30
解説
これは、一部の国からのアクセスのみを許可する方法に関する簡単な例です。この例は
ニ ーズ に 合 わ せ て 応 用 で き ま す 。同 じ 方 法 を GeoIPモジュールで利用できる任意の埋め
込み変数に基づき許可またはブロックする場合に利用できます。
3.4 オリジナルクライアントを見つける
問題
NGINXサーバーの前にプロキシがあるため、オリジナルのクライアントIPアドレスを
見つける必 要があります。
解決法
geoip_proxyディレ クティブ を 使 用してプ ロキシ IPアドレス 範 囲 を定 義するため 、geoip_
proxy_recursiveディレクティブ をオリジナル のIPを見つけるために使 用します。
load_module "/usr/lib64/nginx/modules/ngx_http_geoip_module.so";
http {
geoip_country /etc/nginx/geoip/GeoIP.dat;
geoip_city /etc/nginx/geoip/GeoLiteCity.dat;
geoip_proxy 10.0.16.0/26;
geoip_proxy_recursive on;
# ...
}
geoip_proxyディレクティブ は
クラスレスドメイン 間 ル ー ティング
(CIDR) 範囲を定義し
ます。この範囲内でプロキシサーバーは稼働し、X-Forwarded-Forヘッダーを 利 用してク
ライアントIPアドレスを見つけるように NGINXに指 示します。geoip_proxy_recursive
ディレクティブは、最後の既知のクライアントIPのX-Forwarded-For を再帰的に調べるよ
うにNGINXに指 示します。
転送されたヘッダーの標準
Forwardedとついたヘッダーはプロキシされた要求のプロキシ情報を追加
するため の 標 準 ヘッダーになりました 。NGINX GeoIPモジュールに使 用
されるヘッダーは X-Forwarded-Forで記述時に指定することはできません。
X-Forwarded-For は 公 式 の 標 準 で は あ り ま せ ん が 、広 く 使 用 さ れ 、認 め ら
れ、多くのプロキシにより設定されている形式です。
| 第3章 ：ト ラ フ ィ ッ ク 管 理
31
解説
NGINXの 前 でプ ロキシを 使 用してい る 場 合、NGINXはクライアントではなくプロキシ
のIPアドレスを取得することがあります。この場合に、geoip_proxy を 使 用して、NGINX
に特定の範囲から接続が開始された場合には、X-Forwarded-Forヘッダーを 使 用するよ
う指示することができます。geoip_proxyディレ クティブはアドレスまたはCIDR範囲を
取ります。NGINXの前にトラフィックを渡す複数のプロキシがある場合、geoip_proxy_
recursiveディレ クティブ を 使 用して、X-Forwarded-Forア ド レ ス を 再 帰 的 に 検 索 し 、発 信
元のクライアントを見つけることができます。NGINXの前でAmazon Web Services Elastic
Load Balancing (AWS ELB)、Googleのロードバランサー、またはMicrosoft Azureのロー
ドバランサーなどを利用する場合はこうしたディレクティブの使用をお勧めします。
3.5 接続制限
問題
クライアントのIPアドレスなどの事前定義されたキーに基づいて、接 続数を制限する
必 要があります。
解決法
接続メトリクスを保持する共有メモリーゾーンを構築し、
limit_conn デ ィレ ク テ ィ ブ を 使 用 して 、接 続 を 制 限 し ま す：
http {
limit_conn_zone $binary_remote_addr zone=limitbyaddr:10m;
limit_conn_status 429;
# ...
server {
# ...
limit_conn limitbyaddr 40;
