{"id":15657,"date":"2020-05-07T22:48:16","date_gmt":"2020-05-07T22:48:16","guid":{"rendered":"https:\/\/www.gencayyildiz.com\/blog\/?p=15657"},"modified":"2020-05-07T22:48:16","modified_gmt":"2020-05-07T22:48:16","slug":"asp-net-core-rate-limit-ile-api-guvencesi-saglama","status":"publish","type":"post","link":"https:\/\/www.gencayyildiz.com\/blog\/asp-net-core-rate-limit-ile-api-guvencesi-saglama\/","title":{"rendered":"Asp.NET Core – Rate Limit \u0130le API G\u00fcvencesi Sa\u011flama"},"content":{"rendered":"
<\/div>\n

Merhaba,<\/p>\n

Asp.NET Core API ile tasarlanm\u0131\u015f bir endpoint’in normal \u015fartlarda s\u00fcrekli istek alabilecek olarak d\u0131\u015f d\u00fcnyaya a\u00e7\u0131k bir \u015fekilde tasarlanmas\u0131 kadar do\u011fal bir\u015fey olmasa gerek. Lakin bu durum fiili olarak k\u00f6t\u00fc niyetli ki\u015filer taraf\u0131ndan s\u00fcrekli eyleme d\u00f6n\u00fc\u015ft\u00fcr\u00fclebilir ve Denial Of Service Attack(DOS Attack)<\/em> ve hatta Distributed Denial Of Service Attack(DDOS Attack)<\/em> dedi\u011fimiz sald\u0131r\u0131larla kar\u015f\u0131 kar\u015f\u0131ya kal\u0131nmas\u0131na sebebiyet verebilir.<\/p>\n

Nedir bu DOS\/DDOS Attack sald\u0131r\u0131lar\u0131?<\/em> diye sorarsan\u0131z e\u011fer \u015f\u00f6yle \u00f6zetleyebiliriz;
\n\"Asp.NET<\/a>
\nK\u00f6t\u00fc niyetli ki\u015filer taraf\u0131ndan d\u0131\u015f d\u00fcnyaya kar\u015f\u0131 istek hacmi her daim a\u00e7\u0131k olan bir API tespit edildi\u011fi taktirde, bir ka\u00e7 client veya client g\u00f6revi g\u00f6recek tehlikeli(compromised) yaz\u0131l\u0131m e\u015fli\u011finde ilgili API’a aral\u0131ks\u0131z istek g\u00f6ndererek hedef sunucuyu \u00e7\u00f6kertmek veya servisi hizmet veremez hale getirmek ama\u00e7l\u0131 yap\u0131lan sald\u0131r\u0131 \u00e7e\u015fitidir. B\u00f6ylece ilgili sunucu hizmetlere kar\u015f\u0131l\u0131k veremeyecek yahut gecikmeli \u00e7al\u0131\u015facak hale getirildi\u011fi taktirde kullan\u0131c\u0131lara ya yava\u015f sonu\u00e7 d\u00f6n\u00fclecek ya da kullan\u0131c\u0131lar taraf\u0131ndan eri\u015filemeyecektir.<\/p>\n

\u0130\u015fte b\u00f6yle bir senaryoyla kar\u015f\u0131la\u015fmamak i\u00e7in API’lar\u0131m\u0131za d\u0131\u015f d\u00fcnyadan gelecek isteklerin s\u0131n\u0131r\u0131n\u0131 belirtmemiz gerekmektedir. Bunun i\u00e7in Rate Limit<\/strong> belirtilerek bu olas\u0131 sald\u0131r\u0131dan rahat\u00e7a korunulabilir. Rate Limit; uygulaman\u0131za G\u00fcvenlik ve \u00d6l\u00e7eklendirilebilirlik getirecektir. G\u00fcvenlik<\/u> getirecektir \u00e7\u00fcnk\u00fc uygulaman\u0131z DOS\/DDOS gibi sald\u0131r\u0131lardan korunmu\u015f olacakt\u0131r. \u00d6l\u00e7eklendirilebilirlik<\/u> getirecektir \u00e7\u00fcnk\u00fc;<\/p>\n

1<\/span> saatte 100<\/span> adet iste\u011fi 1<\/span> saniyede
\nkar\u015f\u0131layan uygulama yine
\n1<\/span> saatte 1.000.000<\/span> iste\u011fi 1<\/span> saniyede
\nkar\u015f\u0131layabilecektir.<\/p>\n

\u0130\u015fte bu tutarl\u0131l\u0131k \u00f6l\u00e7eklendirilebilirli\u011fin sonucudur. E\u011fer ki, DOS\/DDOS sald\u0131r\u0131lar\u0131ndan herhangi biri ger\u00e7ekle\u015ftirilirse uygulamadaki \u00f6l\u00e7eklendirilebilirlik bozulacak ve kimi kullan\u0131c\u0131ya 1 saniyede d\u00f6nen response’un bir di\u011ferine d\u00f6nmesi saniyeler ve hatta dakikalar s\u00fcrebilecektir.<\/p>\n

