La limitation de débit contrôle le nombre de demandes que les utilisateurs peuvent adresser à votre site. Ceci est généralement mis en place pour arrêter les bots abusifs, limiter les tentatives de connexion et contrôler l'utilisation de l'API, ce qui peut empêcher votre serveur de ralentir sous la charge.

La limitation de débit ne peut pas toujours vous éviter des pics de trafic massifs.Par conséquent, si votre serveur a vraiment besoin de protection, il est conseillé de configurer un CDN de site complet à l'avant, ou du moins de configurer l'équilibrage de charge HAProxy pour répartir la charge sur plusieurs serveurs.

Comment activer la limitation de débit dans Nginx

Tout d'abord, nous devons définir une «zone» de limitation de débit. Vous pouvez configurer plusieurs zones et attribuer des blocs d'emplacements différents à chaque zone. Pour l'instant, créons une zone de base en ajoutant la ligne suivante à votre serveur ou http bloc de contexte:

limit_req_zone $ binary_remote_addr zone = foo: taux 10m = 5r / s;

le limit_req_zone commande définit une zone en utilisant $ binar_remote_addr comme identifiant. Il s'agit de l'adresse IP du client, mais vous pouvez également utiliser quelque chose comme $ nom_serveur pour le limiter par serveur.

le zone flag nomme la zone (dans ce cas, «foo») et alloue un bloc de mémoire à la zone. Nginx a besoin de stocker les adresses IP à vérifier, il a donc besoin de mémoire pour chaque zone. Dans ce cas, 10m alloue 10 mégaoctets de mémoire, assez pour 160 000 connexions par seconde (ce que vous ne verrez probablement jamais sur un seul serveur).

L'indicateur final est le taux, qui définit le nombre par défaut de connexions que chaque client est autorisé. Ici, il est défini sur 5 requêtes par seconde, 10 étant le maximum, bien que vous puissiez le définir plus lentement en le formatant comme 30r / m (pour 30 requêtes par minute).

Une fois la zone configurée, il est temps de l’utiliser.

emplacement {
  limit_req zone = foo burst = 10 nodelay;

  // faire des choses sur le serveur Web
}

le limit_req directive s'occupe du gros du travail et attribue un bloc d'emplacement à une zone de limitation. le éclater Le paramètre donne au client une certaine marge de manœuvre et lui permet de faire des demandes supplémentaires à condition de ne pas dépasser le taux en moyenne.

Sous le capot, il ajoute des requêtes en rafale à une «file d'attente» qui s'active toutes les 100 ms. Cela peut rendre votre site lent, de sorte que le sans délais Le paramètre supprime ce délai de file d'attente. Avec la configuration actuelle, si vous avez fait 10 requêtes en même temps, le sans délais Le paramètre autoriserait les 10 demandes, puis limiterait le débit des demandes suivantes à 5 demandes par seconde. Si vous avez fait 6 demandes supplémentaires, il en autorise 5 et rejette la 6e car elle dépasse la limite. Une fois que le client arrête de faire des demandes, la file d'attente ralentit à une vitesse en fonction de votre taux.

Limitation de débit en deux étapes

En définissant manuellement la variable de délai, il est possible de permettre à quelques demandes d’avoir aucun délai tandis que les autres doivent attendre dans la file d’attente. Cela forme une limite de débit en deux étapes, où vous voulez que les demandes initiales soient très rapides, que les demandes de suivi soient un peu ralenties, puis que vous atteignez la limite de débit.

Cela se fait en attribuant une valeur de retard au limit_req directif:

limit_req zone = rafale ip = 10 délai = 5;

Ici, les 5 premières demandes seront traitées instantanément. Le client a ensuite droit à 5 demandes supplémentaires toutes les 100 ms jusqu'à ce que la rafale se remplisse, après quoi, elles sont limitées par la variable de débit.

Limitation de la bande passante

La limitation des requêtes bloquera la plupart des attaques malveillantes, mais vous souhaiterez peut-être limiter la vitesse de téléchargement afin que les utilisateurs ne ralentissent pas votre serveur en téléchargeant un grand nombre de fichiers.

Vous pouvez le faire avec le limit_rate directive, qui n’a pas besoin de configuration de zone de limitation.

limit_rate 100k
limit_rate_after 1m

Cela définit la vitesse de téléchargement maximale à 100 Kbps après 1 mégaoctet a été téléchargé. Cependant, cela est mesuré par connexion et les utilisateurs peuvent ouvrir plusieurs connexions. Pour résoudre ce problème, vous devez ajouter une zone de limitation de connexion à côté de la zone de limitation de demande:

limit_conn_zone $ binary_remote_address zone = barre: 10m
limit_req_zone $ binary_remote_addr zone = foo: taux 10m = 5r / s;

Cela fait une zone de 10 mégaoctets appelée «barre» qui suit en fonction de l'adresse IP. Vous pouvez l'utiliser avec un limit_conn directive pour activer la limitation de connexion.

serveur {

  limit_conn bar 5;

  location / statique / {
limit_conn bar 1;
limit_rate 100k;
limit_rate_after 1m;
  }
}

Étant donné que la plupart des navigateurs ouvrent plusieurs connexions lors d'une navigation normale, nous souhaitons augmenter la limite de connexion globale, puis définir la limite sur 1 connexion pour le téléchargement.