asp.net-mvc - IIS8中最佳的 "Dynamic IP Restriction Settings"是多少

Question

因此，我在我的 Azure 云服务站点中启用了此功能，以尝试减少蜘蛛和机器人对我们的频繁攻击。

有人有过这些设置的经验吗？

根据并发请求数拒绝IP地址:最大并发请求数？

根据一段时间内的请求数量拒绝 IP 地址:最大请求数？时间段(以毫秒为单位)？

Answer 1

寻找合理设置的实验方法

我最近一直在尝试这些设置来决定我们生产站点的值。

我们确定了单个(请求较多)页面生成的最大请求数，并将其乘以 2.5 以获得一段时间内的最大请求数。对于时间值，我选择了 200ms。

手动测试表明这些设置对于“正常”使用效果很好。当我们同时在浏览器中的 5 个或更多选项卡中重新加载页面时，我们设法得到一些 403 Forbidden。

您必须记住的是，您网站的许多用户可能位于同一代理后面，因此动态 IP 限制仅将这些用户视为一个。由于 200 毫秒的相当短的窗口，我预计这不会成为问题，同时仍然在一定程度上阻止激进的 DoS 攻击。

此外，我们不限制同时连接的数量。在这里几乎不可能找到一个合理的数字，因为不同客户的数量可能是无限的。

请注意，单个页面的请求(取请求最多的页面)与获取有用的设置高度相关。例如。如果您的首页的页面加载对您的服务器产生了 10 个请求，这些请求将在很短的时间内到达，因此您的限制必须有更高的阈值。

2015 年 4 月更新

我们的服务已经在这些设置下运行了一年多，到目前为止我们非常满意。