محدود کردن درخواست (Rate Limit) و بلاک کردن IP در nginx

sudo nano /etc/nginx/conf.d/limits.conf

# محدودیت عمومی: ۱۰ درخواست در ثانیه برای هر IP
limit_req_zone $binary_remote_addr zone=general:10m rate=10r/s;

# محدودیت سخت‌گیرانه برای صفحهٔ ورود: ۵ درخواست در دقیقه
limit_req_zone $binary_remote_addr zone=login:10m rate=5r/m;

# محدودیت تعداد اتصال هم‌زمان
limit_conn_zone $binary_remote_addr zone=perip:10m;

# کد پاسخ هنگام رد شدن (به‌جای 503)
limit_req_status 429;
limit_conn_status 429;

server {
    ...
    limit_req  zone=general burst=20 nodelay;
    limit_conn perip 30;
}

    location = /login {
        limit_req zone=login burst=5 nodelay;
        proxy_pass http://127.0.0.1:3000;
    }

    location /wp-login.php {
        limit_req zone=login burst=3 nodelay;
        include snippets/fastcgi-php.conf;
        fastcgi_pass unix:/run/php/php8.3-fpm.sock;
    }

    deny 203.0.113.10;
    deny 198.51.100.0/24;
    allow all;

    if ($http_user_agent ~* (sqlmap|nikto|masscan|wpscan|semrushbot|ahrefsbot)) {
        return 403;
    }

    location /admin/ {
        allow 203.0.113.5;      # IP دفتر
        allow 10.8.0.0/24;      # شبکهٔ VPN
        deny all;
        proxy_pass http://127.0.0.1:3000;
    }

# فقط برای IP های Cloudflare (فهرست کامل: cloudflare.com/ips)
set_real_ip_from 173.245.48.0/20;
set_real_ip_from 103.21.244.0/22;
real_ip_header CF-Connecting-IP;

sudo nginx -t && sudo systemctl reload nginx
for i in $(seq 1 30); do curl -s -o /dev/null -w "%{http_code} " https://example.com/login; done; echo
sudo grep -i 'limiting requests' /var/log/nginx/error.log | tail