Protection Anti-DDoS sur Serveur Web Nginx : Configuration du Rate Limiting et Fail2Ban

Les attaques par déni de service distribué (DDoS) applicatif de couche 7 (HTTP Flood) ciblent les ressources mémoire et CPU de votre serveur en bombardant des URLs consommatrices (ex: requêtes de recherche, scripts PHP ou endpoints d'API). En pratique, sans limitation stricte, quelques centaines de requêtes par seconde suffisent à saturer la pile de connexions de votre serveur web et à rendre votre site inaccessible.

Sur le terrain, la combinaison native de la directive limit_req de Nginx et du démon de bannissement dynamique Fail2ban constitue une ligne de défense redoutablement efficace :

1. Configuration du Rate Limiting dans /etc/nginx/nginx.conf

# Définition de la zone de mémoire partagée (10MB stocke environ 160 000 IPs)
limit_req_zone $binary_remote_addr zone=one:10m rate=10r/s;

server {
    location / {
        limit_req zone=one burst=20 nodelay;
        limit_req_status 429;
        try_files $uri $uri/ =404;
    }
}

2. Bannissement automatique Fail2ban

Dès qu'une IP déclenche plus de 10 fois le code HTTP 429 en moins de 60 secondes, Fail2ban injecte une règle de rejet immédiate dans la table iptables du noyau Linux. Comptez environ 10 minutes de bannissement temporaire pour calmer les bots agressifs.

Piège à éviter : omettre la clause burst=20 nodelay. Si vous limitez strictement à 10 requêtes par seconde sans tampon d'éclatement, les utilisateurs légitimes chargeant une page contenant de nombreuses images et scripts CSS recevront par erreur des erreurs 429. Attention : si votre serveur est placé derrière un proxy inverse comme Cloudflare, vous devez impérativement configurer le module ngx_http_realip_module pour utiliser la variable $http_cf_connecting_ip au lieu de $binary_remote_addr afin de ne pas bannir accidentellement les adresses IP du proxy.

Cette architecture légère absorbe les assauts de force brute sans impacter la fluidité de navigation de vos visiteurs légitimes.