保护服务器免受压力测试或 V-Users 的影响答案

【问题标题】：Keep protect server from stress test or from V-Users保护服务器免受压力测试或 V-Users 的影响
【发布时间】：2016-11-17 09:40:05
【问题描述】：

我担心我网站上的入侵者，所以我的问题是如何保护我的服务器免受压力测试。

我是一名性能测试员，所以我们有一个单独的服务器 Production Like Server 。我们曾经在那里进行各种“性能测试”，例如压力、负载和耐力测试等。所以在这里我想知道如何阻止入侵者从特定 IP 向我的 Live 服务器（而不是真正的用户）加载负载，或者如何阻止 V-USERS（虚拟用户）（LoadRunner/Jmeter/或任何其他负载测试工具）。

我们有服务器：IIS 2012 / Famrwork 4.5

如果问题不清楚，请告诉我。

【问题讨论】：

这是允许/阻止特定 IP 的服务器配置。最好在这里向正确的听众提问serverfault.com
亲爱的 Naveen，你没有得到这个问题，它不是要阻止特定的用户（IP），关注的是阻止 V 用户，那些可以加载或可能损坏我的服务器的用户。

标签： security iis jmeter windows-server-2012 loadrunner

【解决方案1】：

这实际上更像是一个防火墙规则配置问题。一旦你了解了你的自然负载是什么样子，然后考虑一个规则，它会自动阻止超过 3/4 流量标准偏差的 IP 地址。机器人程序和性能测试相当容易识别，因为少量 IP 地址会产生大量请求流量。

如果您今天提取 HTTP 请求日志并按 IP 对请求进行计数，那么您很快就会发现某些 IP 地址很快就会下降到请求数的顶部。仔细检查用户代理字符串。您可能会找到模式。使用 WhoIS 按 IP 地址查找该大型用户所属的网络。使用防火墙规则来阻止或阻止（使用 503 随机阻止最多 30 分钟，要求验证码等）适当的 IP 地址。

我知道一些网站会因为机器人而屏蔽所有云提供商。我知道其他人因为滥用而阻塞了整个国家的子网。我还知道一些公司用 503 和 Captchas 将机器人和负载测试器围起来并取得了很大的成功。 DDOS 要困难得多，因为这些通常涉及数百/如果不是数千或数万台主机。然而，这些请求往往大体相似。如果您可以尽早识别它们并且您拥有 CDN，那么您 CDN 上的 Web 应用程序防火墙可以成为减轻源服务器负载的救星

【讨论】：