Как я могу реализовать ограничение скорости с помощью Apache? (запросов в секунду)

Какие методы и / или модули доступны для реализации надежного ограничения скорости (запросы | байты / IP / единица времени) в apache?

Лучшее

• mod_evasive (больше внимания уделяется снижению воздействия DoS)
• mod_cband (лучше всего для «нормального» управления пропускной способностью)

и остальное

• mod_limitipconn
• mod_bw
• mod_bwshare

Как указано в этом сообщении в блоге, кажется возможным использовать mod_security для реализации ограничения скорости в секунду.

Конфигурация примерно такая:

SecRuleEngine On

<LocationMatch "^/somepath">
  SecAction initcol:ip=%{REMOTE_ADDR},pass,nolog
  SecAction "phase:5,deprecatevar:ip.somepathcounter=1/1,pass,nolog"
  SecRule IP:SOMEPATHCOUNTER "@gt 60" "phase:2,pause:300,deny,status:509,setenv:RATELIMITED,skip:1,nolog"
  SecAction "phase:2,pass,setvar:ip.somepathcounter=+1,nolog"
  Header always set Retry-After "10" env=RATELIMITED
</LocationMatch>

ErrorDocument 509 "Rate Limit Exceeded"

Существует множество способов, включая брандмауэры веб-приложений, но проще всего реализовать их с помощью мода Apache.

Один из таких модов, который я рекомендую, - это mod_qos . Это бесплатный модуль, который очень эффективен против атак типа Certin DOS, Bruteforce и Slowloris. Это немного снизит нагрузку на ваш сервер.

Это очень мощно .

Текущая версия модуля mod_qos реализует механизмы контроля для управления:

• Максимальное количество одновременных запросов к местоположению / ресурсу (URL) или виртуальному хосту.

• Ограничение пропускной способности, например максимально допустимое количество запросов в секунду к URL-адресу или максимальное / минимальное количество загружаемых килобайт в секунду.

• Ограничивает количество событий запроса в секунду (особые условия запроса).

• Ограничивает количество событий запроса в течение определенного периода времени.
• Он также может обнаруживать очень важных лиц (VIP), которые могут получить доступ к веб-серверу без ограничений или с меньшими ограничениями.

• Общая строка запроса и фильтр заголовка для запрета несанкционированных операций.

• Ограничение и фильтрация данных тела запроса (требуется mod_parp).

• Ограничивает количество событий запроса для отдельных клиентов (IP).

• Ограничения на уровне TCP-соединения, например, максимальное количество разрешенных соединений с одного IP-адреса источника или динамический контроль активности.

• Предпочитает известные IP-адреса, когда на сервере заканчиваются свободные TCP-соединения.

Это образец конфигурации того, для чего вы можете ее использовать. Существуют сотни возможных конфигураций, соответствующих вашим потребностям. Посетите сайт для получения дополнительной информации об элементах управления.

Sample configuration:
# minimum request rate (bytes/sec at request reading):
QS_SrvRequestRate                                 120

# limits the connections for this virtual host:
QS_SrvMaxConn                                     800

# allows keep-alive support till the server reaches 600 connections:
QS_SrvMaxConnClose                                600

# allows max 50 connections from a single ip address:
QS_SrvMaxConnPerIP                                 50

# disables connection restrictions for certain clients:
QS_SrvMaxConnExcludeIP                    172.18.3.32
QS_SrvMaxConnExcludeIP                    192.168.10.

http://opensource.adnovum.ch/mod_qos/

В Apache 2.4 есть новый стандартный модуль под названием mod_ratelimit . Для эмуляции скорости модема вы можете использовать mod_dialup . Хотя я не понимаю, почему вы просто не можете использовать mod_ratelimit для всего.

К сожалению, mod_evasiveне будет работать должным образом при использовании в конфигурациях без предварительной вилки (недавние настройки apache в основном относятся к MPM)

Еще один вариант - mod_qos

Не простой в настройке, но мощный.

http://opensource.adnovum.ch/mod_qos/

Зависит от того, почему вы хотите установить ограничение скорости.

Если это необходимо для защиты от перегрузки сервера, на самом деле имеет смысл поставить перед ним NGINX и настроить ограничение скорости. там . Это имеет смысл, потому что NGINX использует гораздо меньше ресурсов, примерно несколько МБ на десять тысяч соединений. Итак, если сервер переполнен, NGINX будет ограничивать скорость (используя незначительное количество ресурсов) и передавать только разрешенный трафик в Apache.

Если все, что вам нужно, это простота, используйте что-нибудь вроде mod_evasive.

Как обычно, если это необходимо для защиты от DDoS- или DoS-атак, используйте такую ​​службу, как Cloudflare, которая также имеет ограничение скорости.