突破流量攻击：BunkerWeb速率限制与带宽防护全配置指南
项目地址: https://gitcode.com/GitHub_Trending/bu/bunkerweb 你是否遭遇过网站因突发流量攻击而瘫痪？电商促销时服务器被恶意请求拖垮？BunkerWeb的请求速率限制功能可帮助你在30分钟内搭建基础防护，本文将详解从基础配置到高级策略的完整实现方案。
核心防护原理
BunkerWeb通过Nginx模块实现多层级流量控制，基于IP地址、会话或API密钥跟踪请求频率，当达到阈值时自动触发临时封禁。其工作流程包含三个关键环节：
- 请求标记：通过
X-Forwarded-For或直接IP识别客户端 - 频率统计：滑动窗口算法计算单位时间内请求次数
- 动作执行：渐进式响应（警告→限流→封禁）
基础配置实现
快速启用速率限制
在docker-compose.yml中添加环境变量即可开启基础防护：
environment:
- REQUEST_RATE_LIMIT=10r/m
- REQUEST_RATE_LIMIT_STATUS_CODE=429
参数说明：
10r/m表示每分钟允许10个请求429状态码明确告知客户端"请求过于频繁"
配置文件位置
所有速率限制规则存储于以下路径，支持动态加载无需重启服务：
- Docker环境：examples/docker-configs/docker-compose.yml
- Kubernetes环境：examples/kubernetes-configs/kubernetes.yml
高级策略配置
多维度限制规则
创建bw-data/modsec/custom.conf实现精细化控制：
# IP级限制
SecRule REMOTE_ADDR "@ipMatch 192.168.1.0/24" \
"id:1000,phase:1,nolog,pass,ctl:requestRateLimit=20r/m"
# 路径级限制
SecRule REQUEST_URI "@streq /api/login" \
"id:1001,phase:1,nolog,pass,ctl:requestRateLimit=5r/m"
动态白名单设置
在examples/hardened/docker-compose.yml中配置信任IP：
environment:
- WHITELIST_IP=192.168.1.100,172.16.0.0/16
监控与调优
日志分析
速率限制事件记录于/var/log/nginx/access.log，典型条目格式：
127.0.0.1 - - [22/Oct/2025:01:05:30 +0000] "GET / HTTP/1.1" 429 153 "-" "curl/7.68.0"
可通过tests/logger.py工具生成可视化报表，识别异常流量模式。
性能调优建议
- 合理设置阈值：根据业务场景调整（如API接口设5r/s，静态资源设60r/m）
- 排除健康检查：为监控系统设置永久白名单
- 分级响应策略：先使用
delay=500ms减速而非直接封禁
常见问题解决
UI操作限制
当使用Web管理界面频繁操作时，可能触发自身速率限制。可通过修改UI模板提升管理端配额：
- limit_req zone=ui burst=10 nodelay;
+ limit_req zone=ui burst=20 nodelay;
此配置位于src/ui/templates/nginx/ui.conf，调整后需执行：
docker-compose exec bunkerweb bwcli reload
误封处理流程
- 检查logs/modsec/audit.log确认触发规则ID
- 在examples/swarm-configs/app1-server-http.conf中添加例外规则
- 执行
bwcli whitelist add <IP>临时解除限制
最佳实践案例
电商促销场景
黑色星期五期间的配置示例：
environment:
- REQUEST_RATE_LIMIT=30r/m
- REQUEST_RATE_LIMIT_BURST=10
- REQUEST_RATE_LIMIT_JAIL=10m
配合队列机制实现削峰填谷，既保证真实用户体验，又防止系统过载。
API服务防护
为GraphQL接口设计的专项防护：
SecRule REQUEST_URI "@beginsWith /graphql" \
"id:2000,phase:1,pass,nolog,\
ctl:requestRateLimit=5r/s,\
ctl:requestRateLimitJail=5m"
通过examples/reverse-proxy-multisite/swarm.yml实现多域名差异化配置。
监控与告警
集成Prometheus监控方案：
- 启用状态页：
- STATUS_PAGE=yes - 配置指标收集：examples/syslog/docker-compose.yml
- 设置Grafana告警阈值：当
request_rate_limit_hits5分钟内超过100次时触发通知
总结与展望
BunkerWeb的速率限制功能已覆盖从基础到企业级的防护需求，2025年 roadmap显示将新增：
- 基于用户角色的差异化限制
- 机器学习异常流量识别
- 与CDN服务的协同防护
建议定期查阅CHANGELOG.md获取功能更新，特别是UI速率限制优化相关改进（如48行记录的基础限制提升）。
创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