Rate Limit, API uygulamas\u0131na belirli bir s\u00fcre zarf\u0131nda ne kadar istek yap\u0131labilece\u011fini, hangi IP’lerin bundan muaf tutulabilece\u011fini vs. belirleyebilmekte ve b\u00f6ylece uygulamam\u0131z\u0131n istek hacmini kontrol etmemizi sa\u011flayabilmektedir. Bunun i\u00e7in bizlere IP Rate Limit<\/strong> ve Client ID Rate Limit<\/strong> olmak \u00fczere iki farkl\u0131 yakla\u015f\u0131m sunmaktad\u0131r.<\/p>\n\n\n\n\n\n
IP Rate Limit<\/th>\nClient ID Rate Limit<\/th>\n<\/tr>\n<\/thead>\n
Belirtilen IP’ler d\u0131\u015f\u0131ndan gelen t\u00fcm requestlere s\u0131n\u0131rlama getirir. Belirtilenleri bu s\u0131n\u0131rlamalardan muaf tutar.<\/p>\n

Uygulamada static IP’ler varsa kesinlikle bu yakla\u015f\u0131m tercih edilmelidir.\n<\/td>\n

Gelen request header bilgisinde belirli bir key – value de\u011ferine g\u00f6re kontrol sa\u011flar. Kontrol neticesinde e\u011fer e\u015fle\u015fme varsa ilgili iste\u011fi yapan s\u0131n\u0131rlamadan muaf tutulur. Aksi taktirde t\u00fcm requestlere s\u0131n\u0131rlama getirilir.<\/p>\n

Uygulamada static IP’ler yoksa bu yakla\u015f\u0131m kullan\u0131labilir. Lakin dikkat edilmesi gereken husus \u015fudur ki; k\u00f6t\u00fc niyetli ki\u015filer key – value de\u011ferlerini bir \u015fekilde if\u015fa ederlerse uygulama tekrardan mevzu bahis sald\u0131r\u0131lara maruz kalabilir. O y\u00fczden m\u00fcmk\u00fcn mertebe IP Rate Limit tercih edilmelidir.\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Rate Limit Yap\u0131lanmas\u0131 ve Konfig\u00fcrasyonu<\/h3>\n

Uygulaman\u0131zda Rate Limit konfig\u00fcrasyonunu sa\u011flayabilmek i\u00e7in custom bir middleware yazabilir ya da AspNetCoreRateLimit<\/a> k\u00fct\u00fcphanesini kullanabilirsiniz. Bu k\u00fct\u00fcphane ile uygulamam\u0131zdaki Rate Limit konfig\u00fcrasyonunun hepsini ‘appsettings.json’ dosyas\u0131ndan uygulayabilir ve rahatl\u0131kla y\u00f6netebilirsiniz. Bizler de bu i\u00e7eri\u011fimizde ilgili k\u00fct\u00fcphane \u00fczerinden seyredece\u011fiz…<\/p>\n

\u0130lk olarak \u00f6rnek bir Asp.NET Core API uygulamas\u0131 olu\u015ftural\u0131m ve yapabilece\u011fimiz s\u0131n\u0131rs\u0131z iste\u011fi fiilen inceleyelim…
\n\"Asp.NET<\/a>
\nG\u00f6r\u00fcld\u00fc\u011f\u00fc \u00fczere rate limit’i belirtilmemi\u015f bir uygulamaya k\u0131sa aral\u0131kta elimizle manuel olacak bir \u015fekilde onlarca defa istek g\u00f6nderebilmekteyiz, gelin art\u0131k zararl\u0131 yaz\u0131l\u0131mlarla bu iste\u011fin ne kadar seri yap\u0131labilece\u011fini siz d\u00fc\u015f\u00fcn\u00fcn…<\/p>\n

Art\u0131k bu bilgiler \u0131\u015f\u0131\u011f\u0131nda gelin API uygulamam\u0131za nas\u0131l rate limit’in uygunland\u0131\u011f\u0131n\u0131 ad\u0131m ad\u0131m inceleyerek, g\u00f6relim. Her\u015feyden \u00f6nce yakla\u015f\u0131mdan ba\u011f\u0131ms\u0131z bir \u015fekilde ilk olarak uygulamam\u0131za ‘AspNetCoreRateLimit<\/em>‘ k\u00fct\u00fcphanesini entegre ederek ba\u015flayal\u0131m.
\n\"Asp.NET<\/a><\/p>\n

