很多提供公開服務(wù)的網(wǎng)站都會(huì)遇到單一客戶IP大量訪問導(dǎo)致性能受到影響的問題，這些訪問有可能是***流量，也有可能是來自代理服務(wù)器或者NAT設(shè)備后端若干客戶的訪問。如何有效地對(duì)這些流量進(jìn)行限制而不影響正常用戶使用，不同類別產(chǎn)品在這方面提供不同程度的防護(hù)。現(xiàn)以A10負(fù)載均衡產(chǎn)品AX為例介紹如何實(shí)現(xiàn)客戶端IP限制。本文提到所有連接為完整TCP連接或未開啟SYN-Cookie功能時(shí)的半連接。關(guān)于SYN-Flooding的防護(hù)，負(fù)載均衡設(shè)備均有較強(qiáng)防護(hù)能力，本文不做討論。也可以針對(duì)服務(wù)器和虛擬服務(wù)器進(jìn)行總連接數(shù)或連接速率限制，也不在本文討論范圍。

首先，某個(gè)客戶端過渡使用資源體現(xiàn)在以下幾個(gè)方面：

• 并發(fā)連接數(shù)，同一客戶IP打開大量連接不關(guān)閉，耗費(fèi)服務(wù)器連接資源
• 新建連接速率，同一客戶IP每秒新建連接數(shù)量
• 并發(fā)7層請(qǐng)求數(shù)，同一客戶IP并發(fā)的請(qǐng)求數(shù)量，并發(fā)連接限制了TCP連接數(shù)量，但一個(gè)TCP連接中可以傳送很多個(gè)HTTP請(qǐng)求。
• 7層請(qǐng)求速率，同樣由于一個(gè)TCP連接中有多個(gè)7層請(qǐng)求，單純TCP連接限制可能無法有效防護(hù)。流行的CC***就是利用少數(shù)TCP連接發(fā)送大量HTTP請(qǐng)求的。
• 帶寬使用，作為負(fù)載均衡設(shè)備，以連接為基礎(chǔ)進(jìn)行處理是更合理的方式。限制了合理的連接數(shù)量和請(qǐng)求數(shù)量后，帶寬也相應(yīng)得到限制。

負(fù)載均衡設(shè)備通常有足夠的并發(fā)連接數(shù)和新建連接處理性能將這些連接轉(zhuǎn)發(fā)給服務(wù)器，但服務(wù)器往往無法承受這些負(fù)擔(dān)，因此客戶端IP限制很多時(shí)候是為了避免服務(wù)器過載。而單純針對(duì)服務(wù)器的連接限制保護(hù)又會(huì)導(dǎo)致所有客戶端受影響。基于客戶端IP的限制則可以保證未過量使用的用戶不受影響，只是***流量和過量使用的用戶收到限制。

下面介紹其工作原理，涉及部分配置命令，但不做完整配置介紹。

• AX可以定義叫做Class List的IP列表，最多可以定義255個(gè)Class List，每個(gè)Class List可以包含800萬主機(jī)IP地址（/32掩碼）和64K個(gè)網(wǎng)絡(luò)子網(wǎng)。Class List可以以文件形式存在。
• Class List的格式如下：

ipaddr /network-mask [glid num | lid num] [age minutes] [; comment-string]

lid為L(zhǎng)imiting ID，是在某個(gè)策略下定義的限制規(guī)則編號(hào)；

glid為Global Limiting ID，是全局下定義的限制規(guī)則編號(hào)；

age可以設(shè)定這個(gè)條目存在多久后刪除，只對(duì)主機(jī)IP地址適用，可對(duì)可疑***IP短時(shí)間限制。

例如：

1.1.1.1 /32 lid 1
2.2.2.0 /24 lid 2 ; LID 2 applies to every single IP of this subnet
0.0.0.0 /0 lid 10 ; LID 10 applied to every undefined single IP
3.3.3.3 /32 glid 3 ; Use global LID 3

• lid或glid下定義對(duì)應(yīng)的限制規(guī)則，可定義單個(gè)IP并發(fā)連接數(shù)量、每100ms新建連接數(shù)量、并發(fā)請(qǐng)求數(shù)、每100ms請(qǐng)求數(shù)量、以及超過限制時(shí)的可選動(dòng)作（轉(zhuǎn)發(fā)、reset、鎖定、日志）

conn-limit num
conn-rate-limit num per num-of-100ms
request-limit num
request-rate-limit num per num-of-100ms

over-limit-action [forward | reset] [lockout minutes] [log minutes]

示例：

AX(config-policy)#class-list lid 1
AX(config-policy-policy lid)#request-rate-limit 50 per 1
AX(config-policy-policy lid)#request-limit 60000
AX(config-policy-policy lid)#over-limit reset logging

• 限制策略模板內(nèi)會(huì)定義所使用的Class List名字和對(duì)應(yīng)的lid規(guī)則，例如

AX(config)#slb template policy vp_policy
AX(config-policy)#class-list name vp_list
AX(config-policy)#class-list lid 1
AX(config-policy-policy lid)#request-rate-limit 50 per 1
AX(config-policy-policy lid)#request-limit 60000
AX(config-policy-policy lid)#over-limit reset logging

• 應(yīng)用限制策略到VIP或者vport或者全局下，下面例子為應(yīng)用到vport 80下對(duì)HTTP請(qǐng)求數(shù)量進(jìn)行限制

AX(config)#slb virtual server vs1
AX(config-slb virtual server)#port 80 http
AX(config-slb virtual server-slb virtua...)#template policy vp_policy

在制定限制規(guī)則時(shí)，要考慮代理服務(wù)器和NAT設(shè)備后端若干客戶使用同一IP的問題，采用的限制值由較大值逐漸下調(diào)。或者先采取只log不限制的方式獲得IP地址，分析后再逐一制定具體限制策略。

?

R.S.

轉(zhuǎn)載于:https://blog.51cto.com/virtualadc/774126

總結(jié)

以上是生活随笔為你收集整理的负载均衡器上实现客户端IP限制的全部?jī)?nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。