คุณกำหนดค่า rate limiting ที่ไหนและอย่างไร?

Question

Accepted Answer

Rate limiting จำกัดจำนวนคำขอที่ client ทำได้ในช่วงเวลาหนึ่ง คุณนำมันไปใช้ที่ **หลายชั้น** เพราะแต่ละชั้นเห็นสิ่งที่ต่างกัน และคุณ key มันด้วย **สิ่งที่ระบุตัวผู้ก่อกวน**

## ที่ไหนที่จะกำหนดค่า

- **Edge / CDN** — แนวแรก ก่อนที่ traffic จะถึงคุณ บังคับใช้ถูกที่สุด (ผู้โจมตีไม่เคยแตะ origin ของคุณ) แต่หยาบ มักจะ key ด้วย IP
- **Reverse proxy** (nginx, Envoy) — ปกป้อง origin จาก flood ที่ผ่าน CDN มา ด้วยการควบคุม zone และ burst ที่ละเอียด
- **Application layer** — ชั้นที่ฉลาดที่สุด มันรู้จัก **user, API key, หรือ token** จึงสามารถใช้ quota ต่อบัญชีและปกป้อง business operation ที่มีต้นทุนสูงซึ่ง proxy มองไม่เห็น

## วิธี key และกำหนดรูปแบบ

- **Key ด้วย** IP (anonymous), API key (partner), หรือ user ที่ authenticate แล้ว (ความเป็นธรรมต่อบัญชี)
- **Token bucket vs leaky bucket** — token bucket อนุญาต **burst** สั้น ๆ ด้วยการสะสม token แล้วค่อยคงที่ ส่วน leaky bucket ปรับให้เรียบเป็นอัตราคงที่ API ส่วนใหญ่ต้องการ token bucket เพื่อไม่ให้ burst ที่ชอบธรรมถูกลงโทษ
- **เลือก limit จาก baseline + headroom** — วัดพีคปกติต่อ client แล้วตั้งเพดานให้สูงกว่านั้นพอสมควรเพื่อให้ผู้ใช้จริงไม่มีวันชน
- **คืน `429 Too Many Requests` พร้อม `Retry-After`** เพื่อให้ client back off อย่างสุภาพแทนที่จะกระหน่ำ

## ตัวอย่าง: nginx limit_req

```nginx
# Define a shared-memory zone keyed by client IP.
# rate=10r/s = the steady refill rate (token bucket).
limit_req_zone $binary_remote_addr zone=api:10m rate=10r/s;

server {
    location /api/ {
        # burst=20: allow a short spike of 20 queued requests
        # nodelay: serve the burst immediately instead of spacing it out
        limit_req zone=api burst=20 nodelay;

# Return 429 (not the default 503) so clients see a rate-limit signal
        limit_req_status 429;

proxy_pass http://backend;
    }
}
```

ที่นี่แต่ละ IP เติมที่ 10 requests/second อาจ burst ได้ถึง 20 และอะไรก็ตามที่เกินจะได้ `429`

## ทำไมจึงสำคัญ

Rate limiting คือการป้องกันที่ถูกที่สุดและทำงานตลอดเวลาต่อ Layer 7 flood, credential stuffing, และ scraper ที่ควบคุมไม่ได้ การจัดชั้นมัน (edge สำหรับปริมาณ, proxy สำหรับ origin, app สำหรับ business logic) และ key อย่างถูกต้องหยุดผู้ก่อกวนในขณะที่ผู้ใช้จริง — และ burst ที่ชอบธรรม — ผ่านไปได้โดยไม่ถูกแตะต้อง การตั้ง limit จาก baseline จริงคือสิ่งที่ทำให้มันไม่กลายเป็น outage ที่คุณก่อขึ้นเอง