Puede configurar la limitación de velocidad agregada en Web Application Firewall (WAF) para permitir que solo un número fijo de consultas por segundo (QPS) o un porcentaje específico de tráfico llegue a sus servidores empresariales. Esto ayuda a proteger sus servidores contra tráfico anómalo durante promociones importantes. Este tema describe cómo configurar la limitación de velocidad agregada.
Alcance
Debe tener activada una instancia de WAF de suscripción con la edición Pro o superior, o bien una instancia de WAF pay-as-you-go.
Debe existir un objeto protegido. Su servicio web debe estar agregado a WAF. Si su servicio no está agregado, consulte Overview.
Los objetos protegidos agregados en modo nativo de la nube (ALB, MSE, FC ) no son compatibles.
Tipos de plantillas
La limitación de velocidad agregada ofrece los siguientes dos tipos de plantillas de protección.
|
Plantilla de protección |
Descripción |
Objetos efectivos |
|
Plantilla de protección predeterminada |
WAF no proporciona una plantilla de protección predeterminada inicial. Debe crear una manualmente. |
Al crear la plantilla, los objetos protegidos y los grupos de objetos que no están asociados con plantillas de protección personalizadas se seleccionan como efectivos de forma predeterminada. Los objetos protegidos que se agreguen posteriormente también se añadirán automáticamente a la plantilla de protección predeterminada. Puede ajustar la selección manualmente. |
|
Plantilla de protección personalizada |
Una plantilla de protección personalizada. Debe crearla manualmente. |
Debe configurar Apply To. La plantilla solo surte efecto en los objetos protegidos y los grupos de objetos asociados con ella. |
Crear una plantilla de protección
La limitación de velocidad agregada no proporciona una plantilla de protección predeterminada inicial. Para habilitar las reglas de limitación de velocidad agregada, debe crear una plantilla de protección.
Paso 1: Crear una plantilla de limitación de velocidad agregada
Inicie sesión en la consola de Web Application Firewall 3.0. En la barra de menú superior, seleccione el resource group y la región de su instancia de WAF (Chinese Mainland, Outside Chinese Mainland). En el panel de navegación izquierdo, vaya a . En la sección Peak Traffic Throttling, en la parte inferior de la página, haga clic en Create Template.
-
En el panel Peak Traffic Throttling, complete las siguientes configuraciones y haga clic en OK.
Elemento de configuración
Descripción
Template Name
Introduzca un nombre para la plantilla.
El nombre debe tener entre 1 y 255 caracteres, y puede contener caracteres chinos, letras mayúsculas y minúsculas, dígitos, puntos (.), guiones bajos (_) y guiones (-).
Save as Default Template
Especifique si desea establecer la plantilla como la plantilla predeterminada del módulo de protección actual.
Cada módulo de protección permite solo una plantilla predeterminada. Una plantilla predeterminada no requiere configurar Apply To. Se aplica de forma predeterminada a todos los objetos protegidos y grupos de objetos que no están asociados con plantillas de protección personalizadas, incluidos los objetos protegidos y grupos de objetos que se agreguen posteriormente o que se eliminen de las plantillas de protección personalizadas. También puede eliminarlos manualmente de la plantilla predeterminada.
Apply To
Puede hacer clic en Rule Configuration para crear reglas personalizadas para la plantilla de limitación de velocidad agregada. También puede omitir esta configuración y crear reglas para la plantilla después de crearla. Para obtener más información sobre cómo crear reglas personalizadas, consulte Step 2: Create rules in the aggregate rate limiting template.
Create Rule
Seleccione los Apply To y los Protected Objects a los que se aplica la plantilla de entre los objetos protegidos y grupos de objetos agregados.
Un objeto protegido o grupo de objetos solo puede asociarse con una plantilla en el módulo de protección actual. Para obtener más información sobre cómo agregar objetos protegidos y grupos de objetos, consulte Configure protected objects and protected object groups.
Si establece una plantilla de protección predeterminada, todos los objetos protegidos y grupos de objetos que no estén asociados con una plantilla de limitación de velocidad agregada se seleccionarán como efectivos de forma predeterminada. Si no establece una plantilla predeterminada, ningún objeto protegido ni grupo de objetos se seleccionará como efectivo de forma predeterminada. Puede cambiar manualmente los objetos efectivos.
Paso 2: Crear reglas en la plantilla de limitación de velocidad agregada
Una plantilla de limitación de velocidad agregada solo brinda protección después de agregar reglas de protección.
En la sección Protected Object Groups, busque la plantilla para la que desea crear una regla y haga clic en Peak Traffic Throttling en la columna Create Rule. En el cuadro de diálogo Actions, complete las siguientes configuraciones y haga clic en Create Rule.
