如何使用Apache实施速率限制？（每秒请求数）

哪些技术和/或模块可用于在Apache中实施可靠的速率限制（请求|字节/ ip /单位时间）？

最好的

• mod_evasive（更多关于减少DoS暴露）
• mod_cband（“正常”带宽控制的最佳功能）

其余的

• mod_limitipconn
• mod_bw
• mod_bwshare

如本博客文章所述，似乎可以使用mod_security来实现每秒的速率限制。

配置是这样的：

SecRuleEngine On

<LocationMatch "^/somepath">
  SecAction initcol:ip=%{REMOTE_ADDR},pass,nolog
  SecAction "phase:5,deprecatevar:ip.somepathcounter=1/1,pass,nolog"
  SecRule IP:SOMEPATHCOUNTER "@gt 60" "phase:2,pause:300,deny,status:509,setenv:RATELIMITED,skip:1,nolog"
  SecAction "phase:2,pass,setvar:ip.somepathcounter=+1,nolog"
  Header always set Retry-After "10" env=RATELIMITED
</LocationMatch>

ErrorDocument 509 "Rate Limit Exceeded"

包括Web应用程序防火墙在内的方法很多，但如果使用Apache mod，最容易实现。

我想推荐的一种mod是mod_qos。它是一个免费模块，对certin DOS，Bruteforce和Slowloris类型攻击非常有效。这将大大减轻您的服务器负载。

它非常强大。

当前版本的mod_qos模块实现了控制机制来管理：

• 对位置/资源（URL）或虚拟主机的最大并发请求数。

• 带宽的限制，例如每秒对URL的最大允许请求数或每秒最大/最小下载千字节。

• 限制每秒的请求事件数（特殊请求条件）。

• 在限定的时间内限制请求事件的数量。
• 它还可以检测到非常重要的人员（VIP），这些人员可以不受限制地访问网络服务器或不受限制地访问。

• 通用请求行和标头过滤器可拒绝未经授权的操作。

• 请求正文数据限制和过滤（需要mod_parp）。

• 限制单个客户端（IP）的请求事件的数量。

• TCP连接级别的限制，例如，单个IP源地址或动态保持活动控制所允许的最大连接数。

• 当服务器用尽免费的TCP连接时，首选已知的IP地址。

这是您可以使用的示例配置。有数百种可能的配置可以满足您的需求。访问该网站以获取有关控件的更多信息。

Sample configuration:
# minimum request rate (bytes/sec at request reading):
QS_SrvRequestRate                                 120

# limits the connections for this virtual host:
QS_SrvMaxConn                                     800

# allows keep-alive support till the server reaches 600 connections:
QS_SrvMaxConnClose                                600

# allows max 50 connections from a single ip address:
QS_SrvMaxConnPerIP                                 50

# disables connection restrictions for certain clients:
QS_SrvMaxConnExcludeIP                    172.18.3.32
QS_SrvMaxConnExcludeIP                    192.168.10.

http://opensource.adnovum.ch/mod_qos/

在Apache 2.4中，有一个名为mod_ratelimit的新库存模块。为了模拟调制解调器的速度，可以使用mod_dialup。尽管我不明白为什么您不能对所有内容都使用mod_ratelimit。

可悲的是，mod_evasive在非前叉配置中使用时，它无法按预期工作（最近的Apache设置主要是MPM）

另一种选择-mod_qos

配置不简单-但功能强大。

http://opensource.adnovum.ch/mod_qos/

取决于您为什么要进行速率限制。

如果要防止服务器过载，将NGINX放在服务器前面并在其中配置速率限制实际上是有意义的。这是有道理的，因为NGINX使用的资源要少得多，每万个连接大约需要几个MB。因此，如果服务器被淹没，NGINX将进行速率限制（使用少量的资源），仅将允许的流量传递给Apache。

如果您所追求的只是简单性，请使用mod_evasive之类的东西。

与往常一样，如果要防止DDoS或DoS攻击，请使用Cloudflare之类的服务，该服务也具有速率限制。