Demande #3551: Configurer nginx@bastion pour limiter les requêtes - Admins - Gestionnaire de projets de l'April

Demande #3551

Configurer nginx@bastion pour limiter les requêtes

Added by Quentin Gibeaux about 3 years ago. Updated 20 days ago.

Status:

Nouveau

Priority:

Normale

Assignee:

Romain H.

Category:

Target version:

Janvier 2022

Start date:

01/10/2019

Due date:

% Done:

Estimated time:

Difficulté:

2 Facile

Description

Pour éviter que l'infra complexe ne tombe avec les crawler, il faudrait configurer nginx sur bastion pour limiter les requêtes d'une même IP a un taux de requête/sec donnée.

Related issues

History

Updated by François Poulain about 3 years ago

Exemple de inspiré de config livrée par défaut dans discourse (https://github.com/discourse/discourse_docker/blob/master/templates/web.ratelimited.template.yml) :

limit_req_zone $binary_remote_addr zone=flood:10m rate=12r/s;
limit_req_zone $binary_remote_addr zone=bot:10m  rate=200r/m;
limit_req_status 429;

limit_conn_zone $binary_remote_addr zone=connperip:10m;
limit_conn_status 429;

limit_conn connperip 20;
limit_req zone=flood burst=12  nodelay;
limit_req zone=bot   burst=100 nodelay;

La doc nginx: https://www.nginx.com/blog/rate-limiting-nginx/

Updated by Christian P. Momon over 2 years ago

Related to Demande #3773: Augmenter les ressources de la VM adl added

Updated by Quentin Gibeaux about 1 year ago

Assignee set to Romain H.

voir dry run pour avoir une vue de ce qui serait bloqué sur une semaine

Updated by Quentin Gibeaux about 1 year ago

Target version changed from Backlog to Décembre 2020

Updated by Romain H. about 1 year ago

essayer en mode dry run dans un premier temps pour voir s'il y a des faux positifs
attention aux requêtes DAV vers la valise qui sont fréquentes et marchent souvent par essai/erreur (lpoujoulat)

Updated by Romain H. about 1 year ago

La directive limit_req_dry_run n'existe que depuis nginx version 1.17.1.
Debian Buster propose nginx version 1.14.2.
Debian Bullseye propose nginx version 1.18.0.

Cette directive n'est donc pas utilisable sur bastion qui est en Buster.
Je ne trouve pas d'alternative à cette directive.

Est-ce qu'on se lance avec une configuration directement en prod ou on attend Bullseye (=~ 6 mois) pour avoir le mode dry run ?