Rate limiting в Nginx: limit_req, burst и защита API от перегрузки

Q: Какой лимит запросов ставить для API?

Универсального числа нет. Возьмите из логов 99-й перцентиль запросов в секунду от одного клиента в обычный день, умножьте на 2–3 и задайте это как rate, а burst — на размер типичной пачки запросов при открытии страницы. Первую неделю держите лимит в режиме limit_req_dry_run и смотрите, кого он задел бы.

Q: Почему Nginx отдаёт 503, а не 429?

Так работает значение по умолчанию: limit_req_status и limit_conn_status равны 503. Добавьте limit_req_status 429; и limit_conn_status 429; на уровне http или server, чтобы клиенты и мониторинг отличали превышение лимита от падения бэкенда.

Q: Спасает ли limit_req от DDoS?

От флуда с одного или нескольких адресов, перебора паролей и агрессивных парсеров — да. От распределённой атаки с тысяч адресов или от забивания канала — нет: трафик уже дошёл до сервера. Против таких атак нужна фильтрация у провайдера или CDN до вашего Nginx.

Q: Что будет, если зона limit_req_zone переполнится?

Nginx удаляет самые давно не использованные состояния. Если места всё равно не хватает, новый запрос получает ошибку с кодом limit_req_status. На 64-битной системе 1 МБ вмещает около 8 тысяч состояний по ключу $binary_remote_addr, поэтому зоны 10m хватает примерно на 80 тысяч адресов.

Q: Работает ли лимит, если у меня несколько серверов Nginx?

Каждый экземпляр Nginx считает запросы в своей разделяемой памяти, общей только для его воркеров. При трёх узлах за балансировщиком клиент фактически получает тройной лимит. Либо делите rate на число узлов, либо переносите строгие квоты в приложение с общим хранилищем вроде Redis.

Q: Нужно ли ограничивать health check и мониторинг?

Нет. Адреса балансировщика, Prometheus и внутренних сервисов выносят в белый список через geo и map с пустым ключом либо отдают /healthz из отдельного location без limit_req. Иначе при всплеске трафика балансировщик получит 429 и выведет здоровый узел из ротации.

# /etc/nginx/conf.d/ratelimit.conf  (подключается внутри http {})
limit_req_zone $binary_remote_addr zone=api:10m rate=10r/s;
limit_req_status 429;
limit_req_log_level warn;
server {
    listen 443 ssl;
    server_name api.example.com;

    location /api/ {
        limit_req zone=api burst=20 nodelay;
        proxy_pass http://127.0.0.1:8080;
    }
}
sudo nginx -t && sudo systemctl reload nginx
limit_req zone=api burst=20 delay=8;
location /api/ {
    limit_req zone=api burst=20 nodelay;
    error_page 429 = @ratelimited;
    proxy_pass http://127.0.0.1:8080;
}

location @ratelimited {
    default_type application/json;
    add_header Retry-After 1 always;
    return 429 '{"error":"too_many_requests","retry_after":1}';
}
limit_req_zone $binary_remote_addr zone=login:10m rate=5r/m;
limit_req_zone $binary_remote_addr zone=api:10m   rate=10r/s;
limit_req_zone $binary_remote_addr zone=search:10m rate=2r/s;

server {
    location = /login       { limit_req zone=login burst=5 nodelay;  proxy_pass http://app; }
    location /api/          { limit_req zone=api burst=20 nodelay;   proxy_pass http://app; }
    location /api/search    { limit_req zone=search burst=5;         proxy_pass http://app; }
    location /static/       { root /var/www; }   # без лимита
}
limit_req_zone $server_name zone=search_total:1m rate=50r/s;

location /api/search {
    limit_req zone=search burst=5;
    limit_req zone=search_total burst=20;
    proxy_pass http://app;
}
map $http_x_api_key $api_limit_key {
    ""      $binary_remote_addr;
    default $http_x_api_key;
}
limit_req_zone $api_limit_key zone=apikey:20m rate=20r/s;
limit_conn_zone $binary_remote_addr zone=perip:10m;
limit_conn_status 429;

location /downloads/ {
    limit_conn perip 3;
    limit_rate_after 10m;
    limit_rate 2m;
}
geo $limit_exempt {
    default        0;
    10.0.0.0/8     1;   # внутренняя сеть
    192.0.2.15     1;   # Prometheus
    198.51.100.7   1;   # офис
}

map $limit_exempt $limit_key {
    0 $binary_remote_addr;
    1 "";
}

limit_req_zone $limit_key zone=api:10m rate=10r/s;
set_real_ip_from 10.0.0.0/8;       # адреса ваших балансировщиков
set_real_ip_from 172.16.0.0/12;
real_ip_header   X-Forwarded-For;
real_ip_recursive on;
log_format rl '$remote_addr [$time_local] "$request" $status rl=$limit_req_status';

