[Nginx] HTTP/2 Rapid Reset Attack (w/ keepalive_requests, http2_max_concurrent

Infra & Devops/Nginx

겸둥이xz 2023. 12. 21. 21:28

HTTP/2 Rapid Reset Attack Impacting F5 NGINX Products - NGINX

Update your NGINX configuration to mitigate a possible denial-of-service attack implemented on the server-side portion of the HTTP/2 specification.

www.nginx.com

keepalive_requests should be kept at the default setting of 1000 requests
- 클라이언트가 연결당 최대 1000개의 HTTP/2 스트림을 요청할 수 있도록 제한
http2_max_concurrent_streams should be kept at the default setting of 128 streams
- 서버는 동시에 최대 128개의 HTTP/2 스트림을 처리할 수 있도록 제한

keepalive_requests (HTTP/2)

- 하나의 연결에서 허용되는 최대 HTTP/2 스트림 요청의 수

- 하나의 HTTP/2 연결에서 클라이언트가 보낼 수 있는 총 요청 수를 제한

- ex) keepalive_requests 100; 설정이면 하나의 연결에서 최대 100개의 HTTP/2 요청을 처리 가능

http2_max_concurrent_streams

- 서버에서 동시에 처리 가능한 HTTP/2 스트림의 최대 개수

- ex) http2_max_concurrent_streams 50; 설정이면 서버는 최대 50개의 HTTP/2 스트림 처리 가능 (동시성 제한)