Бан IP адреса средствами nginx ?

Question

[Zamorozka]

Есть веб приложение со связкой nginx + tomcat. То есть nginx выступает в роли прокси, tomcat — основной сервер.

В последнее время в логах замечаю, что постоянно идут запросы на неправильные или не существующие URL-ы.

Например, у меня есть контроллер /setting/{ID}/get, а в логах идут множество цепочек вызова /setting//get или скажем вместо {ID} может быть перебор каких-то значений.

В целях снижения загрузки сервера и уменьшения исходящего трафика, можно ли как-то организовать автоматический бан IP адресов средствами nginx.

То есть скажем, если запрос с одного IP идет на несуществующий адрес, то после 10 таких запросов, IP адрес блокируется на час?

Answer 1

[Stdit]

Если добавлять deny в конфиг, Nginx придется рестартить. Если надо именно решение на Nginx, можно например не пускать в бекенд по левым урлам, прописав максимально точные location-ы для существующих путей. Есть ещё вот такое оригинальное решение.

Comments

[Zamorozka]

Ага, я примерно так и думал…

[Stdit]

Если будете черее куку, не забудьте про исключения для поисковиков.

Answer 2

[Виталий Перетятько]

Блокировать слишком частые запросы с одного IP можно средставми NGINX wiki.nginx.org/HttpLimitReqModule
А бан IP на заданное время при подозрительном поведении лучше думаю сделать средствами Firewall

Answer 3

[Sergey]

без внешних скриптов, правящих постоянно конфиг nginx и делающих reload, ничего не выйдет.

Answer 4

[Влад Животнев]

Дык. Отлавливайте 404ки через iptables и баньте, когда их станет много.

Comments

[Zamorozka]

iptables не работает, это amazon ec2.

[Виталий Перетятько]

wincent.com/wiki/Using_iptables_on_EC2_instances

[prabhu]

А не подскажите где почитать про то как отлавливать 404ки через iptables? И как потом банить айпишники? Это должен быть скрипт или правило iptables?