<div id="readability-page-1" class="page"><article>
    <div>

                
                <div>
                    <details open="">
                        <summary accesskey="c" title="(Alt + C)">
                            <p>Table of Contents</p>
                        </summary>
                        <nav id="TableOfContents">
  <ul>
    <li>
      <ul>
        <li><a href="#limit-req-설정">Limit req 설정</a></li>
        <li><a href="#제한에서-제외할-ip-설정">제한에서 제외할 IP 설정</a></li>
      </ul>
    </li>
  </ul>
</nav>
                    </details>
                </div>
                
                <p>Nginx 로 reverse proxy를 구성할 때 과도한 요청에 대한 제한을 두기 위해서 <code>limit_req</code> 모듈을 적용해보았다.</p>
<p><a href="http://nginx.org/">nginx</a>에서 지원하는 <a href="http://nginx.org/en/docs/http/ngx_http_limit_req_module.html">limit_req</a> 모듈을 사용하면,
동일한 IP 에서 과도한 요청이 유입될 때, 이를 제한할 수 있다.</p>
<h2 id="limit-req-설정">Limit req 설정</h2>
<pre><code>limit_req_zone $binary_remote_addr zone=depend_rate_limit:10m rate=10r/s;

# binary_remote_addr : 클라이언트의 IP를 기준으로 제한하겠다는 의미.
# zone name : depend_rate_limit
# share memory assign : 10M
# rate : 10 request / second

</code></pre><h3 id="하나씩-살펴보자면">하나씩 살펴보자면,</h3>
<ul>
<li>limit_req_zone 이라는 것은 요청-request를 확인하고 이를 제한하기 위해서 특정한 영역(zone)을 선언한다는 의미이다.</li>
<li>$binary_remote_addr 은 nginx 에서 기본적으로 제공하는 내장 변수로, 클라이언트의 IP를 기준으로 제한을 하겠다는 의미이다.</li>
<li>zone=depend_dos 라는 것은 zone 의 이름을 설정하는 것으로, zone의 이름은 임의로 변경이 가능하다</li>
<li>30m 이라는 것은 zone에서 활용가능한 <code>share memory size</code> 로. 10M 정도면 충분하다.</li>
<li>rate 는 요청-request 의 비율로, 여기에서는 초당 10개 이상의 요청-request 이 유입되면 제한을 하겠다는 의미이다. (r/s, r/m 가능)</li>
</ul>
<h3 id="이제-다음과-같이-적용하면-된다">이제 다음과 같이 적용하면 된다.</h3>
<pre><code>http {
    limit_req_zone $binary_remote_addr zone=depend_rate_limit:10m rate=10r/s;

    ...

    server {

        ...

        location / {

            ...

            limit_req zone=depend_rate_limit burst=5;
        }


</code></pre><p><code>burst</code> 를 적용한 것은 rate(여기서는 10r/s) 이상의 request-요청에 대해서 5개 까지는 queue에 보관하도록 하고, 그 이상은 에러를 반환하게 한다는 의미이다.</p>
<h3 id="에러-반환">에러 반환</h3>
<p>기본적으로 정의한 rate 를 넘어서는 request-요청에 대해서는 <code>503</code> 에러를 반환하는데. 이를 변경할 수 있다.
429 status code는 <code>Too Many Requests</code>를 의미한다. <a href="https://developer.mozilla.org/en-US/docs/Web/HTTP/Status/429">참고</a></p>
<pre><code>
limit_req               zone=depend_rate_limit burst=5 nodelay;
limit_req_status        429;

</code></pre><h3 id="log-level-설정">log level 설정</h3>
<p>제한에 걸린 request-요청을 기록할 때 log level 을 설정할 수 있다.</p>
<pre><code>
limit_req               zone=depend_rate_limit burst=5 nodelay;
limit_req_status        429;
limit_req_log_level     error;

</code></pre>
<p>실제로 limit_req 모듈을 적용하기 전에, 내부 네트워크 대역이나, 특정 IP에 대해서는 제한을 두지 않을 수 있다.</p>
<pre><code>
geo $apply_limit {
    default         $binary_remote_addr;
    10.10.0.0/16    '';                   # 내부 네트워크 대역 10.10.*.* 은 access limit 사용안함
    211.33.188.246  '';                   # 외부의 특정 IP 211.33.188.246 는 access limit 사용안함
}

...
...

limit_req_zone $apply_limit zone=depend_rate_limit:10m rate=10r/s;

...

</code></pre><p><code>geo</code> 모듈을 사용해서 client ip 를 확인해서 <code>$apply_limit</code> 이라는 변수를 새롭게 할당했다.
<strong>10.10.<em>.</em></strong> 대역 이거나, (내부 네트워크 대역인 경우), 외부의 특정 <strong>211.33.188.246</strong> 인 경우에는 빈값이 지정된다.</p>
<p>이렇게 하고 나서 <code>limit_req_zone</code> 에 정의한 <code>$apply_limit</code> 변수를 사용하면, 예외로한 IP 에 대해서는 접속제한이 동작하지 않는다.</p>
<h3 id="참고">참고</h3>
<ul>
<li><a href="http://nginx.org/en/docs/http/ngx_http_limit_req_module.html">http://nginx.org/en/docs/http/ngx_http_limit_req_module.html</a></li>
<li><a href="https://sarc.io/index.php/nginx/99-2014-03-18-14-30-00">https://sarc.io/index.php/nginx/99-2014-03-18-14-30-00</a></li>
<li><a href="https://developer.mozilla.org/en-US/docs/Web/HTTP/Status/429">https://developer.mozilla.org/en-US/docs/Web/HTTP/Status/429</a></li>
</ul>

                

                <hr>
                

                





<p><a href="https://disqus.com/">comments powered by </a>



            </p></div>
</article></div>

Soo Story

Jung-Soo Ahn

Nginx 로 reverse proxy를 구성할 때 과도한 요청에 대한 제한을 두기 위해서 limit_req 모듈을 적용해보았다.

nginx reverse proxy로 동일 IP 중복 요청 제한

댓글