慢速CC攻击通过缓慢发送请求耗尽服务器连接资源，连接数限制是业务侧应对此类攻击的核心手段，通过配置合理的连接数阈值和超时策略，在攻击发生时快速阻断异常连接，保障正常用户访问。
慢速CC攻击与普通CC攻击不同，它不追求高并发，而是利用低速率、长时间占用连接，让服务器逐渐耗尽连接池，业务侧如果不做连接数限制，攻击者只需少量僵尸主机就能拖垮服务，连接数限制从源头上卡住每个客户端或IP的并发数，配合超时机制,让攻击连接无法持久。
慢速CC攻击连接数限制：原理与必要性
攻击如何消耗连接资源
慢速CC攻击通常模拟正常用户行为，但发送数据包的间隔极长，每个攻击连接在服务器上维持一个控制块，占用内存和线程池，当连接数达到服务器上限时，新连接（包括正常用户）被拒绝，业内专家指出，这种攻击在云环境下尤其隐蔽，因为流量峰值可能看起来并不高。
- 攻击者建立大量连接后，只发送很少的数据,甚至不发送。
- 每个连接存活时间可达数分钟,远超正常用户。
- 服务器连接池耗尽后,服务进入拒绝服务状态。
连接数限制的防御逻辑
连接数限制直接作用于服务器或中间件的连接层，业务侧通过设置最大连接数、单IP连接数、连接超时时间，将攻击流量挡在业务进程之外，行业共识认为，连接数限制是慢速CC攻击的第一道防线，必须与速率限制配合才能形成完整防御。
- 限制单IP并发连接数,防止单一来源耗尽资源。
- 设置全局最大连接数,保护后端服务不超载。
- 缩短连接超时时间,让空闲攻击连接快速释放。
如何设置连接数限制防御CC攻击
关键参数确定
配置连接数限制时，业务方需要根据正常流量模型设定三个核心参数：最大连接数、单IP连接数、连接超时时间，多数情况下，这三个参数的值可以通过业务高峰期的监控数据推算。
- 最大连接数：通常设置为正常峰值连接数的1.5倍到2倍,预留缓冲空间。
- 单IP连接数：对于公共网站，建议限制在10到20个并发连接；对于API接口,可适当放宽到30个。
- 连接超时时间：较短的超时时间能快速释放异常连接,通常设置在30秒到60秒之间。
部署位置选择
连接数限制可以在多个层面实现，业务方需要根据架构选择最合适的点。
- 在Web服务器层（Nginx、Apache）使用连接限制模块,适合中小规模业务。
- 在云负载均衡（SLB、CLB）上配置连接数限制,适合大规模分布式架构。
- 在CDN节点上设置连接数限制，可以提前拦截攻击流量,减少源站压力。
常见配置命令示例
以Nginx为例，业务方可以在http或server块中配置连接数限制，但需注意与限速模块配合使用。
limit_conn_zone定义共享内存区域,用于存储连接计数。limit_conn设置每个区域的最大连接数，如limit_conn perip 20。limit_conn_status设置拒绝连接时的返回状态码,通常为503。
连接数限制参数调优：从理论到实践
调优前的准备工作
业务方需要对现有流量做全面摸底，才能避免调优导致误伤正常用户，建议在业务低峰期调整参数，并逐步放量验证。
- 统计正常业务的连接数峰值、平均连接时长、单IP连接数分布。
- 确定业务容忍的最大连接延迟,以及连接超时对用户体验的影响。
- 准备灰度环境,先用小部分流量测试新参数。
分场景调优策略
不同业务对连接数限制的敏感度不同，参数调优需要因地制宜。
- 电商秒杀场景：连接数峰值极高，但正常用户连接时间短，建议将最大连接数提高，单IP连接数降低,超时时间缩短。
- API网关场景：连接数相对平稳，但每个连接可能长轮询，建议将单IP连接数适当提高，超时时间加长,但配合速率限制防止滥用。
