Как лимитировать трафик с определенной страны в Nginx?

Question

[Станислав]

Китаезы атакуют, баню всю страну и все хорошо, никакого ддоса нет, но есть же и нормальные люди которые ищут информацию какую то на сайте, к тому же для них даже языковая версия имеется. Как только бан снимаю в nft, так через день другой опять начинают ддосить сервер запросами.
Реально ли сделать limit_zone именно для страны?

Сейчас к примеру имеются следующие настройки лимитирующие запросы по IP, но в случае ддоса они бесполезны.

limit_req_zone $binary_remote_addr zone=auth:10m rate=35r/s;

limit_req zone=auth burst=60 delay=35;
limit_req_log_level warn;
limit_req_status 429;

У меня два вопроса к знающим людям:
1. А можно ли вместо $binary_remote_addr указать локаль в браузере? Если что сайт автоматом создает куку с локалью locale=zh, но думаю она бесполезна в случае ддоса, к тому же и куки могут быть отключены. Может быть есть какие то стандартные переменные в nginx с помощью которых можно узнать есть ли в заголовке браузера информация что у пользователя язык выставлен "zh"?
2. Если с первым все можно сделать, то возможно ли в одном блоке server указать два лимита?
К примеру как то так
В кофиге

limit_req_zone $binary_remote_addr zone=auth:10m rate=35r/s;
limit_req_zone $LOCALE_ZH zone=zh_limit:10m rate=10r/s;

А в блоке server

limit_req zone=auth burst=60 delay=35;
limit_req zone=zh_limit burst=20 delay=10;
limit_req_log_level warn;
limit_req_status 429;

По факту хочется сделать следующее, если у пользователя стоит локаль zh, просто ставим его сразу в очередь и пусть ждет своего часа.
К слову, сервер на который идет ддосс выдерживает, с ним все хорошо, проблема в сервере на котором размещена база данных, очень много запросов поступает на нее, и она крашится от нехватки памяти. В боевых условиях вся эта связка выдерживает 200к в сутки, но вот всплески трафика от ддоса выдержать она не в силах.

Comments

[Alexey Dmitriev]

Чем вам это поможет? Лимиты будут выбирать ддосеры и законопослушные китайцы все равно не смогут зайти.
Это так не делается нужно гранулярно банить адреса

[Станислав]

Alexey Dmitriev, в том то и дело, ддос он идет минут 15-20, и если в это время у нормальных китайцев возникнут проблем в лимите доступа, ну и ничего страшного, а вот ддосер будет свои ресурсы в труху пускать.

[Станислав]

В http блоке с помощью map я могу отловить локаль пользователя, в том же url $request_uri или по аргументу

map $arg_locale $bad_locale {
    default "0";
    "zh"  "1";
}

Но надо как то и limit_zone создать для всех запросов и потом уже пробовать проверять, как то так
Но не думаю что будет работать это=)

location / {
    limit_req zone=auth burst=60 delay=35;
    if($bad_locale === 1) {
        limit_req zone=zh_limit burst=20 delay=10;
    }
}

Answer 1

[dodo512]

limit_req_zone

В качестве ключа можно использовать текст, переменные и их комбинации.
Запросы с пустым значением ключа не учитываются.

С помощью map новой переменной присваивать либо пустую строку либо $binary_remote_addr.

limit_req_zone $bad_locale zone=zh_limit:10m rate=10r/s;

map $cookie_locale $bad_locale {
    default     "";
    "zh"        $binary_remote_addr;
}

Дальше использовать limit_req zone=zh_limit как обычно. Ограничивать будеть только тех кто с нужной кукой.

Ещё вариант $http_accept_language если нужно проверять содержимое заголовка Accept-Language.

map $http_accept_language $bad_locale {
default     "";
~^zh        $binary_remote_addr;
}

Comments

[Станислав]

А прописан $binary_remote_addr чисто для того чтобы что то находилось в переменной $bad_locale, по сути можно и "1" прописать, суть же не изменится?

[dodo512]

Станислав, смотря какой результат нужно получить.

limit_req_zone ключ

В памяти хранится состояние для разных значений ключа.
Состояние в частности хранит текущее число избыточных запросов.
Когда в качестве ключа используется IP-адрес клиента, то для каждого будет свой уникальный ключ и свой счётчик запросов т.е. каждый клиент сможет 10r/s.
Когда в качестве ключа "1" для всех клиентов с "zh", то счётчик будет один на всех т.е. 10r/s это суммарно на всех клиентов с "zh".

[Станислав]

dodo512, Все правильно, мне так и нужно было, просто нужно увеличить число запросов. Спасибо!