Bu a\u015famadan sonra art\u0131k yakla\u015f\u0131m bazl\u0131 inceleme ger\u00e7ekle\u015ftirebiliriz.<\/p>\n

IP Rate Limit Yakla\u015f\u0131m\u0131<\/h4>\n

Asp.NET Core uygulamas\u0131nda IP bazl\u0131 Rate Limit uygulayabilmek i\u00e7in \u00f6ncelikle ‘Startup.cs’ dosyas\u0131nda a\u015fa\u011f\u0131daki konfig\u00fcrasyonlar\u0131n ger\u00e7ekle\u015ftirilmesi gerekmektedir.<\/p>\n

    \n
  1. \n
    \r\n            services.AddOptions();\r\n<\/pre>\n
    Rate Limit’e dair olan t\u00fcm konfig\u00fcrasyonlar\u0131n ‘appsettings.json’ dosyas\u0131nda tutulaca\u011f\u0131ndan dolay\u0131 buradaki yap\u0131land\u0131rmay\u0131 \u00f6ncelikle uygulamaya y\u00fcklememiz gerekmektedir.\n<\/li>\n
  2. \n
    \r\n            services.AddMemoryCache();\r\n<\/pre>\n
    S\u00fcre\u00e7te yap\u0131lan istekler neticesinde limit durum bilgilerini cache’de tutmak i\u00e7in memory cache’i aktifle\u015ftiriyoruz.\n<\/li>\n
  3. \n
    \r\n            services.Configure<IpRateLimitOptions>(Configuration.GetSection("IpRateLimiting"));\r\n<\/pre>\n
    ‘appsettings.json’ dosyas\u0131nda tan\u0131mlanan genel konfig\u00fcrasyon ayarlar\u0131n\u0131 y\u00fckl\u00fcyoruz.\n<\/li>\n
  4. \n
    \r\n            services.Configure<IpRateLimitPolicies>(Configuration.GetSection("IpRateLimitPolicies"));\r\n<\/pre>\n
    ‘appsettings.json’ dosyas\u0131nda tan\u0131mlanm\u0131\u015f IP kurallar\u0131n\u0131 ve politikalar\u0131n\u0131 y\u00fckl\u00fcyoruz.\n<\/li>\n
  5. \n
    \r\n            services.AddSingleton<IIpPolicyStore, MemoryCacheIpPolicyStore>();\r\n            services.AddSingleton<IRateLimitCounterStore, MemoryCacheRateLimitCounterStore>();\r\n<\/pre>\n
    Politika ve verilerin memory’de tutulaca\u011f\u0131n\u0131 bildiriyoruz.\n<\/li>\n
  6. \n
    \r\n            services.AddHttpContextAccessor();\r\n<\/pre>\n
    ClientId ve ClientIp \u00e7\u00f6z\u00fcmleri i\u00e7in kullanaca\u011f\u0131m\u0131z HttpContextAccessor servisini uygulamaya dahil ediyoruz.\n<\/li>\n
  7. \n
    \r\n            services.AddSingleton<IRateLimitConfiguration, RateLimitConfiguration>();\r\n<\/pre>\n
    Rate limit i\u00e7in t\u00fcm yap\u0131lanmalar\u0131 organize bir \u015fekilde in\u015fa eden ana servisi ekliyoruz.\n<\/li>\n
  8. \n
    \r\n            app.UseIpRateLimiting();\r\n<\/pre>\n
    Son olarakta ‘UseIpRateLimiting’ middleware’ini kullanarak Ip Rate Limit operasyonunu devreye sokuyoruz.\n<\/li>\n<\/ol>\n
    Nihai olarka ‘Startup.cs’ dosyas\u0131n\u0131 a\u015fa\u011f\u0131daki gibi in\u015fa etmi\u015f oluyoruz.<\/p>\n
    \r\n    public class Startup\r\n    {\r\n        IConfiguration Configuration;\r\n        public Startup(IConfiguration configuration)\r\n        {\r\n            Configuration = configuration;\r\n        }\r\n        public void ConfigureServices(IServiceCollection services)\r\n        {\r\n            services.AddOptions();\r\n            services.AddMemoryCache();\r\n            services.Configure<IpRateLimitOptions>(Configuration.GetSection("IpRateLimiting"));\r\n            services.Configure<IpRateLimitPolicies>(Configuration.GetSection("IpRateLimitPolicies"));\r\n            services.AddSingleton<IIpPolicyStore, MemoryCacheIpPolicyStore>();\r\n            services.AddSingleton<IRateLimitCounterStore, MemoryCacheRateLimitCounterStore>();\r\n            services.AddHttpContextAccessor();\r\n            services.AddSingleton<IRateLimitConfiguration, RateLimitConfiguration>();\r\n            services.AddControllers();\r\n        }\r\n\r\n        public void Configure(IApplicationBuilder app, IWebHostEnvironment env)\r\n        {\r\n            if (env.IsDevelopment())\r\n                app.UseDeveloperExceptionPage();\r\n            app.UseIpRateLimiting();\r\n            app.UseRouting();\r\n            app.UseEndpoints(endpoints => endpoints.MapControllers());\r\n        }\r\n    }\r\n<\/pre>\n
