<span class="nav-link-with-icon">Distributed RateLimit <img src="https://doc.traefik.io/traefik-hub/img/ps-traefik-hub-logo-light.svg" class="menu-icon" alt="Traefik Hub API Gateway"></span>

Distributed RateLimit 中间件确保在整个集群范围内按时间限制请求数量，而不仅限于单个代理。

它基于令牌桶实现。

配置示例¶

以下高级配置启用了以 Redis 为后端的 Distributed RateLimit 中间件，从而实现集群范围的限流。

# Here, a limit of 100 requests per second is allowed.
# In addition, a burst of 200 requests is allowed.
apiVersion: traefik.io/v1alpha1
kind: Middleware
metadata:
  name: test-distributedratelimit
  namespace: traefik
spec:
  plugin:
    distributedRateLimit:
      burst: 200
      limit: 100
      period: 1s
      denyOnError: false
      responseHeaders: true
      sourceCriterion:
        ipStrategy:
          excludedIPs:
            - 172.20.176.201
      store:
        redis:
          endpoints:
            - my-release-redis-master.default.svc.cluster.local:6379
          # Use the field password of the Secret redis in the same namespace
          password: urn:k8s:secret:redis:password
          timeout: 500ms

apiVersion: v1
kind: Secret
metadata:
  name: redis
  namespace: traefik
stringData:
  password: mysecret12345678

速率与突发容量¶

速率由 limit 除以 period 定义。 要实现低于每秒 1 个请求的速率，请将 period 设为大于 1 秒的值。

此中间件基于令牌桶实现。 在这个类比中，limit 和 period 参数定义令牌桶补充令牌的速率，burst 则是令牌桶的大小（容量）。

apiVersion: traefik.io/v1alpha1
kind: Middleware
metadata:
  name: test-ratelimit
spec:
  plugin:
    distributedRateLimit:
      burst: 100
      period: 1m
      limit: 6

在上述示例中，中间件最多允许 100 个并行连接（burst）。 每个连接消耗一个令牌。100 个令牌全部消耗后，其他连接会被阻止，直到桶中至少有一个可用令牌。

当桶未满时，每 10 秒生成一个令牌，即每 1 分钟生成 6 个（period / limit）。

配置选项¶

sourceCriterion 来源判定标准¶

sourceCriterion 选项定义将请求归为同一来源时使用的判定标准。 如果同时定义多种策略，将报错。 如果均未设置，默认使用请求的远程地址字段（作为 ipStrategy）。

ipStrategy IP 策略¶

ipStrategy 选项定义 depth 和 excludedIPs 两个参数，用于配置 Traefik 如何确定客户端 IP。

限流作为中间件，在实际向后端代理请求之前执行。 此外，前一网络跳点仅在代理过程的最后阶段才会追加到 X-Forwarded-For 中，此时请求已经过限流。 因此，在限流期间，前一网络跳点尚未出现在 X-Forwarded-For 中，无法找到它，也不能依赖它。

sourceCriterion.ipStrategy.depth 深度¶

如果 depth 设置为 2，且请求的 X-Forwarded-For 头为 "10.0.0.1,11.0.0.1,12.0.0.1,13.0.0.1"，则“真实”客户端 IP 为 "10.0.0.1"（深度为 4），但用作判定标准的 IP 是 "12.0.0.1"（depth=2）。

sourceCriterion.ipStrategy.excludedIPs 排除的 IP¶

尽管名称可能引起误解，此选项并不是将某个 IP 排除在限流器之外，因此不能用来停用某些 IP 的限流。

excludedIPs 用于解决两类略有不同的使用场景：

1. 区分位于同一组反向代理后面的 IP，使它们各自独立计入自己的限流“桶”（参见令牌桶）。 在这种情况下，应将 excludedIPs 设置为要排除的 X-Forwarded-For IPs 列表，从而找到真正的客户端 IP。

将每个 IP 用作独立来源的示例：

1. 将一组 IP（同样位于共同的一组反向代理之后）归为一组，使其被视为同一来源，并全部计入同一个限流桶。

将多个 IP 归为同一来源的示例：

store 存储¶

Distributed Rate Limit 中间件使用持久化 KV 存储保存数据。

参阅 Redis 选项来配置 Redis 连接。

Redis 服务器的连接参数配置在 Middleware 部署中。

支持以下 Redis 模式：

• 单实例模式
• Redis Cluster 集群模式
• Redis Sentinel 哨兵模式

更多 Redis 信息，建议参阅 Redis 官方文档。