别让恶意流量拖垮你的网站手把手教你宝塔设置精准访问限流

这事儿吧，很多刚建站不久的朋友估计都踩过坑。刚攒点人气或者做了个小推广，服务器直接卡死，后台登都登不上，查日志才发现全是刷接口的爬虫、恶意请求。 其实不用慌，宝塔面板自带的Nginx防火墙或者Apache防火墙，就能帮你把这些乱七八糟的流量拦在门外。前提是你得用对，别乱开一通把正常访客也挡了。 先来说说怎么找到访问限流的入口，不管你用的是Nginx还是Apache，路径差不多。登录宝塔后台，找到左侧的「软件商店」，搜索你站点用的Web服务器（比如Nginx），点右边的「设置」，弹出来的窗口里，直接能看到「流量限制」这个标签页。 对，先开这个自带的基础款，比第三方插件稳定多了，小白也不会搞出大问题。 接下来填参数，别凭感觉乱填，给你个通用的参考值，适合大多数个人博客、小型企业站。 单IP连接数限制，一般设成20-50就够。什么意思？就像你家客厅，最多能放20-50张沙发同时坐人，访客坐满了就等会儿，别挤进来一堆把客厅踩塌。个人博客访客不多，20足够；带点小功能的展示站，30-50也稳。 单IP每秒请求数限制，这个更关键，很多刷站的爬虫都是每秒几百几千次请求。普通访客正常浏览，每秒最多点个2-3次，对吧？设成10-20完全够用，再多大概率是机器。 限制时长，也就是触发限制后，这个IP要被封多久。建议设成300秒，也就是5分钟。太短的话，封了之后立刻又来刷；太长的话，万一误封了正常访客，体验太差。 填完之后，记得先点「保存」，再点「重载配置」，不然参数白改，一点用都没有。 很多人肯定会问，要是我这个站有特殊需求呢？比如后台有API接口给微信小程序用，总不能把小程序的服务器IP也封了吧？ 别担心，宝塔自带的基础款就有白名单功能。还是在刚才的「流量限制」标签页，往下滑找到「白名单」，把你信任的IP、IP段，甚至域名（比如微信的服务器域名）填进去，一行一个，保存重载就行。 不过基础款的白名单和规则还是有点简单，如果你的站经常被针对性攻击，或者需要更精细的规则（比如只封某个接口的恶意请求），可以试试宝塔的付费版Nginx防火墙，几十块钱一年，功能强到爆。 举个简单的例子，付费版可以设置「只允许中国内地IP访问」，对很多只做国内业务的站来说，能直接过滤掉90%以上的境外恶意流量。还能设置「UA黑名单」，把常见的爬虫UA直接加进去，连请求都发不进来。 不管用基础款还是付费款，记得定期去宝塔的「安全」模块里看日志，看看最近有没有被攻击，有没有误封正常访客，及时调整参数和规则。 毕竟，限流是为了保护站点，不是为了挡住客人。