Rate limiting: определение и применение

Rate limiting — ограничение числа запросов от одного клиента (IP, API key) в единицу времени. Защита от DDoS, brute-force, abuse. Стандартные реализации: token bucket (nginx limit_req), leaky bucket (API gateways), sliding window (Redis sorted sets). Ответ — HTTP 429 + Retry-After header.

Rate limiting в Nginx можно настроить с помощью модуля limit_req. Например, чтобы ограничить количество запросов от одного клиента до 100 в минуту, можно использовать следующую конфигурацию:

Затем нужно применить это ограничение к нужным локациям с помощью директивы limit_req. Например:

Redis может быть использован для реализации Rate limiting с помощью скользящего окна (sliding window). Это позволяет отслеживать количество запросов от клиента за определённый период времени.

Для этого можно использовать команду SET для установки ключа с временем жизни и значением, равным количеству запросов. Например:

Затем, при каждом новом запросе, можно проверять количество запросов за период и принимать решение о разрешении или запрете запроса.

Существует несколько методов реализации Rate limiting, каждый из которых имеет свои преимущества и недостатки.

• Token bucket — метод, при котором каждому клиенту выделяется определённое количество «токенов» (запросов) в единицу времени. Этот метод прост в реализации и позволяет легко контролировать количество запросов. Однако он может привести к неравномерному распределению запросов.
• Leaky bucket — метод, при котором запросы «протекают» через «ведро» с определённой скоростью. Этот метод обеспечивает более равномерное распределение запросов, но может быть сложнее в настройке.
• Sliding window — метод, при котором отслеживается количество запросов за определённый период времени. Этот метод позволяет более гибко настраивать ограничения, но может быть более сложным в реализации.

Выбор метода зависит от конкретных требований и целей.