# ...
}
}
この構 成により、limitbyaddrと い う 名 前 の 共 有 メ モ リ ー ゾ ー ン が 作 成 さ れ ま す 。使 用 さ
れる事前定義されたキーは、バイナリ形式のクライアントのIPア ド レ ス で す 。共 有 メ モ リ ー
ゾーン の サイズ は 10MBに設 定されています。limit_connディレクティブ は 2つのパラメー
タを 使 用します： limit_conn_zone名と許可される接 続 数です。limit_conn_statusは
ステータス429で 接 続 が 制 限 さ れ て い る 時「 too many requests」と 表 示 す る 応 答 を 設
定します。limit_connとlimit_conn_statusディレ クティブ はHTTP、サ ー バ ー 、ロ ケ ー
ションコン テ キストで有 効 です。
3.5 接続制限 |
32
解説
キーに基づく接続数制限は、侵害からの防御やすべてのクライアント間での公平なリ
ソースの共有目的で使用することができます。事前定義されたキーには注意を払うこ
とが重要です。前述の例のようにIPア ド レ ス を 使 用 す る と 、同 じ IPから発信された同
じネットワーク上に多くのユーザーがいる場合に危険になる可能性があります。これ
には、Network Address Translation (NAT)の背後に多数のユーザーがいる場合などが
該当します。この場 合、クライアント全 体 が制 限されます。limit_conn_zoneディレ ク
ティブはHTTPコンテキストでのみ有効です。制限に使 用する文字列を作成するため
に、HTTPコン テキスト内でNGINXで使用可能な任意の数の変数を利用できます。
セッションcookieなど、アプリケーションレベルでユーザーを識別できる変数を利用する
ことが、ユースケースによっては よりクリーン なソリューション になるか もし れま せん 。
limit_conn_statusのデフォルトは503、「サービス利用不可」です。サービスが利用可
能であるため、429の使用が好まれるかもしれません。500レベルの応答はサーバー
エラー、400レベルの応答はクライアントエラーを示すためです。
この制 限についてテストをすることは少々難しいか もし れません 。テスト用 の 代 替 環
境でライブのトラフィックをシミュレートするのは 難しい場合 が多いためです。この場
合、limit_req_dry_runデ ィ レ ク テ ィ ブ を 有 効 に し て 、ア ク セ ス ロ グ の 中 で 変 数 $limit_
req_statusを 使 用します。limit_req_status変数は PASSED、DELAYED、REJECTED、DELAYED_
DRY_RUN、REJECTED_DRY_RUNのいずれかを選択します。ドライランを有効にすると、ライ
ブトラフィックのログを分析し、有効にする前に必 要に応じて制限を微 調整できます。
これで、制限の構成が 正しいことを保証することができます。
3.6 レート制限
問題
クライアントのIPアドレスなど、事前定義されたキーによってリクエストのレートを制
限する必 要 があります。
解決法
レート制 限モジュールを利 用して、リクエストのレートを制 限します：
http {
limit_req_zone $binary_remote_addr
zone=limitbyaddr:10m rate=3r/s;
limit_req_status 429;
# ...
server {
# ...
limit_req zone=limitbyaddr;
# ...
}
}
| 第3章 ：ト ラ フ ィ ッ ク 管 理
33
この設定例では、limitbyaddrという名前の共有メモリーゾーンを作成します。使用さ
れる事前定義されたキーは、バイナリ形式のクライアントのIPア ド レ ス で す 。共 有 メ モ
リーゾーン の サイズ は 10MBに設定されています。ゾーンは、キーワード引数を使用して
レートを設 定します。limit_reqはディレクティブは必須のキーワード引数を取ります：
zone。zoneは使用する共有メモリ要求制限ゾーンにディレクティブを指示します。レート
を超える要求は、limit_req_status ディレクティブで定義されているように429HTTP
コ ー ド が 返 さ れ ま す 。デ フ ォ ル ト は 503であるため、ステータスを400レベルの範囲に設
定することをお勧めします。これは、問題が実際にはクライアントにある場合に、サー
バーに問題があるように示唆します。
limit_reqディレクティブにオプションのキーワード引数を使用して、2段 階のレート制
限を有 効にします。
server {
location / {
limit_req zone=limitbyaddr burst=12 delay=9;
}
}
場合によっては、クライアントは一度に多くの要求を行う必要があり、その後、さらに
