Yêu cầu điều chỉnh theo địa chỉ IP trên Apache?

Question

Tôi muốn điều chỉnh các yêu cầu đến máy chủ web của mình để ngăn chặn các cuộc tấn công web và tấn công từ chối dịch vụ đối với trang web của tôi. Tôi sẵn sàng tương đối lỏng lẻo, điều quan trọng là không ai yêu cầu quá nhiều để làm chậm mọi thứ.

Tôi đã nghĩ đến việc thiết lập điều chỉnh theo địa chỉ IP, do đó yêu cầu từ một IP đã cho sẽ bị chậm lại nếu có quá nhiều yêu cầu được thực hiện trong một khoảng thời gian ngắn.

Một số câu hỏi tôi có--

• Đây có phải là cách đúng đắn để đi về đối phó với chọc web và các cuộc tấn công DoS ở cấp máy chủ web?
• Giới hạn tốt để tôi không bất tiện khi người dùng thường xuyên có thể đang làm việc trên mạng IP được chia sẻ là gì?
• Tôi nên thiết lập điều chỉnh đặc biệt như thế nào? Tôi đang sử dụng Apache/2.2

Answer 1

"Đây có phải là cách phù hợp ... ở cấp độ máy chủ web không?" Đó có lẽ là lựa chọn tốt nhất mà bạn có. Có thể có các ngưỡng khác nhau trên các phần khác nhau của trang web của bạn: bạn có thể sẵn sàng điều tiết lưu lượng truy cập nhất định hơn các loại khác. Nhưng lý tưởng là các loại cài đặt này sẽ được quản lý ở cấp độ mạng.

"Giới hạn tốt là gì ...?" Nó hoàn toàn phụ thuộc vào lưu lượng truy cập của bạn. Bạn mong đợi bao nhiêu, nơi người dùng thực sự của bạn đến từ, v.v.

Làm cách nào để thực hiện? Có thể viết quy tắc để xử lý loại điều này trong ModSecurity, cũng bảo vệ chống lại một số nội dung khác. Như với câu trả lời mod_evasive, điều này sẽ không hoàn toàn bảo vệ bạn chống lại những kẻ tấn công với rất nhiều tài nguyên theo ý của họ, nhưng nó sẽ buộc họ phải đẩy mạnh trò chơi của họ.

Tôi không nghĩ có bất kỳ thứ gì "được tích hợp vào" Apache httpd sẽ tạo điều kiện thuận lợi cho việc này. Kỳ vọng sẽ là vấn đề với địa chỉ IP lạm dụng (tức là các vấn đề về lưu lượng truy cập mạng) được quản lý ở cấp độ mạng.

EDIT:

Kể từ khi bạn nhận xét ở những nơi khác mà bạn đang sử dụng Rackspace cho lưu trữ, bạn có thể muốn kiểm tra their load balancer API.

Answer 2

Để tránh các cuộc tấn công từ dos/web, bạn có thể khám phá mod_evasive cung cấp cấu hình khác nhau để chặn yêu cầu. http://www.zdziarski.com/blog/?page_id=442

Nó có thể hữu ích để bảo vệ cơ bản, tuy nhiên, nó sẽ không đủ đối với kẻ tấn công được xác định và có kinh nghiệm, người có thể tấn công từ mạng nội bộ hoặc sử dụng một loạt proxy máy chủ để ẩn IP của mình.