Elemento de configuración | Descripción |
OK | Introduzca un nombre para la regla. |
Rule Name | Establezca las características de solicitud que coinciden con la regla. Haga clic en Add Condition para agregar una condición. Puede agregar hasta cinco condiciones a una regla. Si especifica varias condiciones, una solicitud activa la regla solo cuando se cumplen todas las condiciones. Cada condición consta de Match Condition, Match Field y Logical Operator. Ejemplos de configuración:
Para obtener más información sobre los campos de coincidencia y los operadores lógicos, consulte Match conditions. |
Match Content | WAF puede obtener la IP de origen de una solicitud y determinar el origen del tráfico basándose en dicha IP. Si no activa esta función, no se distingue el origen del tráfico de los objetos efectivos. Si activa esta función, puede seleccionar regiones en Access Source That Belongs to Following Regions y China. El tráfico proveniente de regiones no seleccionadas no pasará por las reglas configuradas en la limitación de velocidad agregada. |
Outside China | Throttling Method: limita el tráfico hacia su servidor mediante un límite fijo de consultas por segundo (QPS). Este método es adecuado para escenarios que requieren un control estricto sobre el recuento de solicitudes para mantener la estabilidad del servidor. QPS Throttling: limita el tráfico hacia su servidor mediante un porcentaje de paso. Este método es adecuado para escenarios que requieren un control dinámico de las solicitudes durante picos de tráfico, y es más flexible que la limitación basada en QPS. |
Percentage Throttling | Establezca el límite de QPS.
Nota Para el límite de QPS, debido a la complejidad de la implementación técnica y a los cambios dinámicos en el entorno del sistema, el QPS real puede fluctuar aproximadamente un 10 % respecto al valor configurado. Esta fluctuación es un comportamiento normal del algoritmo de limitación de velocidad y equilibra el rendimiento del sistema con la precisión de la limitación. Supervise su tráfico real periódicamente y ajuste el valor según sea necesario para obtener los mejores resultados. Establezca el límite de porcentaje.
|
Throttling Threshold | Seleccione la acción que se aplicará a las solicitudes que activen la regla. Valores válidos:
|
Monitor |
|
Puede crear hasta cinco reglas.
Ejemplos de configuración
Ejemplo 1: Suponga que desea limitar el máximo de solicitudes por segundo a 1000 a largo plazo, mantener la regla siempre efectiva, limitar solo el tráfico desde Ohio, Estados Unidos, y seleccionar bloquear como acción de protección.
Nombre de la regla: Limitación de QPS a largo plazo
Modo efectivo: Siempre efectivo
QPS máximo: 1000
Región de origen: Outside China - North America - United States - Ohio
Acción de protección: Block
Ejemplo 2: Suponga que, durante una promoción importante, desea limitar el máximo de solicitudes por segundo a 1000 para las solicitudes cuya URI contenga "shopping", desde las 09:00 de una fecha específica hasta las 18:00 de una fecha específica, limitar solo el tráfico de todas las regiones de China y seleccionar bloquear como acción de limitación.
Nombre de la regla: Limitación por promoción
Modo efectivo: Efectivo por periodo de tiempo
Campo de coincidencia: URI contains shopping
Periodo de tiempo: de 09:00 en una fecha específica a 18:00 en una fecha específica
QPS máximo: 1000
Región de origen: All regions in China
Acción de limitación: Block
Ejemplo 3: Suponga que desea limitar el máximo de solicitudes por segundo a 1000 de 09:00 a 18:00 cada fin de semana, limitar solo el tráfico desde Hong Kong (China) y seleccionar supervisar como acción de protección.
Nombre de la regla: Limitación de fin de semana
Modo efectivo: Efectivo por ciclo
Ciclo y periodo de tiempo: 09:00 a 18:00 cada sábado y domingo
QPS máximo: 1000
Zona horaria: la zona horaria de su negocio o la zona horaria de su servidor
Región de origen: Hong Kong (China)
Acción de limitación: Monitor
Mantenimiento rutinario
Editar una plantilla de protección
Los requisitos comerciales o del proyecto pueden cambiar con el tiempo. Ajustar las plantillas de protección mantiene sus reglas alineadas con sus necesidades actuales. El ajuste de reglas también puede mejorar la eficiencia y el rendimiento de su sistema o proceso, además de reducir el desperdicio de recursos.
Activar o desactivar una plantilla de protección: Después de crear una plantilla de protección, puede usar Effective Mode para activar o desactivar la plantilla.
Modificar una plantilla de protección: Haga clic en Status en la columna Edit de la plantilla objetivo. Una vez completados los cambios, haga clic en Actions en la parte inferior para guardar los cambios.
Eliminar una plantilla de protección
Puede eliminar las plantillas de protección que ya no necesite. Antes de eliminar una plantilla, confirme que no haya objetos protegidos asociados con ella. Haga clic en el botón OK en la columna Delete de la plantilla objetivo y haga clic en Actions en el mensaje que aparece.
Después de eliminar una plantilla, el sistema utiliza automáticamente la plantilla predeterminada para proteger los objetos que anteriormente estaban protegidos por la plantilla eliminada.
Si elimina la plantilla predeterminada mientras aún contiene objetos protegidos, dichos objetos dejarán de estar protegidos por la limitación de velocidad agregada.