Как защититься от медленного хоста, который удерживает соединение часами?

Проблема медленных соединений

Когда клиент удерживает соединение открытым часами, он занимает слот в пуле соединений сервера. Если таких клиентов много, сервер может исчерпать лимит одновременных соединений и перестать отвечать новым пользователям. Это классическая атака Slow Loris, но проблема может возникать и из-за багов в клиентском ПО.

Основные методы защиты

• Таймауты — установка максимального времени ожидания для разных этапов соединения.
• Ограничение соединений — лимит на количество одновременных соединений с одного IP.
• Использование прокси — Nginx или HAProxy могут буферизировать запросы и закрывать медленные соединения.

Пример настройки Nginx

http {
    client_header_timeout 10s;
    client_body_timeout 10s;
    keepalive_timeout 65s;
    limit_conn_zone $binary_remote_addr zone=addr:10m;
    limit_conn addr 10;
}

Эти директивы ограничивают время ожидания заголовков и тела запроса, а также количество соединений с одного IP.

Вывод

Защита от медленных хостов обязательна для любого публичного сервера. Комбинация таймаутов и лимитов соединений позволяет эффективно бороться как с атаками, так и с неисправными клиентами.