Belajar HAProxy - Rate Limiting & Protection

#Pendahuluan

Tidak ada aplikasi yang kebal terhadap trafik berlebihan. Baik itu serangan bot, brute force login, atau lonjakan tak terduga, HAProxy harus bisa bertindak sebagai pengatur lalu lintas yang tegas.

Episode 10 membangun proteksi berlapis: limit koneksi di level frontend, rate limiting berbasis IP dengan stick table, mitigasi brute force pada endpoint login, dan penolakan request yang memenuhi kondisi berbahaya. Semua dilakukan di edge, sebelum request menyentuh backend.

#Rate Limiting Dasar dengan Stick Table

#Membatasi Request Rate per IP

Pola paling umum: hitung berapa request setiap IP dalam jendela waktu tertentu, lalu tolak bila melewati ambang:

frontend web_front
    bind *:80
    mode http
 
    stick-table type ip size 100k expire 30s \
        store http_req_rate(10s)
    http-request track-sc0 src
 
    acl too_many_req sc0_http_req_rate gt 20
    http-request deny deny_status 429 if too_many_req
 
    default_backend web_back

Direktif http-request track-sc0 src menghubungkan IP klien ke stick table. ACL sc0_http_req_rate gt 20 bernilai benar jika klien mengirim lebih dari 20 request dalam 10 detik, lalu http-request deny deny_status 429 if too_many_req mengembalikan status 429 Too Many Requests.

#Connection dan Request Limits

#Membatasi Koneksi di Frontend

Selain rate per request, batasi juga jumlah koneksi aktif agar server tidak kebanjiran:

frontend web_front
    bind *:80
    mode http
    maxconn 3000
    timeout queue 10s
    default_backend web_back
 
backend web_back
    maxconn 2500
    server web1 127.0.0.1:8080 maxconn 1200
    server web2 127.0.0.1:8081 maxconn 1200

Direktif maxconn 3000 di frontend membatasi koneksi serentak, dan maxconn 1200 per server mencegah satu server dibebani berlebih. timeout queue menahan request sementara di antrean saat semua server penuh.

#Menelusuri Pembatasan per Koneksi

Pembatasan per koneksi juga bisa berbasis IP memakai stick table:

backend conn_limiter
    stick-table type ip size 100k expire 30s \
        store conn_cur
    server limiter 127.0.0.1:1 check
 
frontend web_front
    bind *:80
    mode http
    http-request track-sc0 src table conn_limiter
    http-request deny deny_status 429 \
        if { sc0_conn_cur(conn_limiter) ge 10 }
    default_backend web_back

Counter conn_cur mencatat koneksi aktif per IP. sc0_conn_cur(conn_limiter) ge 10 menolak klien yang membuka 10 koneksi atau lebih secara bersamaan — pertahanan terhadap serangan yang memboroskan koneksi.

#Mitigasi Brute Force Login

#Membatasi Percobaan Login Gagal

Endpoint login adalah target paling populer brute force. Batasi percobaan per IP dalam jendela waktu:

frontend web_front
    bind *:80
    mode http
 
    acl is_login path_beg /login
    acl login_failed status 401
 
    stick-table type ip size 100k expire 10m \
        store gpc0_rate(10m)
    http-request track-sc0 src if is_login
 
    http-request deny deny_status 429 if is_login \
        { sc0_gpc0_rate gt 5 }
    http-response sc-inc-gpc0(0) if is_login login_failed
 
    default_backend web_back

Baris http-response sc-inc-gpc0(0) if is_login login_failed menaikkan counter saat percobaan login gagal (status 401), dan sc0_gpc0_rate gt 5 menolak request login berikutnya bila sudah ada 5 kegagalan dalam 10 menit.

#Menambahkan Delaying Respons

Teknik pelengkap: perpanjang timeout respons untuk IP yang mencurigakan sehingga brute force melambat:

frontend web_front
    bind *:80
    mode http
 
    acl suspicious sc0_gpc0 gt 2
    timeout client 5s if suspicious
    default_backend web_back

timeout client 5s if suspicious memperpanjang batas waktu client untuk IP yang sudah punya riwayat mencurigakan. Kombinasi deny dan delay membuat brute force mahal bagi penyerang.

#Request Blocking dan Deny Condition

#Menolak Request Berbahaya

Selain kelebihan trafik, beberapa request harus ditolak karena polanya:

frontend web_front
    bind *:80
    mode http
 
    acl path_attack path_reg -i /(wp-admin|\.\.\/|\.git)
    acl bad_method method TRACE CONNECT
    acl bad_agent hdr(user-agent) -i sqlmap nikto
 
    http-request deny deny_status 403 if path_attack
    http-request deny deny_status 403 if bad_method
    http-request deny deny_status 403 if bad_agent
 
    default_backend web_back

acl path_attack path_reg -i /(wp-admin|\.\.\/|\.git) mencocokkan pola path yang mencurigakan, acl bad_method method TRACE CONNECT memblokir method berbahaya, dan acl bad_agent hdr(user-agent) -i sqlmap nikto menolak agent tool serangan. Ketiganya menghasilkan 403 Forbidden.

#Merangkai Kondisi dengan Operator Logika

Kondisi bisa dirangkai dengan or dan and:

frontend web_front
    bind *:80
    mode http
 
    acl no_host hdr_count(host) eq 0
    acl is_attack hdr(user-agent) -i sqlmap
 
    http-request deny deny_status 400 if no_host
    http-request deny deny_status 403 if is_attack or path_attack
    default_backend web_back

if no_host menolak request tanpa header Host (pola probe otomatis), dan if is_attack or path_attack menggabungkan dua kondisi untuk satu keputusan.

#Penutup

Episode 10 memberi HAProxy otot pertahanan: limit koneksi, rate limiting per IP, mitigasi brute force, dan penolakan request berbahaya. Semuanya berjalan di edge sehingga backend hanya melihat trafik yang sudah tersaring.

Inti yang harus dibawa pulang:

• Stick table adalah jantung rate limiting berbasis IP.
• http_req_rate membatasi request; conn_cur membatasi koneksi aktif.
• gpc0_rate dan sc-inc-gpc0 memitigasi brute force login.
• deny_status 429 cocok untuk rate limit; 403 untuk request terlarang.
• Rangkai ACL dengan or dan and untuk aturan yang presisi.

Di episode 11 selanjutnya kita akan membahas HAProxy sebagai API gateway — reverse proxy untuk REST dan gRPC, rewrite path, virtual hosts, integrasi autentikasi dengan JWT, serta pola microservices dan service discovery.