Les règles de limitation de débit contrôlent le taux des requêtes entrantes correspondant à des conditions spécifiques. Lorsqu’un client dépasse le seuil de requêtes configuré, la limitation de débit applique des actions telles qu’une vérification par CAPTCHA glissant ou un blocage temporaire de l’adresse IP.
Fonctionnement de la limitation de débit
La limitation de débit identifie et atténue les attaques par déni de service distribué (DDoS) et les inondations HTTP en surveillant le taux des requêtes. Configurez un seuil en requêtes par seconde (QPS) et définissez des conditions de correspondance selon des dimensions telles que l’adresse IP du client ou l’agent utilisateur. Lorsque le seuil est dépassé, la limitation de débit déclenche une action prédéfinie en temps réel. Les actions disponibles incluent l’observation, la vérification par CAPTCHA glissant et le blocage pour une durée comprise entre 10 secondes et 24 heures.
Disponibilité selon le plan
|
Élément |
Entrance |
Pro |
|
Enterprise |
|
Règles de limitation de débit |
1 |
2 |
5 |
10 |
Créer une règle de limitation de débit
L’exemple suivant détaille chaque champ de configuration et vous guide dans la mise en place d’une règle de limitation de débit adaptée à votre activité.
Scénario d’exemple : Un grand nombre de requêtes ont pour hôte www.example.com ou image.example.com, et 20 requêtes provenant de la même adresse IP cliente arrivent dans un délai de 10 secondes. Pour ce type de requête, une vérification par CAPTCHA glissant est activée pendant 5 minutes. Seules les requêtes ayant réussi la vérification reçoivent une réponse normale. Toutes les autres requêtes sont bloquées.
Procédure
Dans la console ESA, sélectionnez Sites web, puis cliquez sur le site cible dans la colonne Websites.
Dans le volet de navigation de gauche, choisissez .
-
Sur la page Security, sélectionnez l’onglet WAF, cliquez sur WAF, puis saisissez les informations de la règle en suivant les instructions affichées à l’écran.
Saisissez un Rate Limiting Rules.
Configurez Create Rule pour filtrer les requêtes utilisateur correspondant à l’expression de la règle. Pour connaître les champs de correspondance des requêtes, consultez la section Champs de correspondance. Dans cet exemple, sélectionnez Hostname comme type de correspondance, choisissez is in comme opérateur de correspondance, puis saisissez
www.example.cometimage.example.comdans le champ de valeur de correspondance.Configurez l’option Rule Name. La limitation de débit réduit le nombre de requêtes provenant de clients partageant les mêmes caractéristiques, ce qui diminue la charge de requêtes sur votre serveur d’origine. Toutefois, les requêtes atteignant le cache sont servies directement par ESA et n’atteignent pas votre serveur d’origine. Si vous ne souhaitez pas que la limitation de débit s’applique aux requêtes mises en cache, décochez cette case.
Configurez If requests match... pour filtrer à nouveau les requêtes correspondant à l’expression de la règle.
Définissez Apply to Cache pour spécifier le nombre maximal de fois où l’objet statistique peut correspondre aux conditions durant la période statistique.
Lorsque l’action est définie sur With the same characteristics..., la durée d’application de l’action est identique à la période statistique.
Le WAF comptabilise une requête une fois que la réponse à celle-ci est terminée. Si votre trafic contient de nombreuses requêtes de fichiers volumineux, les temps de téléchargement élevés retardent le moment où le blocage prend effectivement effet.
Configurez When the rate exceeds... pour sélectionner l’action à exécuter lorsque le taux de requêtes atteint la limite. Vous pouvez appliquer l’action uniquement aux requêtes dépassant la limite, ou à toutes les requêtes correspondant aux caractéristiques une fois la limite dépassée. Pour plus d’informations sur les actions disponibles, consultez la section Actions.
Cliquez sur Apply to Matched Requests.
Résultats attendus
Toutes les requêtes clientes dont l’hôte est www.example.com ou image.example.com, y compris les requêtes atteignant le cache et toutes les requêtes renvoyées vers l’origine, sont comptabilisées par adresse IP source. Si plus de 20 requêtes arrivent dans un délai de 10 secondes, une vérification par CAPTCHA glissant est appliquée à toutes ces requêtes pendant 5 minutes.
