Rate limiting og throttling med Nginx

Forestil dig et populært websted eller en populær API. Hvad sker der, hvis én bruger eller en ondsindet bot sender tusindvis af anmodninger i sekundet?

Det er her, hastighedsbegrænsning kommer ind i billedet! Det er en vigtig teknik til at kontrollere, hvor mange anmodninger en klient må sende til din server inden for et bestemt tidsrum.

• Forhindrer misbrug og DDoS-angreb.
• Sikrer fair brug af ressourcer for alle klienter.
• Beskytter dine backend-tjenester mod overbelastning.

Nginx indeholder effektive direktiver til at implementere hastighedsbegrænsning. Vi fokuserer på to vigtige:

• limit_req_zone: Definerer parametrene for en zone til hastighedsbegrænsning. Se det som opsætning af reglerne for en bestemt type trafik.
• limit_req: Anvender de definerede regler for hastighedsbegrænsning på anmodninger i en bestemt location- eller server-blok. Det er her, magien sker!

Direktivet limit_req_zone placeres normalt i http-blokken i din Nginx-konfiguration. Det definerer en delt hukommelseszone, hvor Nginx holder styr på anmodningernes tilstand.

Her er direktivets struktur og betydningen af de enkelte dele:

• key: Det, Nginx holder styr på (f.eks. $binary_remote_addr for klientens IP-adresse).
• zone: Et navn til din zone og dens størrelse (f.eks. my_limit:10m). Størrelsen bestemmer, hvor mange unikke nøgler Nginx kan holde styr på.
• rate: Den faktiske hastighedsbegrænsning (f.eks. rate=1r/s for 1 anmodning i sekundet).

Lad os definere en enkel zone til hastighedsbegrænsning, som holder styr på anmodninger efter klientens IP-adresse og tillader 5 anmodninger i sekundet.

Efter at have defineret en limit_req_zone skal du anvende den på bestemte dele af dit websted eller din API ved hjælp af direktivet limit_req.

Dette direktiv placeres i en server- eller location-blok. Det refererer blot til den zone, du oprettede tidligere.

Hvis du f.eks. vil anvende zonen my_ip_limit på en bestemt placering:

Når en klient overskrider den definerede hastighed, returnerer Nginx som standard fejlen 503 Service Unavailable.

Sådan kan du kombinere begge direktiver for at begrænse anmodninger til dit /api/-endepunkt til 2 anmodninger i sekundet pr. unik IP-adresse.

Strenge hastighedsbegrænsninger kan nogle gange være for restriktive for legitime brugere. Parameteren burst giver en klient mulighed for midlertidigt at sende flere anmodninger end den definerede hastighed.

• burst=N: Tillader op til N anmodninger mere end hastighedsbegrænsningen. Disse anmodninger sættes i kø og behandles med den begrænsede hastighed.
• nodelay: Når den bruges sammen med burst, behandler Nginx om muligt burst-anmodninger med det samme. Hvis køen er fuld, kasseres efterfølgende anmodninger (503-fejl) i stedet for at blive forsinket.

Uden nodelay forsinkes anmodninger, der overskrider hastigheden, så de overholder den begrænsede hastighed.

Lad os opdatere vores tidligere eksempel, så det tillader en spidsbelastning på op til 5 ekstra anmodninger og behandler dem med det samme, hvis ressourcerne tillader det.

Selvom begreberne ofte bruges som synonymer, er der en mindre forskel:

• Hastighedsbegrænsning: Håndhæver en fast grænse for antallet af anmodninger i en periode (f.eks. 100 anmodninger i minuttet). Nginx' limit_req implementerer primært hastighedsbegrænsning.
• Drosling: Er en mere dynamisk proces, som kan sænke anmodninger i stedet for helt at afvise dem. Den tager ofte højde for serverbelastning eller tilgængelige ressourcer. Selvom Nginx kan forsinke anmodninger med burst (hvis nodelay ikke er angivet), fokuserer det primært på strenge begrænsninger.

Til de fleste behov for API-beskyttelse er Nginx' funktioner til hastighedsbegrænsning robuste og særdeles effektive.

I denne lektion har du lært, hvordan du implementerer hastighedsbegrænsning med Nginx for at beskytte dine backend-tjenester og sikre fair brug.

• Vi definerede en zone til hastighedsbegrænsning ved hjælp af limit_req_zone.
• Vi anvendte disse begrænsninger på bestemte placeringer ved hjælp af limit_req.
• Vi undersøgte indstillingerne burst og nodelay til mere fleksibel håndtering af midlertidige trafikspidsbelastninger.

Hastighedsbegrænsning er et grundlæggende mønster inden for sikkerhed og ydeevne, især når du arbejder med offentlige API'er eller webapplikationer med meget trafik.