dynamicIP限制策略

我们最近试图为我们的一个大型网站设置dynamicIP限制模块，这并不容易。 当我看到关于原始问题的评论时，我看到“ 不要浪费你的时间 ”。 这大部分是真的。

不过，我仍然会提供一些提示，但你必须注意的是：

• 您可能必须将您的页面调用与静态资产调用分开，也就是将后者移动到其自己的域，以将您将设置的限制应用于页面加载而不是静态资源。
• 你需要仔细地定义和testing你的请求拒绝标准 – 是10 req / 1s还是50 req / 10s？ 12 req / 60秒很可能不是一个很好的拒绝标准，因为它可能会影响到很多合法用户。
• 使用“只logging日志模式”checkbox会将伪拒绝请求logging到IIS日志中，但状态码为200，子状态码为502（因此确保logging日志）。 此外， 高级日志logging模块不会正确logging这些请求，因此如果您想使用dynamicIP限制并想要了解拒绝的请求，请不要使用它。
• 您必须持续观察您的日志，并最终可能需要将某些外部代理的IP地址列入白名单，以便将这些IP地址后面的用户作为单独的用户正确对待，而不是以单一用户身份（使用代理的IP）。
• 在达到你的请求限制之后，你不能在一定的时间内惩罚客户 – 只要他们的请求再次通过。

我们在一个月前开始尝试使用这个模块，并且仍然没有closures“只logging日志模式”，因为只有很多东西没有感觉或工作正确。