location /api/ {
    limit_req zone=api burst=20 nodelay;
    limit_req_dry_run on;
    access_log /var/log/nginx/api_rl.log rl;
    proxy_pass http://app;
}
grep REJECTED_DRY_RUN /var/log/nginx/api_rl.log | awk '{print $1}' | sort | uniq -c | sort -rn | head
for i in $(seq 1 40); do
  curl -s -o /dev/null -w '%{http_code}\n' https://api.example.com/api/ping
done | sort | uniq -c
# /etc/fail2ban/jail.d/nginx-limit-req.local
[nginx-limit-req]
enabled  = true
port     = http,https
logpath  = /var/log/nginx/error.log
findtime = 600
maxretry = 30
bantime  = 3600
sudo systemctl restart fail2ban
sudo fail2ban-client status nginx-limit-req
# http {}
set_real_ip_from 10.0.0.0/8;
real_ip_header   X-Forwarded-For;
real_ip_recursive on;

geo $limit_exempt { default 0; 10.0.0.0/8 1; }
map $limit_exempt $limit_key { 0 $binary_remote_addr; 1 ""; }

limit_req_zone  $limit_key zone=api:10m   rate=10r/s;
limit_req_zone  $limit_key zone=login:10m rate=5r/m;
limit_conn_zone $limit_key zone=perip:10m;

limit_req_status  429;
limit_conn_status 429;
limit_req_log_level warn;

# server {}
location = /healthz { access_log off; return 200 "ok\n"; }

location = /api/login {
    limit_req zone=login burst=5 nodelay;
    error_page 429 = @ratelimited;
    proxy_pass http://app;
}

location /api/ {
    limit_req  zone=api burst=20 nodelay;
    limit_conn perip 20;
    error_page 429 = @ratelimited;
    proxy_pass http://app;
}

location @ratelimited {
    default_type application/json;
    add_header Retry-After 1 always;
    return 429 '{"error":"too_many_requests"}';
}

Модуль	Что ограничивает	Ключевые директивы	Против чего
`ngx_http_limit_req_module`	частоту запросов во времени	`limit_req_zone`, `limit_req`	флуд, перебор паролей, парсеры, зацикленные клиенты
`ngx_http_limit_conn_module`	число одновременных соединений	`limit_conn_zone`, `limit_conn`	медленные загрузки, удержание соединений, массовое скачивание файлов

Размер зоны	Примерно уникальных IP (64 бит)	Подходит для
1m	8 000	внутренний сервис, админка
10m	80 000	обычный сайт или API
50m	400 000	крупный публичный API

Настройка	Пачка из 25 запросов при rate=10r/s	Где уместна
без burst	1 проходит, 24 отклонены	почти нигде; разве что строгий лимит на вход
`burst=20`	21 проходят с растущей задержкой до ~2 с, 4 отклонены	фоновые задачи, где задержка не важна
`burst=20 nodelay`	21 проходят сразу, 4 отклонены	API, веб-приложения
`burst=20 delay=8`	9 сразу, 12 с задержкой, 4 отклонены	публичные страницы с риском парсинга

Rate limiting в Nginx: limit_req, burst и защита API от перегрузки

Как работает rate limiting в Nginx?

Как настроить limit_req_zone и limit_req?

Шаг 1. Объявить зону

Шаг 2. Применить лимит

Сколько памяти выделить зоне?

Что делают burst, nodelay и delay?

burst без nodelay: очередь

burst с nodelay: мгновенно, но с учётом

delay: гибрид

Как отдавать 429 с понятным ответом для API?

Как ограничить разные эндпоинты по-разному?

Ключ по API-токену вместо IP

Как ограничить одновременные соединения через limit_conn?

Как не ограничить свой мониторинг и доверенные адреса?

Что делать, если Nginx стоит за балансировщиком или CDN?

Восстановить реальный IP клиента

Учесть несколько узлов Nginx

Как проверить лимиты, никого не задев?

Режим dry_run

Нагрузочная проверка

Как блокировать тех, кто постоянно упирается в лимит?

Какие ошибки с rate limiting встречаются чаще всего?

Готовая конфигурация для API

Частые вопросы о rate limiting в Nginx

Какой лимит запросов ставить для API?

Почему Nginx отдаёт 503, а не 429?

Спасает ли limit_req от DDoS?

Что будет, если зона limit_req_zone переполнится?

Работает ли лимит, если у меня несколько серверов Nginx?

Нужно ли ограничивать health check и мониторинг?