asp.net-mvc - studio - web deploy iis
¿Cuál es la "Configuración de restricción de IP dinámica" óptima en IIS8? (1)
Un enfoque experimental para encontrar ajustes sensibles.
Recientemente he estado experimentando con estas configuraciones para decidir los valores para nuestro sitio de producción.
Determinamos el número máximo de solicitudes que genera una sola página (solicitud pesada) y lo multiplicamos por 2.5 para obtener el número máximo de solicitudes a lo largo del tiempo. Para el valor de tiempo elegí 200ms.
Las pruebas manuales muestran que estas configuraciones funcionan bien para el uso "normal". Logramos obtener 403 Forbidden cuando recargamos la página simultáneamente en 5 o más pestañas en el navegador.
Algo que hay que tener en cuenta es que muchos usuarios de su sitio web pueden estar sentados detrás del mismo proxy, por lo que las Restricciones de IP Dinámicas consideran a estos usuarios como uno solo. Con la ventana bastante corta de 200 ms, espero que esto no sea un problema, al mismo tiempo que bloquea los ataques DoS agresivos hasta cierto punto.
Además, no restringimos el número de conexiones simultáneas. Es casi imposible encontrar un número razonable aquí, ya que el número de clientes diferentes es potencialmente ilimitado.
Tenga en cuenta que las solicitudes de una sola página (tome la que tenga la mayoría de las solicitudes) es muy relevante para obtener configuraciones útiles. Por ejemplo, si la carga de una página de su página frontal genera 10 solicitudes a su servidor, estas aparecerán en un período de tiempo muy corto, por lo que sus restricciones deben tener un umbral más alto.
Actualización abril 2015
Nuestro servicio ha estado funcionando durante más de un año con estos ajustes, y hasta ahora hemos estado bastante contentos.
Así que encendí esto en mi sitio de servicio en la nube de Azure para intentar mitigar las arañas y los robots que nos golpean una cantidad absurda de veces.
¿Alguien ha tenido alguna experiencia con estos ajustes?
Denegar la dirección IP según el número de solicitudes simultáneas: ¿Número máximo de solicitudes simultáneas?
Denegar la dirección IP según el número de solicitudes durante un período de tiempo: ¿Número máximo de solicitudes? ¿Período de tiempo (en milisegundos)?