Защита от DDoS атак с помощью NGINX и Fail2Ban

Любой ресурс, доступный в интернете, может рано или поздно подвергнуться различным сетевым атакам. В этой статье мы рассмотрим, как противостоять этим угрозам с акцентом на DDoS.

Что такое DDoS атака?

DDoS атака — это попытка перегрузить сервер или сайт, отправляя множество запросов от разных источников, чтобы сделать его недоступным для пользователей.

Защита сайта

Для защиты мы будем использовать модуль NGINX для лимитирования запросов (ngx_http_limit_req_module) и систему обнаружения и предотвращения вторжений (IDS/IPS) Fail2Ban.

Принцип работы:

Модуль лимитирования запросов ограничивает количество запросов от пользователей и записывает события в error.log.
Fail2Ban парсит данные из лог-файла с использованием фильтров и блокирует IP-адреса, производящие подозрительные запросы.

Предполагается, что у вас уже установлен:

• NGINX в качестве веб-сервера или обратного прокси;
  
• Сервис Fail2Ban.
  

Итак, приступим.

Подключаем модуль лимитера запросов в NGINX

В основном конфигурационном файле /etc/nginx/nginx.conf добавьте следующее:

http {
    limit_req_zone $binary_remote_addr zone=example:100m rate=30r/m;
    ...
}

Далее необходимо применить зону для одного из location:

location = /admin {
    limit_req zone=example burst=1 nodelay;
    ...
}

Подключаем фильтр nginx-limit-req в Fail2Ban

Создадим новый jail.local командой:

cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

Отредактируем /etc/fail2ban/jail.local и приведем содержимое фильтра nginx-limit-req к следующему виду:

[nginx-limit-req]
enabled = true
port    = http,https
logpath = %(nginx_error_log)s