Пионерским админам

http://nginx.org/ru/docs/beginners_guide.html#control

reload — перезагрузка конфигурационного файла

это чтобы не перезапускать, блин, сервер. а то у тебя от перезапуска получается больше нагрузка чем от пионеров

Почему бы не взять fail2ban для такой задачи и вообще не пропускать досящих пользователей к nginx?

+1 к Fail2ban.

ну ни фига себе. Не слишком ли жирно перезапускать сервер на каждый плохой запрос?

fail2ban это же защита от брутфорса, а не от ddos-атак

Это тулза, которая парсит логи и добавляет правила в файрволл, так что использовать можно как угодно.

или код возврата 403

Кстати, а че это ты решил банить по IP всех кто получил 403? А что твой сервак отдает 403 только в случае этой дос атаки, и больше никогда? А если обычный юзер ошибется адресом, и получит 403, ты его тоже банишь?

про fail2ban знаю, но речь идёт о виртуальном хостинге провайдера, где установка дополнительного ПО невозможна. Поэтому и нужен скрипт.

что даже ngx_http_limit_req_module запрещен?

я, честно говоря, не понимаю как этот модуль может решить мою проблему. буду признателен за разъяснения. ну а вообще, нужен скрипт))) самое очевидное и просто решение для моей ситуации

То есть какие-то свои левые скрипты можно притаскивать, а fail2ban вам не поставят? Ну и зачем тогда нужны такие грабли, почему не взять vps (тем более что nginx вы сами конфигурируете)? Но вообще раз права на рестарт nginx вам дали, то может и на управление файрволом права дадут? А собрать fail2ban можно хоть в домашнем каталоге, тут особо рут не нужен.

Ладно, про скрипт - используете include - подключайте список из блокируемых адресов, а основной конфиг не правьте. Для сборка списка пойдет однострочник вида (только уточните как там в основной конфиг nginx инклюдятся клиентские конфиги чтоб не получилось что по маске *.conf вам это deny-список два раза заинклюдит)

grep "ApacheBench\|\"POST / HTTP/1.0\" 403" /var/log/имя_сайта.access_log  | awk '{print "deny "$1}' > /etc/nginx/имя_сайта.deny.conf

Можно поиграться с выборкой и не переписывать файл каждый раз а просто добавлять строки или еще как-то улучшить, но это уже вам решать\делать.

Есть готовые решения в портах. +1 к fail2ban.

ТС, какие ddos-атаки, ты тему называть не можешь правильно! Тебе в интернете не место.

На, держи: «Блокирование ip после попадания строки в лог nginx»

Используй fail2ban. Если хостер не дает - меняй хостера. К черту костыли, используй готовые и проверенные решения.

reload — перезагрузка конфигурационного файла

это чтобы не перезапускать, блин, сервер. а то у тебя от перезапуска получается больше нагрузка чем от пионеров

да, конечно reload. В контексте задачи по написанию скрипта это не суть важно. В скрипте я бы конечно же написал reload, а не restart. Но, спасибо за замечание.

ну ни фига себе. Не слишком ли жирно перезапускать сервер на каждый плохой запрос?

жирно. ответил выше))

Кстати, а че это ты решил банить по IP всех кто получил 403? А что твой сервак отдает 403 только в случае этой дос атаки, и больше никогда? А если обычный юзер ошибется адресом, и получит 403, ты его тоже банишь?

в конфиге nginx у меня просто правило стояло:

    if ($http_user_agent ~ apachebench ) {
        return 403;
    }

grep "ApacheBench\|\"POST / HTTP/1.0\" 403" /var/log/имя_сайта.access_log  | awk '{print "deny "$1}' > /etc/nginx/имя_сайта.deny.conf

за помощь со скриптом огромное большое спасибо! )
сделал, вроде работает, терь вот самое время про fail2ban подумать.
вы вот писали, что fail2ban можно в домашнем каталоге собрать, не поделитесь ссылкой где можно об этом подробнее почитать.
хотя, думаю, без рута не получится, т.к. рут для управления файрволом нужен.

Используй fail2ban. Если хостер не дает - меняй хостера. К черту костыли, используй готовые и проверенные решения.

не получится поменять, предоплату за год вперед сделали, возврата денег нет, сумма большая

Да, без доступа к файрволлу толку от него не будет.

Не знаю как это правильно делать во фряхе. «Классический» вариант это скачать пакет и вот типа такой команды запустить внутри ./configure --prefix=/home/myusername/system/ && make && make install. Потом запускается с учетом указанного префикса, то есть в приведенном случае будет /home/myusername/system/usr/bin/fail2ban-server (в Debian при установке средствами пакетного менеджера бинарник кладется в /usr/bin/fail2ban-server, в FreeBSD опять же это может отличаться).