    Bu ad\u0131mdan sonra art\u0131k ‘appsettings.json’ dosyas\u0131nda a\u015fa\u011f\u0131daki konfig\u00fcrasyonlara ge\u00e7ebiliriz.<\/p>\n
    \r\n  "IpRateLimiting": {\r\n    "EnableEndpointRateLimiting": true,\r\n    "StackBlockedRequests": false,\r\n    "HttpStatusCode": 429,\r\n    "IpWhitelist": [ "127.0.0.12" ],\r\n    "EndpointWhitelist": [ "*:\/api\/customers" ],\r\n    "GeneralRules": [\r\n      {\r\n        "Endpoint": "*",\r\n        "Period": "1s",\r\n        "Limit": 2\r\n      },\r\n      {\r\n        "Endpoint": "*:\/api\/products",\r\n        "Period": "10s",\r\n        "Limit": 5\r\n      }\r\n    ]\r\n  }\r\n<\/pre>\n
      \n
    1. \nIpRateLimiting<\/strong>
      \n‘Startup.cs’ dosyas\u0131nda 3. ad\u0131mda olu\u015fturdu\u011fumuz ‘IpRateLimitOptions’ t\u00fcr\u00fcnden konfig\u00fcrasyona kar\u015f\u0131l\u0131k gelen alan\u0131 tarif etmektedir. T\u00fcm rate limit ayarlamalar\u0131n\u0131 bu de\u011fer i\u00e7erisinde belirtece\u011fiz.\n<\/li>\n
    2. \nEnableEndpointRateLimiting<\/strong>
      \nUygulamada endpoint seviyesinde rate limit uygulayabilmek i\u00e7in ‘true’ de\u011ferini veriyoruz. ‘false’ de\u011ferini verdi\u011finiz taktirde limitlerin hepsi global olarak uygulanacak ve endpointlerin hepsi i\u00e7in ge\u00e7erli olacakt\u0131r.\n<\/li>\n
    3. \nStackBlockedRequests<\/strong>
      \nBu \u00f6zelli\u011fe bir misal ile yakla\u015f\u0131rsak daha do\u011fru olacakt\u0131r. Varsayal\u0131m ki; uygulaman\u0131za dakikada 60, saatte ise 1000 adet request gelebilece\u011fini belirttiniz. Dakika i\u00e7erisinde 60’\u0131n \u00fczerinde gelen requestlerin ge\u00e7erli olup olmamas\u0131n\u0131 i\u015fte bu ‘StackBlockedRequests’ \u00f6zelli\u011fiyle belirliyorsunuz. ‘true’ de\u011ferini verirseniz dakika s\u0131n\u0131r\u0131n\u0131 a\u015fan t\u00fcm requestler saat s\u0131n\u0131r\u0131nda d\u00fc\u015f\u00fclecek aksi taktirde(false) dakika ve saat kendi s\u0131n\u0131rlar\u0131nda de\u011ferlendirilecektir.\n<\/li>\n
    4. \nHttpStatusCode<\/strong>
      \nRate limit a\u015f\u0131ld\u0131\u011f\u0131 taktirde hangi t\u00fcr durum kodu d\u00f6nd\u00fcr\u00fclece\u011fi belirtilmektedir. ‘429’ standart olarak rate limit hatas\u0131d\u0131r.\n<\/li>\n
    5. \nIpWhitelist<\/strong>
      \nRate limitten muaf tutulacak IP adreslerini belirtiyoruz.\n<\/li>\n
    6. \nEndpointWhitelist<\/strong>
      \nRate limitten muaf tutulacak endpointleri belirtiyoruz. Burada http_function<\/strong>:\/endpoint<\/strong><\/code> format\u0131na dikkat etmenizi \u00f6neririm. E\u011fer ki herhangi bir HTTP fonksiyonu belirtilmeyecekse * ifadesi kullan\u0131larak t\u00fcm\u00fc ifade edilebilir.\n<\/li>\n
    7. \nGeneralRules<\/strong>
      \nGenel rate limit kurallar\u0131n\u0131 belirtiyoruz.<\/p>\n
      \u0130\u00e7erisinde ‘Endpoint’, ‘Period’ ve ‘Limit’ bilgilerini bar\u0131nd\u0131ran nesneler ile rate limit ayarlar\u0131 girilmekte ve istek hacmi belirtilmektedir. Her bir nesne bir HTTP iste\u011fine uygun olarak tasarlanmaktad\u0131r.<\/p>\n