Limite de consultas
Conter origens que consultam em volume anormal, sem penalizar o cliente legítimo.
Onde fica: Segurança → Limite de consultas · rota /rate-limit
Permissão: rate_limit — Administrador e Operador
Não tem abas.
O que esta tela resolve
A ACL responde "quem pode consultar". Esta tela responde "quanto cada um pode consultar". São camadas complementares: um cliente pode estar dentro da faixa autorizada e ainda gerar volume anormal, por equipamento infectado, laço de configuração ou abuso.
As cinco ações possíveis
O campo mais importante de uma regra é a ação — é ela que define o que acontece com a consulta que excede o limite.
| Ação | O que faz | Quando usar |
|---|---|---|
| Forçar TCP | Obriga o cliente a repetir a consulta por TCP | Recomendada. Derruba falsificação de origem sem punir cliente legítimo, que repete a consulta de forma transparente |
| Descartar em silêncio | A consulta some, o cliente não recebe resposta | Abuso confirmado |
| Recusar explicitamente | Responde com recusa | Quando você quer que o cliente saiba que foi negado |
| Atrasar resposta | Acrescenta latência artificial | Desincentiva o abuso sem cortar |
| Só avisar | Apenas registra, não bloqueia | Comece por aqui para observar antes de agir |
Criar uma regra
Há modelos prontos que preenchem os campos de uma vez, para os casos mais comuns: contenção de abuso, cliente suspeito e apenas monitoramento.
| Campo | Observação |
|---|---|
| Nome | Só identificação |
| Alvo | IP ou faixa em CIDR — define a quem a regra se aplica |
| Max QPS | Consultas por segundo por cliente acima das quais a ação dispara |
| Ação | As cinco acima |
| IP Compartilhado (NAT/CGNat) | Marca que aquele endereço representa vários assinantes |
| Notas / Motivo | Texto livre, documental |
Marcar IP compartilhado muda a recomendação
Um endereço compartilhado representa muitos assinantes atrás do mesmo IP. Bloqueá-lo derruba todos de uma vez. Ao marcar a opção, a tela recomenda liberar o endereço ou usar a ação Só avisar em vez de bloquear.
Se o alvo já estiver na lista de liberados, a tela avisa que a regra não terá efeito.
O atalho que evita afetar cliente legítimo
A partir da lista de clientes observados, há um atalho que cria a regra já com o limite calculado sobre o comportamento daquele cliente — usando um percentil alto do próprio histórico dele, em vez de um número arbitrário.
É o caminho recomendado: parte do que o cliente realmente faz.
Lista de liberados
Endereços que nunca são afetados por nenhuma regra. Aceita listas de acesso centrais, o que evita repetir os mesmos IPs em várias telas.
As regras não valem ao salvar
Salvar grava a regra. É preciso aplicar para que ela passe a valer. É o mesmo padrão do Firewall: o que está gravado não é necessariamente o que está rodando.
Como definir o limiar
Meça o volume por origem em um dia típico, no horário de pico — use o registro de consultas e o Dashboard.
Crie a regra com a ação Só avisar e o limiar com folga sobre o pico observado.
Acompanhe alguns dias. O objetivo é pegar o comportamento anormal, não o cliente movimentado.
Só então troque para Forçar TCP, que é a ação gentil, e observe de novo.
Armadilhas
- Salvar não é aplicar.
- Limiar apertado demais gera chamado de "internet não funciona" em cliente legítimo — pior do que o abuso que você queria conter.
- Um endereço compartilhado bloqueado derruba muitos assinantes de uma vez.
- Regra cujo alvo está na lista de liberados não tem efeito.
- Para origem persistentemente abusiva, o caminho final é o firewall — mais barato que processar e descartar consulta por consulta.