設置頻率控制
更新時間 2025-06-17 09:20:55
最近更新時間: 2025-06-17 09:20:55
分享文章
本文將向您介紹如何通過邊緣安全加速平臺-安全與加速服務提供的頻率控制功能。
功能介紹
頻率控制：通過配置IP,URL,ARGS,HEADER,COOKIE,UA等粒度，進行訪問次數限制，防止客戶資源被過度消耗。
通過配置頻率控制能夠實現客戶端IP訪問域名首頁次數限制。
前提條件
- 已經訂購邊緣安全加速平臺-安全與加速服務，若未訂購，請參見服務開通。
- 在控制臺新增域名，請參見添加服務域名。
- 開通免費版及以上版本，支持使用頻率控制功能，不同版本限制規則數不同，具體請見安全與加速服務版本差異對比。
操作步驟
- 登錄。
- 在左側導航欄中選擇【安全能力】，進入【訪問控制/限流】菜單，并在左側域名列表選擇您要防護的域名。
- 進入防護能力-高級安全防護-【頻率限制】詳細設置。
配置說明
| 配置項 | 說明 |
|---|---|
| 開關 | 頻率控制策略的開關，支持開啟或關閉 |
| 處理動作 | 告警：達到閾值后只記錄攻擊日志。 跳轉：達到閾值后，對請求進行Cookie挑戰驗證。GET請求響應302，POST請求響應307，其他METHOD請求不適用。 攔截：達到閾值后攔截請求，響應攔截頁面。當防護粒度中選擇響應頭或狀態碼時，達到閾值后，會攔截匹配響應頭、狀態碼之外其他字段的請求。 丟棄：達到閾值后攔截請求但不會響應頁面，以減少帶寬。當防護粒度選擇響應頭、狀態碼時，不適用于"丟棄"動作。 重定向：達到閾值后，將請求302重定向到指定頁面。僅適用于靜態類請求。當防護粒度選擇響應頭、狀態碼時，不適用于"重定向"動作。 JavaScript挑戰：達到閾值后進行JavaScript挑戰驗證。僅適用于GET請求的HTML靜態頁面。當防護粒度選擇響應頭、狀態碼時，不適用于"JavaScript挑戰"動作。 圖片驗證碼：達到閾值后，響應圖片驗證碼進行人機校驗。僅適用于GET請求的HTML靜態頁面。當防護粒度選擇響應頭、狀態碼時，不適用于"圖片驗證碼"動作。 源IP封禁：達到閾值后，將源IP封禁（封禁范圍為針對該域名的請求，包括匹配靜態文件過濾的請求）。僅適用于統計粒度為IP的場景。 |
| 規則名稱 | 頻率控制策略的規則名稱 |
| 規則描述 | 策略的文字描述 |
| 統計粒度 | 支持選擇URL、ARGS、HEADER、COOKIE、UA、IP。支持選擇單粒度或兩個粒度進行組合。 |
| 粒度缺失統計 | 當統計粒度選擇兩個粒度時，需要配置是否開啟粒度缺失統計。選擇是，粒度①且粒度②、粒度①、粒度②三種均可統計且均獨立統計。選擇否，則只支持粒度①且粒度②進行統計。 |
| 觸發條件 | 配置一段時間周期，在這個周期內，您可以選擇兩種觸發處理動作的方式。 方式1：統計粒度的請求達到N次時才執行處理動作 方式2：統計粒度的流量達到N （KB、MB、GB）時才執行處理動作 方式1和方式2同時選擇，要兩種條件同時滿足，才會執行處理動作。 |
| 處理動作持續時間 | 處理動作的持續時長 |
| 防護范圍 | 支持配置多個防護粒度，多個防護粒度為且關系，滿足所有條件時，才觸發處理動作 粒度選擇：支持選擇IP、IPS、地理位置、URI、PATH等十幾種粒度 關系：等于/不等于 匹配內容：不同的粒度支持輸入不同的匹配內容。一般支持輸入多條，多條內容用英文符號;分隔 |
| 靜態文件過濾 | 即無需檢測的靜態文件，需要填寫文件后綴，配置后將不針對此類型的文件進行檢測 |
防護粒度
| 粒度 | 解釋 | 示例 | 備注 |
|---|---|---|---|
| PATH | 支持填寫多個,多個PATH用;隔開。 | /qr/;/app/verifyCode/ | 目錄路徑 |
| IP | 支持填寫多個IP,多個IP間以;隔開。 | 192.168.1.1;192.168.1.2 | 客戶端ip |
| IPS | 支持填寫多個IP段,多個IP段間以;隔開。 | 192.168.1.0/24;192.168.2.0/24 | 客戶端ip段 |
| IPR | 支持填寫多個IP范圍，多個IP范圍間以;隔開。 | 192.168.1.1-192.168.1.10;192.168.1.12-192.168.1.20 | 客戶端ip范圍 |
| IP文件 | 1.支持上傳TXT格式的文件。 2.文件內容支持以下格式的IP地址：1.1.1.1、2.2.2.0/24、3.3.3.3-3.3.3.5。 3.多個IP地址以分號;或換行符進行分割。（因操作系統差異，如有報錯請切換分割符。） 4.IP地址最多支持3000條。 5.添加IP文件匹配字段后，不支持添加其他匹配字段。 |
