En bref. Azure Front Door sélectionne les requêtes correspondantes et les compte par adresse IP du socket sur une fenêtre fixe d’une minute ou de cinq minutes.

Définition : Une limite de débit Azure Front Door est une règle personnalisée de pare-feu d’applications web (Web Application Firewall, WAF) qui s’active lorsque ses conditions de correspondance sélectionnent une requête et que le nombre de requêtes atteint un seuil. Microsoft indique que le comptage s’effectue par adresse IP du socket (socket IP address), avec une fenêtre fixe d’une minute ou de cinq minutes pour chaque groupe correspondant aux conditions.

Points clés

Une règle WAF personnalisée comprend un numéro de priorité, un type de règle, des conditions de correspondance et une action. Dans sa référence sur les règles personnalisées, Microsoft distingue les règles de correspondance des règles de limitation de débit, ces dernières combinant les conditions de correspondance et le débit des requêtes entrantes.
Les valeurs numériques de priorité les plus faibles sont évaluées en premier. L’évaluation s’arrête après toute action autre que Log, et chaque règle personnalisée doit avoir une valeur de priorité unique, selon la même référence Microsoft.
Le seuil correspond au nombre de requêtes autorisées pour chaque adresse IP du socket pendant une minute ou cinq minutes, comme l’indique la documentation Microsoft sur la limitation de débit.
Une limite de débit exige au moins une condition de correspondance, et plusieurs limites peuvent s’appliquer à différents chemins d’une application. La même documentation sur la limitation de débit décrit ce modèle de configuration.
La répartition entre les serveurs Front Door peut affecter le compteur de requêtes. Microsoft indique qu’avec un seuil bas, par exemple inférieur à environ 200 requêtes par minute, certaines requêtes au-delà du seuil peuvent passer lorsque les connexions atteignent un serveur dont les compteurs ne sont pas encore actualisés.

Comment une règle sélectionne-t-elle le trafic du site web ?

Les conditions de correspondance de la règle définissent le périmètre du trafic concerné. La référence Microsoft sur les règles personnalisées décrit chaque condition par une variable de correspondance, un opérateur et une valeur de correspondance. Elle répertorie les méthodes de requête, les chaînes de requête, les URI de requête, les en-têtes de requête, les adresses IP des clients en notation CIDR, la taille, le numéro de système autonome (AS), l’empreinte du client, l’étiquette de service (service tag) et la correspondance de chaînes de caractères. Une règle peut contenir plusieurs conditions de correspondance.

Pour une limite propre à un chemin, la référence présente une condition sur l’URI de requête utilisant l’opérateur Contains :

{
  "matchVariable": "RequestUri",
  "operator": "Contains",
  "matchValue": [
    "login"
  ]
}

Elle sélectionne les URI contenant login. Microsoft précise également qu’une limite de débit exige au moins une condition de correspondance et que des limites distinctes peuvent s’appliquer à différents chemins.

Pour sélectionner toutes les requêtes, la page Microsoft sur la limitation de débit décrit une condition où la longueur de l’en-tête Host est supérieure à 0. Comme les requêtes HTTP valides d’Azure Front Door contiennent un en-tête Host, cette condition sélectionne toutes les requêtes HTTP.

Que regroupe Azure Front Door ?

La clé de regroupement documentée est l’adresse IP du socket. Microsoft la définit comme l’adresse du client qui ouvre la connexion TCP vers Azure Front Door. Il s’agit généralement de l’adresse IP de l’utilisateur, mais ce peut aussi être celle d’un serveur mandataire (proxy) ou d’un autre équipement entre l’utilisateur et Front Door. Les clients provenant d’adresses IP de socket différentes ont des limites de débit distinctes.

Le seuil s’applique à chaque groupe défini par une adresse IP du socket sur une période d’une minute ou de cinq minutes. Le WAF Azure Front Door utilise une période fixe. Une fois le seuil d’un groupe correspondant aux conditions dépassé, tout le trafic correspondant à cette règle de limitation de débit est bloqué jusqu’à la fin de cette fenêtre fixe.

Le serveur atteint influe sur la précision de l’application de la limite. Les requêtes d’un même client arrivent souvent sur le même serveur Front Door, où la limite est atteinte pour l’adresse IP de ce client. Une nouvelle connexion TCP peut cependant atteindre un autre serveur dont le compteur n’est pas encore actualisé. Microsoft indique que la première requête vers ce nouveau serveur peut alors passer, en particulier avec un seuil bas, par exemple inférieur à environ 200 requêtes par minute.

Comment interpréter le seuil et la priorité ?

Le seuil détermine le nombre de requêtes pour chaque groupe défini par une adresse IP du socket. Selon Microsoft, une fenêtre plus longue avec le seuil de requêtes acceptable le plus bas est la configuration la plus efficace pour prévenir les attaques par déni de service distribué (DDoS), car un groupe qui atteint le seuil reste limité jusqu’à la fin de la fenêtre. La même documentation indique que des fenêtres plus longues, par exemple cinq minutes, et des seuils plus élevés, par exemple 200 plutôt que 100, tendent à produire une application plus proche du seuil configuré que des fenêtres plus courtes et des seuils plus bas.

La priorité détermine l’ordre d’évaluation des règles WAF personnalisées. Un nombre inférieur passe avant un nombre supérieur. L’évaluation s’arrête pour toute action autre que Log : une règle précédente peut donc déterminer si les règles suivantes reçoivent la requête.

Termes associés

Questions fréquentes

Azure Front Door regroupe-t-il les requêtes soumises à une limite de débit par URL ?

Le compteur documenté regroupe les requêtes par adresse IP du socket. L’URL intervient dans la condition de correspondance lorsqu’une limite doit s’appliquer à un chemin, par exemple une URI de requête contenant login.

Une seule règle peut-elle couvrir tout le trafic du site web ?

Oui. Microsoft décrit une condition de correspondance fondée sur une longueur de l’en-tête Host supérieure à 0 ; comme les requêtes HTTP valides d’Azure Front Door contiennent cet en-tête, la condition sélectionne toutes les requêtes HTTP.

Pourquoi le trafic peut-il dépasser le seuil configuré ?

Les requêtes d’un même client peuvent atteindre différents serveurs Azure Front Door, et un nouveau serveur peut ne pas avoir encore actualisé son compteur. Microsoft donne l’exemple d’un seuil bas, inférieur à environ 200 requêtes par minute, pour lequel certaines requêtes au-delà du seuil peuvent passer.

Sources

Vérifiez comment une page se lit pour les moteurs de réponse. Ouvrir l’analyseur de score GEO

Comment définir le trafic d’un site web soumis aux limites de débit Azure Front Door ?