- 游戏服务器场景：连接数要求高，且需要保持长连接，建议使用全局最大连接数限制，单IP连接数根据游戏类型设定,通常不限制太严。
常见的调优陷阱
- 调低最大连接数后，正常业务在高峰时段出现连接拒绝。
- 单IP连接数设置过小，导致办公室或家庭用户共享出口IP时无法正常访问。
- 超时时间过短，拖慢正常用户的大文件上传场景。
连接数限制与速率限制的区别及配合使用
核心区别对比
连接数限制关注并发数，速率限制关注传输速率，两者在防御慢速CC攻击时各有侧重，但缺一不可。
| 对比维度 | 连接数限制 | 速率限制 |
|---|---|---|
| 控制对象 | 并发连接数 | 每秒请求数或字节数 |
| 防御重点 | 慢速连接耗尽资源 | 快速批量请求冲击 |
| 对用户影响 | 限制同时打开的连接 | 限制请求频率 |
| 配置复杂度 | 较低，主要调阈值 | 较高，需考虑突发流量 |
配合使用的最佳实践
业务方在配置时，通常先设置连接数限制，再叠加速率限制，连接数限制能挡住慢速攻击，速率限制可以筛掉快速CC攻击。
- 先设定连接数上限,确保服务器连接池不被占满。
- 再设定单IP速率限制,防止单个IP发起大量请求。
- 在连接数限制中，将超时时间设置得比速率限制的窗口更短,确保异常连接快速回收。
业务场景中的连接数限制配置案例
电商平台大促期间
电商平台在秒杀活动时，连接数会瞬间飙升，业务方提前将全局最大连接数提升到正常值的3倍，单IP连接数限制在10个，连接超时调整为15秒，在CDN层设置连接数限制，防止攻击流量直接打到源站，活动期间，监控显示连接拒绝率控制在0.5%以下，正常用户秒杀链路未受影响。
API接口被慢速扫描
某金融科技公司的API接口频繁被慢速扫描，每个扫描连接持续30秒以上，导致正常交易连接超时，业务方在API网关层设置单IP连接数限制为5个，连接超时缩短到20秒，配置生效后，攻击连接在15秒内被自动断开，正常交易恢复稳定，据统计，这类调整在多数情况下可将攻击影响降低90%以上。
游戏服务器遭受慢速CC
游戏服务器要求长连接，连接数限制不能太紧，业务方在接入层设置全局最大连接数，同时使用连接超时机制，对空闲超过30秒的连接主动断开，攻击者尝试维持长连接时，会被超时机制踢出，而正常玩家因有数据包交互，连接不受影响。
慢速CC攻击连接数限制常见问题解答
连接数限制设置多少合适？
连接数限制没有固定数值，需根据业务正常连接峰值和服务器资源综合确定，建议先采集两周的流量数据，分析连接数分布，以峰值的1.5倍作为初始阈值，在业务低峰期逐步调优，如果出现正常用户连接被拒绝，应适当提高阈值；如果服务器资源利用率长期偏低，可以考虑降低阈值以节省成本。
连接数限制与速率限制哪个更重要？
两者针对的攻击类型不同，无法简单比较，连接数限制主要应对慢速CC，速率限制主要应对快速CC，从防御覆盖面上看，连接数限制是基础，能防止资源被单一连接占满；速率限制是补充，能防止高频请求耗尽计算资源，业务方应优先配置连接数限制，再根据流量特征叠加速率限制。
慢速CC攻击连接数限制配置后会影响正常用户吗？
配置不当确实可能影响正常用户，单IP连接数限制过小，会导致多个用户共享同一出口IP时出现连接失败，但通过合理的参数调优和灰度验证，业务方可以将影响降到最低，实际部署时，建议先开启监控模式，观察连接拒绝情况，确认无异常后再正式启用限制，连接数限制的目标是阻断攻击，只要阈值设定合理，正常用户几乎感知不到。