Блокировка частых запросов с одного IP средствами nginx

проичтай про nodelay в limit_req.

PS У тебя нет инета?

Я читал и не понимаю. Там написано, что если сделать nodelay то пакеты не будут задерживаться.

И что это значит? Что пакеты без nodelay будут пропускаться? Или что они должны отсеиваться? Или что?

В смысле пакеты? Запросы.

https://blog.nginx.org/blog/rate-limiting-nginx

без nodelay оно продолжает обрабатывать очередь запросов, но с задержкой.

С nodelay лишние запросы сразу завершаются ошибкой 503 (429?)

УМВР

Скорее всего у тебя проблема не в limit_req а в том что урл обрабатывается не в этом location.

Если бы он обрабатывался в этом - тебе бы отвечалось исходным кодом пхп-скрипта т.к. инструкций для отправки его в php-fpm я рядом не вижу.

У меня location в пределах сервера перечислены вот так:

    location / {
        # First attempt to serve request as file, then
        # as directory, then fall back to displaying a 404.
        try_files $uri $uri/ =404;
    }

    location ~ \.php$ {
        include snippets/fastcgi-php.conf;
        fastcgi_pass unix:/run/php/php5.6-fpm.sock;
    }

    # Правила для блокировки спама на форуме - блокируются частые попытки регистрации
    location /punbb/register\.php {
        limit_req zone=ipAddrZone;
    }
    location /punbb/extensions/pun_antispam/image\.php.* {
        limit_req zone=ipAddrZone;
    }

Я проверил варианты со строкой:

limit_req zone=ipAddrZone nodelay;

location /punbb/register\.php

Гм. тебя ничего не смущает в этом location?

IMHO обратный слеш тут лишний.

Ну и следуюший location туда же.

IMHO nginx выбирает один location и использует его.

Я всегда делаю именнованый location @php для обработки .php, а из нормальных location требующих обработки php делаю try_files . @php

Я пробовал разместить следующие локации:

    location /punbb/register.php {
        limit_req zone=ipAddrZone nodelay;
    }
    location /punbb/extensions/pun_antispam/image.php {
        limit_req zone=ipAddrZone nodelay;
    }

location "/punbb/register.php" is outside location "\.php$"

Гм. тебя ничего не смущает в этом location?
IMHO обратный слеш тут лишний.

Но ведь в доке написано, что это регулярка. Если на то пошло, правильно надо писать:

location \/punbb\/register\.php

location ~ \/punbb\/register\.php

это регулярка. только нафига «/» экранировать?

а

location \/punbb\/register\.php

IMHO nginx находит 1 location который по его мнению соответствует запрос и его выполняет.

Применить настройки из двух location ( *.php и /punbb/register.php ) напрямую нельзя.

То есть, задача нерешаемая?

Если проверять локацию на частые запросы, то ее нельзя обработать через php-fpm?

Кроме того, локация location /punbb/register.php не обрабатывает ссылки типа /punbb/register.php?action=register?

ты слепой?

Прочти про именованную location и try_files

 location @php {
        include snippets/fastcgi-php.conf;
        fastcgi_pass unix:/run/php/php5.6-fpm.sock;
 }
 location ~ \.php$ {
        try_files . @php;
 }

 location /punbb/register.php {
        limit_req zone=ipAddrZone;
        try_files . @php;
 }

Кроме того, локация location /punbb/register.php не обрабатывает ссылки типа /punbb/register.php?action=register?

Почему?

Ты неправильно понимаешь что такое location. Это не условные блоки настроек, применяющиеся в зависимости от соответствия их урлу, это ветвление. если ты попал в одну из локаций, то ты остаёшься в ней, и остальные уже не применяются (если ты только явно не укажешь перейти в другую в конкретном месте). Локации с регулярками имеют более высокий приоритет чем дефолтные, т.е. у тебя всё попадает в ~ \.php$.

Чтобы сделать локацию с приоритетом выше регулярок, сделай её ^~ /path/to/file.php и продублируй в неё fastcgi_pass и остальное.

Экранировать точку в локации-нерегулярке не надо.

Лучше избегай вложенные локации без крайней необходимости - запутаешься в итоге.

Ну вот я сделал такой конфиг и перегрузил сервис nginx:

# Выделение зоны в памяти размером 10Мб для накопления IP-адресов запросов
# чтобы их ограничить для заданных URL-ов 5 штуками в минуту
limit_req_zone $binary_remote_addr zone=ipAddrZone:10m rate=5r/m;

server {
...