要求を行う前に一定期間レートを下げます。キーワード引数burstを 使 用 し て 、ク ラ イ
アントに要求を却下せずに、レート制限を超 過することを許可することができます。レ
ートを超 過した要求は 、設 定された値までレート制 限に一 致するように処 理 が 遅 延さ
れます。以下のキーワード引数のセットはこの振る舞いを変更します：delayとnodelay
です。nodelayは引数は値を取りません。クライアントがバースト可能な値を一度に消
費できるようにしますが、レート制限を満たすだけの時間が経過するまで、すべての要
求 は 拒 否 さ れ ま す 。こ の 例 で 、nodelayを使用した場合には、クライアントは最初の1秒
間に12の要求を消費できますが、別の要求を行うには、初めの要求から4秒待つ必要が
あります。delayキーワード引数はスロットルなしで事前に作成できる要求の数を定義し
ま す 。こ の ケ ー ス で は 、ク ラ イ ア ン ト は 遅 延 な し で 9つの要求を前もって行うことができ、
次の3つは抑制され、4秒以 内に発 生した 追 加の 要 求は拒 否されます。
解説
レート制限モジュールは、すべての人に質の高いサービスを提供しながら、不正で急速
な要求から保護するために非常に強力です。要求のレートを制限する理由はたくさんあ
り ま す が 、そ の 1つがセキュリティです。ログインページに非常に厳しい制限を設けるこ
とで、ブルートフォース攻撃を拒否できます。すべての要求に適切な制限を設定して、ア
プリケーションでサービス拒否を発生させたり、リソースを浪費したりしようとする悪意
のあるユーザーの計画を無効にすることができます。レート制限モジュールの構成は、
レシピ 3.5で説明した接続制限モジュールとよく似ており、その懸念事項の多くがここで
も当てはまります。1秒あたりの要求数または1分あたりの要求 数で 制限するレートを指
定できます。レート制 限に 達したら、イン シ デントがログされます。この 例では使 用され
ていないディレクティブもあります。limit_req_log_levelはデフォルトでerrorになりま
3.6 レート制限 |
34
すが、info、notice、warnに 設 定することもできます。NGINX Plusで は 、レ ー ト 制 限 は ク
ラスタ上で動作します。 (ゾーンの同期の例はこちら：レシピ 12.5)。
この制 限についてテストをすることは少々難しいか もし れません 。テスト用 の 代 替 環
境でライブのトラフィックをシミュレートするのは 難しい場合 が多いためです。この場
合、limit_conn_dry_run ディレクティブを有効にして、アクセスログの中で変数$limit_
conn_statusを使 用します。$limit_conn_status変数はPASSED、REJECTED、REJECTED_DRY_RUN
のいずれかを選択します。ドライランを有効にすると、ライブトラフィックのログを分析
し、有効にする前に必要に応じて制限を微調整できます。これで、制限の構成が正しい
ことを保証することができます。
3.7 帯域幅 制限
問題
クライアントごとのアセットダウンロード帯域幅を制限する必要があります。
解決法
NGINXのlimit_rateとlimit_rate_afterディレクティブを使用して、クライアントへの
応答の帯域幅を制限します：
location /download/ {
limit_rate_after 10m;
limit_rate 1m;
}
このロケーションブロックの構成では、プレフィックスdownloadでURIを 制 限 し 、応 答
がクライアントに提 供される速 度が10MB以降、1MB /秒の速度に制限されるように指
定されています。帯域幅の制限は接続ごとであるため、必要に応じて、接続の制限と帯
域 幅の制 限を設 定することをお 勧めします。
解説
特定の接続の帯域幅を制限すると、NGINXは指定した方法ですべてのクライアント
間でアップロードの帯域幅を共有するようにします。これら2つの ディレクティブ で
す：limit_rate_afterおよびlimit_rate。limit_rate_afterディレクティブ はほぼ すべ て
のコン テ キストで 設 定 できます：HTTP、server、locationそして、ifがlocation内にある場
合には、ifも使 用できます。limit_rateディレクティブは limit_rate_afterと同じコンテ
キストで 適 用されます が、$limit_rateという名前の 変 数 で も設 定することができます。
| 第3章 ：ト ラ フ ィ ッ ク 管 理
..................Content has been hidden....................
You can't read the all page of ebook, please click here login for view all page.