Nginx rate limiting: zones, burst, 429

• limit_req_zone $binary_remote_addr zone=api:10m rate=60r/m — пул
• limit_req zone=api burst=20 nodelay — в location
• limit_req_status 429 — иначе 503 default
• limit_conn — параллельные соединения (не запросы)
• Логи: log_format includes $limit_req_status для fail2ban filter

# /etc/nginx/conf.d/rate-limits.conf
limit_req_zone  zone=api:10m rate=60r/m;
limit_req_zone  zone=login:10m rate=5r/m;
limit_req_status 429;

server {
  location /api/ {
    limit_req zone=api burst=20 nodelay;
    proxy_pass http://backend;
  }
  location /login {
    limit_req zone=login burst=3 nodelay;
    proxy_pass http://backend;
  }
}

# fail2ban filter (jail.d/nginx-rate.conf)
[Definition]
failregex = limiting requests, excess.*client: <HOST>

• Setup fail2ban
• Token Bucket

Для настройки rate limiting в nginx необходимо использовать директивы limit_req_zone и limit_req. Эти команды позволяют ограничить количество запросов от одного IP-адреса в определенный временной промежуток. Например, чтобы ограничить 10 запросов в секунду, можно использовать следующий код в конфигурационном файле:

http {
    limit_req_zone $binary_remote_addr zone=one:10m rate=10r/s;
    server {
        location / {
            limit_req zone=one burst=5;
            # другие директивы
        }
    }
}

При настройке rate limiting в nginx важно учитывать несколько параметров, которые влияют на эффективность и точность контроля трафика.

• limit_req_zone: определяет зону для хранения состояния запросов. Важно правильно выбрать размер зоны (например, 10m), чтобы она могла вместить необходимое количество IP-адресов.
• rate: задает максимальное количество запросов в секунду. Например, rate=10r/s ограничивает 10 запросов в секунду от одного IP.
• burst: позволяет временно превышать лимит запросов. Например, если установить burst=5, то при превышении лимита в 10 запросов в секунду, сервер позволит еще 5 запросов одновременно, прежде чем начнет отклонять их.

Также возможно использование директивы nodelay, чтобы избежать задержек при превышении лимита burst. Например, limit_req zone=one burst=5 nodelay позволяет обрабатывать дополнительные запросы без задержек.

Рассмотрим более детальный пример настройки rate limiting для API. Предположим, что вы хотите ограничить доступ к API, чтобы предотвратить злоупотребления. Для этого можно использовать следующую конфигурацию:

http {
    limit_req_zone $binary_remote_addr zone=api:10m rate=5r/s;
    server {
        location /api {
            limit_req zone=api burst=10;
            limit_req_status 429;
            # другие директивы
        }
    }
}

В этом примере мы ограничиваем количество запросов к API до 5 в секунду с возможностью временного превышения до 10 запросов. Если пользователь превышает лимит, он получит ответ с кодом 429 (Too Many Requests).

Кроме того, можно настроить логирование отклоненных запросов для анализа проблем с производительностью:

error_log /var/log/nginx/limit_req.log;
location /api {
    limit_req zone=api burst=10;
    error_page 429 = @handle_limit;
}
location @handle_limit {
    add_header Content-Type text/plain;
    return 429 'Too Many Requests';
}

Это позволит вам отслеживать, сколько запросов было отклонено и в какие моменты времени. Правильная настройка rate limiting в nginx поможет защитить ваш сервер от атак и обеспечить стабильную работу веб-приложения.