Предотвращение сбоев PHP-FPM при небольшой нагрузке

2024-6-25 • tag-icon

Предотвращение сбоев PHP-FPM при небольшой нагрузке

Я подвергаюсь DoS-атаке на размещенный у меня сайт WordPress.

173.192.109.118 - - [30/Sep/2015:22:31:36 +0000] "POST /xmlrpc.php HTTP/1.0" 499 0 "-" "Mozilla/4.0 (compatible: MSIE 7.0; Windows NT 6.0)"

Я получаю около ~140 таких записей в своем nginxжурнале доступа (это заняло около 10 секунд, то есть ~14 запросов в секунду), а затем они переключаются на 502:

173.192.109.118 - - [30/Sep/2015:22:31:46 +0000] "POST /xmlrpc.php HTTP/1.0" 502 537 "-" "Mozilla/4.0 (compatible: MSIE 7.0; Windows NT 6.0)"

В этот момент PHP-FPMнеобходимо перезапустить сайт, чтобы восстановить его работу.

Итак, мой вопрос:Могу ли я что-нибудь сделать, чтобы предотвратить сбой в работе одного злоумышленника PHP-FPM?

Большая часть моего (ограниченного) опыта связана с Apache, поэтому любой совет будет полезен.в значительной степениоценил.

Я пытался установить разумные ограничения для всего. На сервере достаточно оперативной памяти под нагрузкой, так что, похоже, проблема не в этом. Я просто добавил ограничитель скорости из следующего руководства:https://www.howtoforge.com/rate-limiting-with-nginx, и хотя это, по-видимому, отсрочивает агонию, все равно заканчивается крахом PHP-FPM.

Кажется, ничего интересного или полезного не /var/log/php5-fpm.logотображается, кроме пары ошибок, которые я допустил, когда забыл добавить начальный символ / в файле конфигурации, и нескольких строк об успешном перезапуске:

[30-Sep-2015 23:03:51] ERROR: Unable to create or open slowlog(/usr/log/www.log.slow): No such file or directory (2)
[30-Sep-2015 23:03:51] ERROR: failed to post process the configuration
[30-Sep-2015 23:03:51] ERROR: FPM initialization failed
[30-Sep-2015 23:05:47] NOTICE: configuration file /etc/php5/fpm/php-fpm.conf test is successful

/etc/php5/fpm/pool.d/www.conf

[www]
user = www-data
group = www-data
listen = /var/run/php5-fpm.sock
listen.owner = www-data
listen.group = www-data
pm = dynamic
pm.max_children = 5
pm.start_servers = 2
pm.min_spare_servers = 1
pm.max_spare_servers = 3
pm.status_path = /status
ping.path = /ping
ping.response = pong
slowlog = /var/log/php-fpm_$pool.slow.log
request_slowlog_timeout = 30
request_terminate_timeout = 30
chdir = /

/etc/nginx/nginx.conf

user www-data;
worker_processes 4;
pid /run/nginx.pid;
events {
    worker_connections 768;
}
http {
    sendfile on;
    tcp_nopush on;
    tcp_nodelay on;
    keepalive_timeout 65;
    types_hash_max_size 2048;
    include /etc/nginx/mime.types;
    default_type application/octet-stream;
    access_log /var/log/nginx/access.log;
    error_log /var/log/nginx/error.log;
    gzip on;
    gzip_disable "msie6";
    gzip_vary on;
    gzip_proxied any;
    gzip_comp_level 6;
    gzip_buffers 16 8k;
    gzip_http_version 1.1;
    gzip_types text/plain text/css application/json application/x-javascript text/xml application/xml application/xml+rss text/javascript;

    limit_req_zone  $binary_remote_addr  zone=one:10m   rate=1r/s;

    include /etc/nginx/conf.d/*.conf;
    include /etc/nginx/sites-enabled/*;
}

/etc/nginx/sites-enabled/example.com

server {
  server_name localhost www.example.com;
  return 301 http://example.com$request_uri;
}
server {
    listen 80 default_server;
    listen [::]:80 default_server ipv6only=on;
    root /var/www/html;
    index index.php index.html index.htm;
    server_name example.com;

    client_max_body_size 500M;

    location / {
        try_files $uri $uri/ /index.php?q=$uri&$args;
    }

    error_page 404 /404.html;

    error_page 500 502 503 504 /50x.html;
    location = /50x.html {
        root /var/www/html;
    }

    location ~*  \.(jpg|jpeg|png|gif|ico|css|js|woff)$ {
            expires 365d;
    }
        location ~ \.php$ {
            try_files $uri =404;
            fastcgi_split_path_info ^(.+\.php)(/.+)$;
            fastcgi_pass unix:/var/run/php5-fpm.sock;
            fastcgi_index index.php;
            fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
            include fastcgi_params;
            limit_req zone=one burst=5;
        }

    location /status {
        fastcgi_pass php;
    }

    location /ping {
        fastcgi_pass php;
    }

    location ~ /\. {
        deny all;
    }
}

**ОБНОВЛЯТЬ**

Я обновил заголовок, чтобы он лучше отражал мой вопрос, в надежде, что это привлечет содержательное обсуждение по PHP-FPMнастройке.

В качестве второстепенного вопроса, возможно, более важного, чем мой первый вопрос, я задаюсь вопросом: Как настроить/укрепить PHP-FPM, чтобы использовать все доступные ресурсы сервера без предварительного сбоя?

Apache / PHP, возможно, не был столь эффективен, но он не прекращал обслуживать запросы, пока сервер не был поставлен на колени, а затем, когда атака закончилась, сайт снова заработал. Кажется довольно неприятным вручную перезапускать службу, которая была слегка перегружена. (14 req/секунда — это действительно ничто)

Я согласен с идеями по fail2banсмягчению DoS-атак, но меня действительно беспокоит то, что произойдет, если/когдаобычныйтрафик достигает 15 запросов в секунду?

решение1

По сути, у вас есть следующие варианты:

использовать блокировку пакетного фильтра
используйте блокировку nginx, например

location / { deny xx.xx.xx.xx; allow all; }

увеличить pm.max_childrenдо числа, равногоядра процессора x 2, 5 слишком мало - возможно, после увеличения он сможет обрабатывать только 14 запросов в секунду, что на самом деле не такое уж большое число. Кроме того, вы используете limit_reqдирективу nginx для ограничения частоты запросов, я бы посоветовал вам добавить еще одну зону и настроить ее с меньшим размером пакета или nodelay.

решение1

Связанный контент