快捷導(dǎo)航

nginx?ingress限速那些事淺析

更新時(shí)間：2023年04月13日 14:07:04 作者：爛筆頭

這篇文章主要為大家介紹了nginx?ingress限速的一些知識(shí)的淺析，有需要的朋友可以借鑒參考下，希望能夠有所幫助，祝大家多多進(jìn)步，早日升職加薪

從業(yè)務(wù)場(chǎng)景出發(fā)

在業(yè)務(wù)開發(fā)過程中，我們有個(gè)需求是：通過filebrowser提供的下載服務(wù)需要進(jìn)行限速處理。如用戶在通過filebrowser進(jìn)行文件下載的時(shí)候，需要限制每個(gè)用戶的下載速率。從這個(gè)需求擴(kuò)展開來(lái)，也可以限定特定用戶的下載速率。

為了實(shí)現(xiàn)這個(gè)業(yè)務(wù)需求，結(jié)合我們當(dāng)前的技術(shù)棧（k8s + nginx ingress），可以通過配置相應(yīng)的nginx參數(shù)來(lái)實(shí)現(xiàn)。

什么是限速？

限速，顧名思義，是限制速率。

這里的速率可以是：

單個(gè)用戶在單位時(shí)間內(nèi)訪問資源的頻率，
也可以是單個(gè)ip在單位時(shí)間內(nèi)訪問資源的頻率，
還可以是單位時(shí)間內(nèi)指定連接的傳輸速率。

通常，后者的業(yè)務(wù)場(chǎng)景存在于下載限速

為什么要限速？

限速的本質(zhì)是保證公平。

在帶寬資源有限的情況下，盡可能地保障每個(gè)用戶能被合理的分配足夠的帶寬值。也可以在帶寬資源有限的情況下，通過限速的方式，服務(wù)更多的用戶。

另外，限速還可以大大緩解分布式拒絕服務(wù)攻擊（DDOS）帶來(lái)的影響。

在nginx ingress的yaml文件里，都有哪些配置？

Nginx ingress的限速配置基本可以在ingress的nginx.ingress.kubernetes.io注解里可以找到。

下面，對(duì)和限速相關(guān)的注解進(jìn)行逐一解讀：

nginx.ingress.kubernetes.io/limit-connections：?jiǎn)蝹€(gè)IP地址可以同時(shí)并發(fā)連接的個(gè)數(shù)。如果超過連接并發(fā)數(shù)，則返回503錯(cuò)誤。
nginx.ingress.kubernetes.io/limit-rps：限制單個(gè)IP每秒鐘的請(qǐng)求數(shù)(limit request per second)。超出限制，返回503錯(cuò)誤。需要注意的是，并不是立刻超出該配置設(shè)定的值就馬上出現(xiàn)503錯(cuò)誤，nginx允許在一定時(shí)間范圍內(nèi)的突發(fā)請(qǐng)求數(shù)的存在（突發(fā)請(qǐng)求數(shù) = limit-rps * limit-burst-multiplier）。那么什么時(shí)候會(huì)出現(xiàn)503呢？這就要從nginx的限流模型展開了。nginx的限流模型就是一個(gè)隊(duì)列（參考線程池的隊(duì)列模型模型），限流的max連接數(shù)=隊(duì)列處理的能力+隊(duì)列長(zhǎng)度，即max-connections-per-second=limit-rps+limit-rps*limit-burst-multiplier。
nginx.ingress.kubernetes.io/limit-rpm：同limit-rps，不過limit-rpm的優(yōu)先級(jí)高于limit-rps，也就是說當(dāng)同時(shí)設(shè)置了limit-rpm和limit-rps，以limit-rpm為準(zhǔn)。不過當(dāng)limit-connections也設(shè)置了，那么limit-connections的優(yōu)先級(jí)最高。
nginx.ingress.kubernetes.io/limit-burst-multiplier：突發(fā)請(qǐng)求大小的系數(shù)，主要用來(lái)定義連接的隊(duì)列長(zhǎng)度，默認(rèn)是5
nginx.ingress.kubernetes.io/limit-rate-after：超過多少流量后執(zhí)行限速（limit-rate），單位是KB
nginx.ingress.kubernetes.io/limit-rate：?jiǎn)蝹€(gè)連接每秒的限速值，單位是KB。
nginx.ingress.kubernetes.io/limit-whitelist：設(shè)定IP白名單，在該白名單內(nèi)的IP不被限速，支持CIDR，多個(gè)IP可用逗號(hào)隔開。

注意

當(dāng)limit-connections, limit-rps, limit-rpm同時(shí)設(shè)定時(shí)，優(yōu)先級(jí)是limit-connections>limit-rpm>limit-rps
limit-rate-after和limit-rate生效的前提是 nginx.ingress.kubernetes.io/proxy-buffering: "on"
以上提到的IP，需要區(qū)分來(lái)自SLB還是真實(shí)的用戶IP，獲取真實(shí)的用戶IP，可以參考這里

4. 針對(duì)業(yè)務(wù)需求的方案

搞清楚了這些知識(shí)點(diǎn)后，再回到我們的業(yè)務(wù)本身，可以簡(jiǎn)單的在業(yè)務(wù)ingress的配置文件中添加以下配置即可：

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  annotations:
    ...
    nginx.ingress.kubernetes.io/proxy-buffering: on
    nginx.ingress.kubernetes.io/limit-rate: 10 # 單位是KB
  name: xxx
  namespace: yyy
spec:
  ingressClassName: nginx
  rules:
    ...

參考：