Обычный rate limiting считает запросы одинаково для всех. Один и тот же лимит получает и реальный пользователь, и бот из чужого дата-центра. Такой подход работает, но работает грубо. Geoip rate limiting добавляет к лимитам ещё одно измерение — географию и тип сети запроса. Система начинает различать трафик, а не просто считать его.
В прошлой статье мы разбирали полное руководство по GeoIP API. Сегодня посмотрим на практический пример его применения — защиту API через гибкие лимиты запросов.
Почему единый лимит для всех — не лучшее решение
Классический rate limiter ставит один порог: например, 100 запросов в минуту с одного IP. Порог работает как общий барьер. Он не учитывает контекст запроса.
Проблема в том, что контекст сильно различается. Запрос из домашней сети обычного пользователя и запрос из дата-центра, арендованного под ботнет, выглядят для простого лимитера одинаково. Но риск у них разный. Здесь и помогает rate limiting с геоконтекстом — механизм ограничения трафика получает данные о происхождении запроса и реагирует точнее.
Как geoip меняет логику лимитов
Идея простая: лимит зависит не только от IP-адреса, но и от того, что этот IP-адрес собой представляет. Разберём три практических сценария.
Разные пороги для разных стран. Если у сервиса есть чёткая география аудитории, трафик из нетипичных регионов может получать более строгий лимит. Так система снижает нагрузку от паразитного трафика, но не блокирует его полностью.
Разные пороги по типу сети. Запросы из дата-центров и облачных провайдеров чаще относятся к автоматизированному трафику, чем запросы с обычных провайдерских IP. Поэтому для дата-центрового трафика имеет смысл задавать более жёсткий лимит с самого начала.
Динамическая адаптация под VPN и прокси. VPN-трафик не всегда вредоносен — сотрудники и обычные пользователи используют его по легитимным причинам. Однако именно через VPN чаще всего пытаются обойти базовые ограничения. Поэтому для такого трафика разумно применять промежуточный, а не максимально строгий лимит.
Практическая настройка: пример логики
Представим API с базовым лимитом 60 запросов в минуту на IP. С учётом geoip-данных логику можно расширить так:
- Обычный пользовательский IP из ожидаемого региона получает стандартный лимит — 60 запросов в минуту.
- IP из дата-центра получает сниженный лимит — например, 20 запросов в минуту, потому что такой трафик реже приходит от реальных людей.
- IP из региона с историей злоупотреблений получает дополнительную проверку — капчу после 10 запросов вместо жёсткой блокировки.
- Известные корпоративные VPN-диапазоны компании исключаются из строгих правил и получают отдельный, более высокий лимит.
Такая схема снижает число ложных блокировок легитимных пользователей и одновременно быстрее останавливает автоматизированный трафик.
Технические алгоритмы и место geoip в них
Rate limiting строится на нескольких классических алгоритмах: фиксированное окно, скользящее окно, token bucket и leaky bucket. Geoip не заменяет ни один из них — он лишь определяет, какой конкретно лимит применить к запросу перед тем, как алгоритм начнёт считать.
На практике это выглядит так: запрос сначала проходит через geoip-обогащение, затем система выбирает соответствующий профиль лимита по стране и типу сети, и только после этого срабатывает сам алгоритм ограничения. Модуль GeoIP от WildX хорошо подходит именно для первого шага — он быстро возвращает страну и тип сети, поэтому не добавляет заметной задержки перед основной логикой rate limiting.
Мониторинг и калибровка порогов
Пороги нельзя один раз настроить и забыть. Соотношение легитимного и вредоносного трафика по регионам меняется, поэтому команде стоит регулярно смотреть на метрики: долю заблокированных запросов по странам, частоту капчи и жалобы реальных пользователей на слишком строгие ограничения. Резкий рост блокировок из знакомого региона обычно означает, что порог нужно смягчить, а не то, что вырос поток атак.
Итог
Geoip rate limiting превращает единый лимит в набор гибких правил под конкретный контекст запроса. Страна, тип сети и история региона становятся частью решения о том, насколько строго ограничивать трафик. Такой подход точнее защищает API от ботов и реже задевает реальных пользователей, чем один общий порог для всех.
Подключите модуль GeoIP от WildX, чтобы добавить географический контекст в свою систему лимитов. Сразу после регистрации активируется тестовый период на 14 дней. Во время теста доступен весь функционал сервиса с минимальными ограничениями, поэтому вы успеете откалибровать пороги под реальный трафик своего API.