    # Именованная локация, содержимое которой не обрабатывается напрямую,
    # а вызывается из других локаций
    location @php {
        include snippets/fastcgi-php.conf;
        fastcgi_pass unix:/run/php/php5.6-fpm.sock;
     }

    location / {
        # First attempt to serve request as file, then
        # as directory, then fall back to displaying a 404.
        try_files $uri $uri/ =404;
    }

    location ~ \.php$ {
        try_files . @php; # Вызов именованной локации
    }


    # Правила для блокировка спама на форуме - блокируются частые попытки регистрации
    # с одного и того же IP-адреса
    location /punbb/register.php {
        limit_req zone=ipAddrZone nodelay;
        try_files . @php; # Вызов именованной локации
    }

    location /punbb/extensions/pun_antispam/image.php {
        limit_req zone=ipAddrZone nodelay;
        try_files . @php; # Вызов именованной локации
    }
}

195.182.157.224 - - [22/May/2024:18:14:21 +0300] 
"GET /punbb/register.php HTTP/1.1" 200 4460 
"https://имя_сайта/punbb/" "Mozilla/5.0 (X11; Linux x86_64; rv:102.0) Gecko/20100101 Firefox/102.0"

195.182.157.224 - - [22/May/2024:18:14:23 +0300]
"GET /punbb/extensions/pun_antispam/image.php?36cec89d1cd70c29b781a1814dfb1ba6 HTTP/1.1" 200 6839
"https://имя_сайта/punbb/register.php" "Mozilla/5.0 (X11; Linux x86_64; rv:102.0) Gecko/20100101 Firefox/102.0"

Ага, спасибо. Добавил ^~ в этот конфиг: Блокировка частых запросов с одного IP средствами nginx (комментарий)

Вместо:

location /punbb/register.php {
...
location /punbb/extensions/pun_antispam/image.php {

location ^~ /punbb/register.php {
...
location ^~ /punbb/extensions/pun_antispam/image.php {

Блин, нет, не все заработало.

Теперь проблема в локации, у которой нет *.php в пути. Это не punbb-форум, это другая часть сайта. Она тоже через PHP работает, и вроде как никаких дополнительных настроек раньше не требовала.

Но почему-то такая локация не блокируется, сколько ты запросов не делай:

    # Это условие работает
    location ^~ /punbb/register.php {
        limit_req zone=ipAddrZone burst=4 nodelay;
        try_files . @php; # Вызов именованной локации
    }

    # Это условие не работает
    location ^~ /site/page/index/guestbook {
        limit_req zone=ipAddrZone burst=4 nodelay;
        try_files . @php; # Вызов именованной локации
    }

195.182.157.224 - - [22/May/2024:19:32:32 +0300]
"GET /site/page/index/guestbook HTTP/1.1" 200 9438
"https://имя_сайта/" "Mozilla/5.0 (X11; Linux x86_64; rv:102.0) Gecko/20100101 Firefox/102.0"

firkax

Убери костыль с try_files, я тебе написал что надо сделать. Ещё раз: кроме основной локации делай вторую, в которую попадает изранная часть её урлов, полностью копируй в ней конфиг основной + добавляй лимит. Никакой магии делать не пытайся, у тебя теперь просто две локации - одна для лимитированных запросов, вторая для всех остальных.

Ты писал:

Локации с регулярками имеют более высокий приоритет чем дефолтные, т.е. у тебя всё попадает в ~ \.php$.

А сейчас речь идёт о локации без постфикса php, поэтому она попасть в «~ \.php$» не может.

Кроме того, локация «location ^~ /punbb/register.php» отрабатывает отдельно, потому что блокировка работает именно на этой локации, а не на всем сайте и не на всем форуме. Т.е она не попадает под «~ \.php$».

Поэтому непонятно, с какого перепуга локация «location ^~ /site/page/index/guestbook» не обрабатывается блокировщиком.

А сейчас речь идёт о локации без постфикса php, поэтому она попасть в «~ \.php$» не может.

Конечно. Но куда-то она же попадает? Вот найди куда, склонируй именно ту локацию и добавь в неё лимит. Можешь ещё логи добавить в обе (и с лимитом и без) чтоб смотреть куда попал запрос.

Конечно. Но куда-то она же попадает?

Она должна попасть в

location ^~ /site/page/index/guestbook

Потому что всеми символами попадает. Но этого не происходит, и я хочу понять почему.

