Chống Lại Tấn Công DDoS Layer 7 Bằng Cách Cấu Hình Rate Limiting Nâng Cao Trên Nginx

1. Đặt vấn đề: Mối đe dọa từ tấn công DDoS Layer 7

Trong kỷ nguyên số hóa, tính sẵn sàng của dịch vụ là yếu tố sống còn đối với mọi doanh nghiệp. Tuy nhiên, các cuộc tấn công từ chối dịch vụ phản tán (DDoS) đang ngày càng tinh vi hơn, đặc biệt là tấn công DDoS Layer 7 (Ứng dụng). Khác với các cuộc tấn công Layer 3 hoặc Layer 4 tập trung vào việc làm nghẽn băng thông, tấn công Layer 7 nhắm trực tiếp vào các tài nguyên của ứng dụng như CPU, RAM và cơ sở dữ liệu bằng cách giả lập các hành vi của người dùng hợp lệ.

Các hình thức phổ biến bao gồm HTTP Flood, tấn công vào các endpoint tiêu tốn tài nguyên (như chức năng tìm kiếm, đăng nhập) hoặc khai thác các lỗ hổng logic. Để đối phó với thách thức này, việc triển khai một giải pháp ngăn chặn ngay tại tầng Reverse Proxy là vô cùng cấp thiết. Và Nginx, với kiến trúc hướng sự kiện (event-driven) mạnh mẽ, chính là lá chắn hàng đầu được các chuyên gia bảo mật lựa chọn.

2. Cơ chế hoạt động của Rate Limiting trong Nginx

Để cấu hình hiệu quả, trước hết chúng ta cần hiểu rõ cơ chế cốt lõi của Nginx khi xử lý giới hạn tốc độ. Nginx sử dụng thuật toán Leaky Bucket (Thùng nước rò rỉ) để điều hòa các request đi vào hệ thống.

• Thuật toán Leaky Bucket: Hãy tưởng tượng các request giống như nước được đổ vào một chiếc thùng. Nước sẽ rò rỉ ra khỏi đáy thùng với một tốc độ cố định (rate). Nếu lượng nước đổ vào nhanh hơn tốc độ rò rỉ, thùng sẽ đầy. Khi thùng đã đầy, bất kỳ giọt nước (request) nào thêm vào sẽ bị tràn ra ngoài (bị từ chối).
• Khái niệm Burst và Nodelay: Trong thực tế, việc chặn ngay lập tức các request vượt ngưỡng có thể gây ảnh hưởng xấu đến trải nghiệm người dùng (chẳng hạn khi một trang web tải nhiều tài nguyên cùng lúc). Nginx giải quyết vấn đề này bằng tham số burst (vùng đệm chứa các request vượt ngưỡng) và nodelay (xử lý ngay lập tức các request trong vùng đệm thay vì bắt chúng xếp hàng, nhưng vẫn tính vào giới hạn tổng thể).

3. Hướng dẫn cấu hình Rate Limiting nâng cao trên Nginx

Dưới đây là kiến trúc cấu hình thực tế giúp doanh nghiệp thiết lập bộ lọc nhiều tầng, từ cơ bản đến nâng cao để cô lập các traffic bất thường.

Bước 1: Định nghĩa vùng lưu trữ (Zone) tại block http

Đầu tiên, chúng ta cần khai báo vùng bộ nhớ để lưu trữ trạng thái của các IP truy cập. Thêm đoạn cấu hình sau vào file nginx.conf bên trong block http:

http {
    # Giới hạn theo IP client: 10MB bộ nhớ lưu trữ khoảng 160.000 IP, tốc độ 5 request/giây
    limit_req_zone $binary_remote_addr zone=per_ip_zone:10m rate=5r/s;

    # Giới hạn theo URI (Bảo vệ các endpoint nhạy cảm): tốc độ 2 request/giây
    limit_req_zone $request_uri zone=per_uri_zone:10m rate=2r/s;
}

Bước 2: Áp dụng Rate Limiting vào block server hoặc location

Sau khi đã định nghĩa các zone, chúng ta sẽ áp dụng chúng vào các khu vực cụ thể của ứng dụng tại block server:

server {
    listen 80;
    server_name doanhnghiep.com;

    # Áp dụng toàn cục với bộ đệm burst
    location / {
        limit_req zone=per_ip_zone burst=12 nodelay;
        proxy_pass http://backend_app;
    }

    # Bảo vệ nghiêm ngặt các trang như Đăng nhập, Tìm kiếm, API nặng
    location /api/v1/login {
        limit_req zone=per_uri_zone burst=5;
        proxy_pass http://backend_app;
    }
}

Trong cấu hình trên, đối với các request thông thường, chúng ta cho phép một lượng burst=12 và sử dụng nodelay để tối ưu tốc độ tải trang cho người dùng thật. Đối với endpoint đăng nhập nguy hiểm, burst=5 và không có nodelay sẽ ép các request vượt ngưỡng phải chờ đợi, làm chậm tiến trình tấn công Brute Force hoặc HTTP Flood.

4. Các kỹ thuật tối ưu hóa và nâng cao để chống DDoS

Để hệ thống phòng thủ hoạt động thông minh và không chặn nhầm người dùng hợp lệ (False Positive), các kỹ sư hệ thống cần áp dụng các kỹ thuật nâng cao sau:

Tùy chỉnh mã lỗi phản hồi và Log

Mặc định, Nginx trả về mã lỗi 503 khi request bị từ chối. Tuy nhiên, để phối hợp tốt với các hệ thống tường lửa lớp trên hoặc CDN (như Cloudflare), bạn nên đổi thành mã lỗi 429 (Too Many Requests) và thiết lập mức độ log phù hợp:

• limit_req_status 429; - Trả về mã lỗi chuẩn SEO và chuẩn API cho client.
• limit_req_log_level warn; - Giảm bớt dung lượng ghi log, tránh việc ổ cứng bị đầy khi đang bị tấn công dồn dập.

Cấu hình Whitelist (Bỏ qua giới hạn cho IP tin cậy)

Doanh nghiệp thường có các đối tác, hệ thống nội bộ hoặc các bot tìm kiếm (Googlebot) cần truy cập với tần suất cao. Sử dụng module geo và map của Nginx để tạo whitelist:

geo $white_ip {
    default 0;
    127.0.0.1 1;
    192.168.1.0/24 1;
}

map $white_ip $limit_key {
    0 $binary_remote_addr;
    1 "";
}

Sau đó, thay thế $binary_remote_addr bằng $limit_key trong cấu hình limit_req_zone. Nếu IP thuộc whitelist, biến $limit_key sẽ rỗng, và Nginx sẽ bỏ qua việc tính toán rate limit cho IP đó.

5. Kết luận và Khuyến nghị hệ thống

Cấu hình Rate Limiting nâng cao trên Nginx là giải pháp chi phí thấp nhưng mang lại hiệu quả cực kỳ cao trong việc giảm thiểu thiệt hại từ các cuộc tấn công DDoS Layer 7. Nó giúp bảo vệ tài nguyên máy chủ backend không bị quá tải và duy trì hoạt động liên tục cho doanh nghiệp.

Tuy nhiên, bảo vệ hệ thống là một chiến lược đa tầng. Doanh nghiệp không nên chỉ phụ thuộc vào một mình Nginx. Khuyến nghị tối ưu nhất là kết hợp cấu hình Nginx kết hợp với Web Application Firewall (WAF), các dịch vụ CDN chống DDoS ở vòng ngoài, đồng thời liên tục giám sát log hệ thống thông qua các công cụ như Prometheus/Grafana để phát hiện và điều chỉnh các thông số kịp thời.