Thomas.will: Die Seite wurde neu angelegt: „=== Was ist das?=== Beide Funktionen sind nativ in HAProxy verfügbar – kein Zusatztool erforderlich. ===Rate Limiting mit Stick Tables=== HAProxy kann Req…“

2026-05-23T13:33:48Z

Die Seite wurde neu angelegt: „=== Was ist das?=== Beide Funktionen sind nativ in HAProxy verfügbar – kein Zusatztool erforderlich. ===Rate Limiting mit Stick Tables=== HAProxy kann Req…“

Neue Seite

=== Was ist das?===
Beide Funktionen sind nativ in HAProxy verfügbar – kein Zusatztool erforderlich.

===Rate Limiting mit Stick Tables===

HAProxy kann Requests pro IP begrenzen und bei Überschreitung mit HTTP 429 antworten.

Die folgende Konfiguration ergänzt den bestehenden <code>frontend ft_https</code> und <code>backend backend_www</code>:

*nano /etc/haproxy/haproxy.cfg

<syntaxhighlight lang="text">
# Stick Table im Backend definieren
backend backend_www
stick-table type ip size 100k expire 30s store http_req_rate(10s)
http-request track-sc0 src
http-request deny deny_status 429 if { sc_http_req_rate(0) gt 50 }
server www 10.88.2XX.11:443 ssl verify none check
</syntaxhighlight>

;Erklärung:
*<code>stick-table</code> – speichert Request-Raten pro IP im RAM
*<code>http_req_rate(10s)</code> – zählt Requests innerhalb von 10 Sekunden
*<code>gt 50</code> – blockiert ab mehr als 50 Requests in 10 Sekunden
*<code>deny_status 429</code> – antwortet mit ''429 Too Many Requests''

===Security Headers===

Im <code>frontend ft_https</code> ergänzen:

<syntaxhighlight lang="text">
frontend ft_https
# ... bestehende Konfiguration ...
http-response set-header Strict-Transport-Security "max-age=31536000; includeSubDomains"
http-response set-header X-Frame-Options "SAMEORIGIN"
http-response set-header X-Content-Type-Options "nosniff"
http-response set-header Referrer-Policy "strict-origin-when-cross-origin"
</syntaxhighlight>

===Test===

*curl -vk https://revproxy.it2XX.int

In der Ausgabe sollten die gesetzten Header sichtbar sein:

< strict-transport-security: max-age=31536000; includeSubDomains
< x-frame-options: SAMEORIGIN
< x-content-type-options: nosniff

Rate Limiting testen (z.B. mit <code>ab</code> oder einer Schleife):

*for i in $(seq 1 60); do curl -sk -o /dev/null -w "%{http_code}\n" https://revproxy.it2XX.int; done

Ab Request 51 sollte <code>429</code> erscheinen.

----

HAProxy Rate Limiting und Security Header - Versionsgeschichte

Thomas.will: Die Seite wurde neu angelegt: „=== Was ist das?=== Beide Funktionen sind nativ in HAProxy verfügbar – kein Zusatztool erforderlich. ===Rate Limiting mit Stick Tables=== HAProxy kann Req…“