Какой там был конфиг до твоих правок и какой сейчас?

Страница то работает как положено?

Был такой:

server {
    ...
    location / {
        # First attempt to serve request as file, then
        # as directory, then fall back to displaying a 404.
        try_files $uri $uri/ =404;
    }

    location ~ \.php$ {
        include snippets/fastcgi-php.conf;
        fastcgi_pass unix:/run/php/php5.6-fpm.sock;
    }
}

limit_req_zone $binary_remote_addr zone=ipAddrZone:10m rate=5r/m;

server {
    ...

    # Именованная локация, содержимое которой не обрабатывается напрямую,
    # а вызывается из других локаций
    # Описание: pass the PHP scripts to FastCGI server listening on 127.0.0.1:9000
    location @php {
        include snippets/fastcgi-php.conf;
        fastcgi_pass unix:/run/php/php5.6-fpm.sock;
     }

    location / {
        # First attempt to serve request as file, then
        # as directory, then fall back to displaying a 404.
        try_files $uri $uri/ =404;
    }

    location ~ \.php$ {
        try_files . @php; # Вызов именованной локации
    }


    # Правила для блокировка спама на форуме - блокируются частые попытки регистрации
    # с одного и того же IP-адреса
    
    location ^~ /punbb/register.php {
        limit_req zone=ipAddrZone burst=4 nodelay;
        try_files . @php; # Вызов именованной локации
    }

    location ^~ /punbb/extensions/pun_antispam/image.php {
        limit_req zone=ipAddrZone burst=4 nodelay;
        try_files . @php; # Вызов именованной локации
    }

    location ^~ /punbb/login.php {
        limit_req zone=ipAddrZone burst=4 nodelay;
        try_files . @php; # Вызов именованной локации
    }

    location ^~ /site/page/index/guestbook {
        limit_req zone=ipAddrZone burst=4 nodelay;
        try_files . @php; # Вызов именованной локации
    }
}

Ну так включи протоколирование ошибок на уровень debug в самом начале nginx.conf (если nginx собран с такой возможностью) и посмотри что происходит при обращении к /site/page/index/guestbook

На странице /site/page/index/guestbook блокировка при частом обновлении не страбатывает.

Не вижу этой страницы в старом конфиге. Получается, она бы там обрабатывалась в location / в режиме показа индекса соответствующей директории.

Получается, она бы там обрабатывалась в location / в режиме показа индекса соответствующей директории.

А, я частично понял. Я то думал что все можно разрулить только фильтрацией локаций, и только их показывал. Перед локациями у меня прописано вот что:

    index index.php index.html index.htm;

    # Редирект с контроллера главной страницы на стартовый URL
    rewrite ^(.*)/site/page/index/main$ http://имя_сайта.ru permanent;

    if (!-e $request_filename) {
        rewrite "^/(.*)$" /index.php?$1 last;
    }

18:15:22 [debug] 101227#101227:
*5 http upstream request: "/index.php?site/page/index/guestbook"

    location ^~ /index.php?site/page/index/guestbook {
        limit_req zone=ipAddrZone burst=4 nodelay;
        try_files . @php; # Вызов именованной локации
    }

https://имя_сайта/index.php?site/page/index/guestbook

https://имя_сайта/index.php?/site/page/index/guestbook

В location не учитываются аргументы запроса, то есть он там просто /index.php.

Вставить лимит можно несколькими способами. Рекомендую описанный ниже.

Реврайты вне локаций это плохо, т.к. они действуют на всё сразу и к ним сложно что-то прицепить. Поэтому реврайты (их же всего два такие?) переставляешь в location / - он там будет работать (вроде) не хуже, и так же после обработки будет искать другую локацию с .php. Возможно, потребуется вставить реврайт ещё в какую-то локацию (а не знаю полный их список и логику работы твоего движка), но это уже выяснится по ходу дела и скорее всего всё-таки нет.

Создаёшь вторую локацию (с guestbook по строгому соответствию), в неё уже вставляешь лимит и тот же реврайт.

Останется проблема - кто-то может начать обращаться к нему по урлу index.php?site/page/index/guestbook на котором лимита нет. Чтобы это не происходило, склонируй локацию .php в локацию /index.php по строгому соответствию и допиши в неё директиву internal; - это значит что обратиться к index.php напрямую нельзя, он только для внутреннего пользования реврайтами.

Можно так: iptables -A INPUT -p tcp –syn –dport 80 -m connlimit –connlimit-above 1 -j DROP