实在感——没有花哨的界面，但每一行规则都在替你挡真实流量。