سرورها و با حجم بالایی از درخواست‌ها مواجه می‌شوند که می‌تواند عملکرد آن‌ها را تحت تأثیر قرار دهد. Rate Limiting یا محدودسازی نرخ درخواست‌ها یک تکنیک مهم برای کنترل تعداد درخواست‌های مجاز در یک بازه زمانی مشخص است. این روش نقش کلیدی در جلوگیری از سوءاستفاده و بهینه‌سازی منابع سرور دارد.

Rate Limiting چیست؟

Rate Limiting یک تکنیک کنترلی در شبکه‌ها APIها و سرورها است که تعداد درخواست‌های مجاز از یک کاربر یا سیستم را در یک بازه زمانی مشخص محدود می‌کند. این روش باعث می‌شود که منابع سیستم بیش از حد مصرف نشوند و از سوءاستفاده‌های احتمالی جلوگیری شود. بسیاری از سرویس‌های اینترنتی مانند وب‌سایت‌ها، پایگاه‌های داده و APIها از Rate Limiting برای حفظ عملکرد پایدار و جلوگیری از بارگذاری بیش از حد استفاده می‌کنند.

محدودسازی نرخ درخواست‌ها می‌تواند در لایه‌های مختلف شبکه و نرم‌افزار پیاده‌سازی شود. این تکنیک معمولاً با استفاده از الگوریتم‌های خاص اجرا می‌شود. برای مثال، در یک API عمومی ممکن است یک کاربر فقط مجاز به ارسال ۱۰۰ درخواست در دقیقه باشد و در صورت عبور از این حد، درخواست‌های اضافی او مسدود یا به تأخیر بیفتد. چنین رویکردی به بهینه‌سازی عملکرد سرویس‌ها و جلوگیری از رفتارهای مخرب کمک می‌کند.

الگوریتم‌های Rate Limiting

• الگوریتم Token Bucket

در این روش، یک سطل مجازی حاوی تعداد مشخصی توکن (مثلاً ۱۰۰ توکن) در نظر گرفته می‌شود. هر درخواست ورودی برای اجرا نیاز به یک توکن دارد و با مصرف هر توکن، تعداد آن کاهش می‌یابد. توکن‌ها در طول زمان دوباره پر می‌شوند، اما اگر کاربر بیش از حد مجاز درخواست ارسال کند و توکن‌ها تمام شوند، درخواست‌های اضافی رد می‌شوند یا به تأخیر می‌افتند.

• الگوریتم Leaky Bucket

این الگوریتم مانند یک سطل آب با یک سوراخ کوچک در پایین عمل می‌کند. درخواست‌ها به‌عنوان قطره‌های آب وارد سطل می‌شوند و به‌آرامی از آن خارج می‌گردند. اگر درخواست‌ها سریع‌تر از سرعت خروجی وارد شوند، سطل پر شده و درخواست‌های اضافی کنار گذاشته می‌شوند. این روش برای حفظ نرخ ثابت پردازش درخواست‌ها و جلوگیری از ازدحام مناسب است.

• الگوریتم Fixed Window

در این روش، بازه‌های زمانی ثابتی (مثلاً هر دقیقه) برای شمارش درخواست‌ها تعریف می‌شود. اگر تعداد درخواست‌های یک کاربر در آن بازه از حد مجاز عبور کند، بقیه درخواست‌ها تا شروع بازه جدید رد خواهند شد. این روش ساده است اما در مرزهای زمانی مشکلاتی دارد، زیرا در دو بازه متوالی ممکن است حجم زیادی از درخواست‌ها ارسال شود.

• الگوریتم Sliding Window

این روش مشابه Fixed Window است اما بازه‌های زمانی آن شناور هستند. در این الگوریتم، به‌جای شمارش درخواست‌ها در بازه‌های ثابت، یک میانگین متحرک از درخواست‌ها در یک دوره زمانی (مثلاً ۶۰ ثانیه گذشته) محاسبه می‌شود. این مدل نسبت به Fixed Window انعطاف‌پذیرتر است و توزیع بار یکنواخت‌تری ایجاد می‌کند.

چگونه Rate Limiting کار می‌کند؟

1. تعریف محدودیت‌های نرخ:

در مرحله اول سرور یا سرویس باید مشخص کند که چه تعداد درخواست در یک بازه زمانی معین مجاز است. این مقدار می‌تواند ثابت باشد (مثلاً ۱۰۰ درخواست در دقیقه) یا بر اساس نوع کاربر و سطح دسترسی تغییر کند. این تنظیمات معمولاً در فایروال، سرور وب یا API Gateway اعمال می‌شوند.

2. استفاده از الگوریتم‌های کنترل نرخ:

برای اجرای محدودیت‌ها از الگوریتم‌هایی مانند Token Bucket، Leaky Bucket و Fixed Window استفاده می‌شود. این الگوریتم‌ها درخواست‌های ورودی را بر اساس قوانین از پیش تعیین‌شده بررسی کرده و تصمیم می‌گیرند که درخواست جدید را پردازش، تأخیر بیندازند یا مسدود کنند.

3. نظارت بر درخواست‌های ورودی:

هر درخواست جدید از سمت کاربر بررسی می‌شود تا مشخص شود آیا در محدوده مجاز قرار دارد یا خیر. اگر تعداد درخواست‌ها از حد تعیین‌شده عبور کند، ممکن است درخواست رد شود یا پاسخ خطای 429 Too Many Requests ارسال شود. برخی سیستم‌ها همچنین تأخیر مصنوعی اعمال می‌کنند تا درخواست‌های بعدی را تنظیم کنند.

4. تنظیم و اعمال سیاست‌های مقابله‌ای:

در صورتی که کاربری به‌طور مداوم محدودیت‌ها را نقض کند، ممکن است اقدامات سخت‌گیرانه‌تری مانند مسدود کردن آی‌پی، افزایش زمان تأخیر یا نیاز به احراز هویت اضافی انجام شود. این اقدامات کمک می‌کند تا از حملات خودکار و بارگذاری بیش از حد سرورها جلوگیری شود.

Rate Limiting چه نقشی در امنیت سایبری دارد؟

Rate Limiting یکی از روش‌های کلیدی برای محافظت از سرورها و شبکه‌ها در برابر حملات سایبری مبتنی بر حجم درخواست‌ها است. این تکنیک با محدود کردن تعداد درخواست‌های مجاز در یک بازه زمانی، از حملاتی مانند Brute Force، DDoS و Credential Stuffing جلوگیری می‌کند. همچنین باعث می‌شود ربات‌های مخرب نتوانند تعداد زیادی درخواست به یک سرور ارسال کنند و عملکرد آن را مختل سازند.

مزایا و معایب ایجاد Rate Limiting در شبکه