Оптимальная настройка ограничения соединений в nginx?

Question

[ShadowTrix]

Сервер: CPU 8 ядер, RAM 16 ГБ.
На сервере с десяток не особо нагруженных проектов, но бывают всплески входящих соединений.

В nginx.conf сейчас такие правила:

limit_conn_zone $binary_remote_addr zone=perip:10m;
limit_conn perip 10;
limit_conn_zone $server_name zone=perserver:10m;
limit_conn perserver 100;

Это помогает "держать" сервер, но на фронте много запросов через JS в таймаутах от 30 сек до 1 мин.
Соответственно, ограничение в 10 соединений для 1 IP вызывает ошибки типа:
limiting connections by zone "perip"

Поднимал до 100, но сразу получал извне кучу GET-запросов, которые сильно нагружали сервер.

Читал, но никак не могу разобраться, что все же нужно использовать.

Поделитесь вашей практикой и дайте советы.

Спасибо.

Comments

[Lynn «Кофеман»]

Может надо настроить limit_req?

И гранулярно расставить лимиты по location, если есть возможность.

[ShadowTrix]

Lynn «Кофеман», Возможность есть. Нет опыта, какие оптимальные настройки подобрать в этом случае.

Answer 1

[ky0]

Надо отталкиваться от прикладных последствий. "Всплески входящих соединений" как-то влияют на работоспособность системы? Если нет - ограничивать коннекты преждевременно (ну, разве что как-то на грани здравого смысла, типа 50 запросов в секунду на пользователя).

Comments

[ShadowTrix]

"Всплески входящих соединений" как-то влияют на работоспособность системы?

Если на несколько проектов сразу, то, да, увеличивается load average в разы.
Понятно, что где-то код виноват, но сейчас мне нужно лишь найти более-менее оптимальную настройку для ограничения ненормальных коннектов, но при этом не нарушить работу пользователя.

Впоследствии, я уже буду править значения по мере опыта.

[ky0]

ShadowTrix, нет, подождите, увеличение LA - это не прикладные последствия. Прикладные - это когда, например, начинает существенно медленнее отдаваться контент или появляются 500-ые ошибки.

[ShadowTrix]

ky0, А, нет, таких проблем нет.

Answer 2

[ShadowTrix]

Вообщем, удалил вышеприведенные правила и установил следующие:

limit_req_zone $binary_remote_addr zone=reqip:10m rate=50r/s;
limit_req zone=reqip burst=10 nodelay;

Понаблюдаю

Comments

[ShadowTrix]

Пришлось убрать вторую строку и оставить только

limit_req_zone $binary_remote_addr zone=reqip:10m rate=50r/s;

Потому что стали сыпаться такие ошибки:

limiting requests, excess: 10.100 by zone "reqip"