☰

Nginx: ограничение скорости неудачных попыток базовой аутентификации

tag-icon • tag-icon nginx authentication rate-limiting brute-force-attacks
Nginx: ограничение скорости неудачных попыток базовой аутентификации

Приведем простую настройку базовой аутентификации HTTP в Nginx (1.14.1 на момент написания статьи):

server {
  ...
  location / {
    auth basic "HTTP Auth Required";
    auth basic user file "/path/to/htpasswd";
  }
}

... как можно применить ограничение скорости к неудачным попыткам входа? Например, если за 30 секунд будет 10 неудачных попыток входа, я бы хотел запретить этому исходному IP-адресу доступ к сайту в течение часа. Я бы ожидал использовать limit_req_zoneи связанные директивы, но не смог найти способ подключиться к состоянию аутентификации запроса.

Это довольно просто сделать в HAproxy с помощью таблиц stick и ACL, используя что-то вроде следующего рабочего примера.

userlist users
  user me password s3cr3t

frontend https.local
  ...

  # Set up the stick table to track our source IPs, both IPv4 & IPv6
  stick-table  type ipv6  size 100k  expire 1h  store http_req_rate(30s)

  # Check if the user has authenticated
  acl  auth_ok  http_auth(users)

  # Track the client IP
  http-request track-sc0 src

  # Deny the connection if it exceeds 10 requests within the defined
  # stick-table period AND if the client isn't authenticated already
  http-request deny deny_status 429 if { sc_http_req_rate(0) gt 10 } !auth_ok

  # Define the auth realm if the users isn't authenticated and made it this far
  http-request auth realm Authorization\ Required unless auth_ok

Возможно ли это с помощью Nginx без необходимости использовать подход auth_requestи применять ограничение запросов к locationблоку внешнего механизма аутентификации?

решение1

Вы также можете использовать fail2ban, а затем jail для nginx.

решение2


  limit_req_status     429;
  auth_basic           "-";
  auth_basic_user_file "...";
  error_page           401 = @nein;
  proxy_intercept_errors on; # not needed if not proxying

  location / {
    # note you cannot use a short circuiting `return`  here.
    try_files /dev/null =204;
  }

  location @nein {
    internal  ;
    limit_req zone=<zone>;
    # this is the magic trick, `try_files` takes place AFTER `limit_req`.
    try_files /dev/null =401;
  }

Примечание: это вступает в силу только ПОСЛЕ неудачной аутентификации, поэтому вам придется поиграться с ограничением всплесков, чтобы отложить следующие запросы. Я даже не уверен, возможно ли защитить вещи таким образом от атак методом перебора.

Связанный контент