客戶端IP | |
| URI | 支持填寫多個URI，多個URI間以;隔開。支持正則和字符串匹配。 當選擇字符串時，支持下拉框選擇對應域名的API資產。 |
/login.php | URI不包括問號后參數 |
| REQUEST_URI | 支持填寫多個REQUEST_URI。支持正則和字符串匹配。 | /login.php?id=1 | URI包括問號后參數 |
| METHOD | 支持填寫多個請求方法，多個請求方法間以;隔開。 | GET;POST | 請求方式 |
| ARGS | 支持正則和字符串匹配。 | 問號后參數名 | |
| GEO | 支持選擇多個區域。 | 客戶端ip區域 | |
| HEADER | 支持正則和字符串匹配。 | 頭部 | |
| DEST_PORT | 請求的目的端口，支持填寫多個端口，多個端口以;隔開。 | 54375;8080 | 目標服務器端口 |
| 響應頭 | 響應頭。支持正則和字符串匹配。支持”告警“、”跳轉“、”攔截“、”源IP封禁“動作。當設置"攔截"動作，若防護范圍內某個粒度的請求頻率滿足觸發條件，在對防護范圍內的請求執行動作時，會忽略請求中對于該字段的匹配 | 響應頭 | |
| 狀態碼 | 狀態碼。支持選擇2xx~5xx所有狀態碼，支持選擇多個。支持”告警“、”跳轉“、”攔截“、”源IP封禁“動作。當設置"攔截"動作，若防護范圍內某個粒度的請求頻率滿足觸發條件，在對防護范圍內的請求執行動作時，會忽略請求中對于該字段的匹配 | 200;404;500 | 響應狀態碼 |
| JA3指紋 | 計算請求唯一的JA3指紋。請注意，該粒度需要您先開啟【基礎配置】-【JA3指紋記錄】功能，之后才能進行此配置” | 66918128f1b9b03303d77c6f2eefd128 |
注意頻率控制配置為單機配置，在單臺機器上統計若達到觸發條件，則在單機上執行處理動作。
支持復制操作
若您有批量復制當前域名的頻率控制規則至其余域名的場景，可通過復制操作實現快速配置。
復制防護開關
使用場景：當您需要將一批域名的頻率控制策略總開關都置為關閉時，可以通過規則復制-復制防護開關，將當前域名的頻率控制防護開關復制到其他域名上。
操作步驟：
- 進入頻率控制模塊；
- 選擇規則復制-復制防護開關；
- 選擇您要調整的域名，并且僅支持選擇【已啟用】的域名。
配置頁面：
復制防護規則
復制類型：追加
使用場景：當您需要追加所選規則到目標域名，保留目標域名原規則，可以通過規則復制-復制規則來操作。
操作步驟：
- 進入【訪問控制/限流】-【頻率控制】模塊；
- 選中一條或多條控制ID，選中規則復制-復制規則，復制類型選擇【追加】；
- 選擇您要復制規則的域名（支持復制上限域名為200個，只能選中已啟用的域名）；
- 點擊復制，則完成規則批量新增的操作。
復制類型：覆蓋
使用場景：當您需要將IP=1.2.3.4、處理動作=【攔截】的頻率控制策略都修改統一為告警時，可以通過規則復制-復制規則來操作。
操作步驟：
- 進入【訪問控制/限流】-【頻率控制】模塊；
- 選中一條控制ID，選中規則復制-復制規則，復制類型選擇【覆蓋】；
- 選擇您要復制規則的域名（支持復制上限域名為200個，只能選中已啟用、且包含相同防護范圍策略的域名）；
- 點擊復制，則完成規則批量新增的操作。
復制類型：更新
使用場景：當您需要匹配目標域名中相同防護范圍的規則，更新其余配置項（如處理動作、防護周期等），可以通過規則復制-復制規則來操作。
操作步驟：
- 進入【訪問控制/限流】-【頻率控制】模塊；
- 選中一條控制ID，選中規則復制-復制規則，復制類型選擇【更新】；
- 選擇您要復制規則的域名（支持復制上限域名為200個，只能選中已啟用、且包含相同防護范圍策略的域名）；
- 點擊復制，則完成規則批量新增的操作。
注意復制類型為追加：域名列表展示域名狀態為【已啟用】的域名
復制類型為覆蓋：域名列表只展示頻率控制含相同防護范圍，并且域名狀態為【已啟用】的域名
復制類型為更新：匹配目標域名中相同防護范圍的規則，更新其余配置項（如處理動作、防護周期等），實現批量修改。
批量操作
支持用戶對同一域名下的多項訪問頻率規則進行批量的啟用、停用、刪除及調整處理動作。
操作步驟：
- 進入頻率控制模塊；
- 勾選需要批量操作的規則；
- 下拉選擇批量操作的動作。
配置場景
設置客戶端IP訪問域名首頁次數限制
在【頻率控制】新增規則：
- 規則名稱：單IP訪問首頁次數限制
- 處理動作：攔截
- 統計粒度：IP
- 觸發條件在59秒內，第5個請求開始執行處理動作
- 處理動作持續時間：10分
- 防護范圍：URI等于字符串/
