[Nginx] HTTP/2 Rapid Reset Attack (w/ keepalive_requests, http2_max_concurrent_streams)

https://www.nginx.com/blog/http-2-rapid-reset-attack-impacting-f5-nginx-products/

HTTP/2 Rapid Reset Attack Impacting F5 NGINX Products - NGINX

 

• keepalive_requests should be kept at the default setting of 1000 requests
  • 클라이언트가 연결당 최대 1000개의 HTTP/2 스트림을 요청할 수 있도록 제한
• http2_max_concurrent_streams should be kept at the default setting of 128 streams
  • 서버는 동시에 최대 128개의 HTTP/2 스트림을 처리할 수 있도록 제한

 

 

keepalive_requests (HTTP/2)

- 하나의 연결에서 허용되는 최대 HTTP/2 스트림 요청의 수

- 하나의 HTTP/2 연결에서 클라이언트가 보낼 수 있는 총 요청 수를 제한

- ex) keepalive_requests 100; 설정이면 하나의 연결에서 최대 100개의 HTTP/2 요청을 처리 가능

 

http2_max_concurrent_streams

- 서버에서 동시에 처리 가능한 HTTP/2 스트림의 최대 개수

- ex) http2_max_concurrent_streams 50; 설정이면 서버는 최대 50개의 HTTP/2 스트림 처리 가능 (동시성 제한)