{"id":4600,"date":"2019-02-04T09:23:50","date_gmt":"2019-02-04T11:23:50","guid":{"rendered":"https:\/\/blog.clusterweb.com.br\/?p=4600"},"modified":"2019-02-04T09:26:32","modified_gmt":"2019-02-04T11:26:32","slug":"mecanismo-de-aceleracao-dosfilter","status":"publish","type":"post","link":"https:\/\/blog.clusterweb.com.br\/?p=4600","title":{"rendered":"DoSFilter Throttling Mechanism"},"content":{"rendered":"

O filtro de nega\u00e7\u00e3o de servi\u00e7o ou DoSFilter foi adicionado ao servidor de caixa de correio no ZCS 8.0 para acelerar os clientes enviando um grande n\u00famero de solicita\u00e7\u00f5es em um per\u00edodo muito curto de tempo.\u00a0O DoSFilter \u00e9 aplicado a todas as solicita\u00e7\u00f5es de servi\u00e7o, caixa de correio e admin.\u00a0Este recurso foi adicionado com a conclus\u00e3o do\u00a0bug 66921<\/a>\u00a0.<\/p>\n

A filtragem de DoS \u00e9 ativada por padr\u00e3o quando o ZCS 8 \u00e9 instalado.\u00a0Pode ser necess\u00e1rio ajustar a configura\u00e7\u00e3o para acomodar necessidades ambientais espec\u00edficas.\u00a0Desativar DoSFilter n\u00e3o \u00e9 recomendado.<\/p>\n

<\/p>\n

Identificando falsos positivos<\/span><\/h2>\n

\u00c9 poss\u00edvel que clientes como o Zimbra Connector for Outlook (ZCO), o Mobile ActiveSync, o zmprov, etc. acionem o DoSFilter.\u00a0Para o cliente, o servi\u00e7o de caixa de correio do Zimbra n\u00e3o est\u00e1 dispon\u00edvel.\u00a0O DoSFilter pode ser identificado no servidor das seguintes maneiras:<\/p>\n

\/opt\/zimbra\/log\/sync.log<\/span><\/h4>\n
2013-01-15 15: 52: 20,426 AVISO [qtp1635701107-91: https: \/\/10.10.0.54: 443 \/ Microsoft-Server-ActiveSync? Usu\u00e1rio = zsupport2 & DeviceId = Appl5K0113UN3NR e DeviceType = iPhone & Cmd = FolderSync] [name=zsupport2@domain.com ; mid = 64; ip = 71.194.89.54; Cmd = FolderSync; DeviceID = Appl5K0113UN3NR; Vers\u00e3o = 12.1;] sync - Exce\u00e7\u00e3o de servi\u00e7o\r\ncom.zimbra.common.service.ServiceException: erro ao enviar proxy ao servidor de destino: HTTP \/ 1.1 503 Servi\u00e7o indispon\u00edvel\r\nExceptionId: qtp1635701107-91: https: \/ 10\/10.10.54: 443 \/ Microsoft-Server-ActiveSync? Usu\u00e1rio = zsupport2 & DeviceId = Appl5K0113UN3NR e DeviceType = iPhone & Cmd = FolderSync: 1358286740426: c5ca7f36bb0a038f C\u00f3digo: service.PROXY_ERROR Arg: (url, STR, \"http: \/\/mail.domain.com:80\/service\/soap\/SyncRequest \")\r\n<\/pre>\n
\/opt\/zimbra\/log\/zmmailboxd.out<\/span><\/h4>\n
2013-01-15 15: 57: 32.537: AVISO: oejs.DoSFilter: DOS ALERTA: ip = 127.0.1.1, session = null, user = null<\/pre>\n
Configura\u00e7\u00e3o<\/span><\/h2>\n
Os atributos de configura\u00e7\u00e3o\u00a0zimbraHttpDosFilterDelayMillis<\/i>\u00a0,\u00a0zimbraHttpDosFilterMaxRequestsPerSec<\/i>\u00a0e\u00a0zimbraHttpThrottleSafeIPs<\/i>\u00a0.\u00a0Cada atributo \u00e9 herdado do servidor global ou \u00e9 configur\u00e1vel no n\u00edvel do servidor.\u00a0Nossa recomenda\u00e7\u00e3o \u00e9 preservar a configura\u00e7\u00e3o padr\u00e3o sempre que poss\u00edvel.<\/p>\n
Atraso de DoSFilter (milissegundos) – zimbraHttpDosFilterDelayMillis<\/span><\/h4>\n
Atraso imposto a todas as solicita\u00e7\u00f5es acima do limite de taxa, antes de serem consideradas.\u00a0-1 = Rejeitar pedido, 0 = Sem atraso, qualquer outro valor = Atraso em ms.\u00a0O padr\u00e3o \u00e9 -1.<\/p>\n
Para modificar na configura\u00e7\u00e3o global;\u00a0Por exemplo, defina o atraso para 20 ms:<\/p>\n
zmprov mcf zimbraHttpDosFilterDelayMillis 20\r\n<\/pre>\n
Solicita\u00e7\u00f5es M\u00e1ximas de DoSFilter por Segundo – zimbraHttpDosFilterMaxRequestsPerSec<\/span><\/h4>\n
N\u00famero m\u00e1ximo de solicita\u00e7\u00f5es de uma conex\u00e3o por segundo.\u00a0Solicita\u00e7\u00f5es em excesso s\u00e3o limitadas.\u00a0O padr\u00e3o \u00e9 30 e o m\u00ednimo \u00e9 1.<\/p>\n
Para definir o n\u00famero m\u00e1ximo de solicita\u00e7\u00f5es na configura\u00e7\u00e3o global:<\/p>\n
zmprov mcf zimbraHttpDosFilterMaxRequestsPerSec 100\r\n<\/pre>\n
Endere\u00e7os IP do DoSFilter Whitelist – zimbraHttpThrottleSafeIPs<\/span><\/h4>\n
Aviso: O Zimbra Collaboration 8.7 anterior n\u00e3o suporta o CIDR, portanto voc\u00ea deve adicionar os IPs individualmente.<\/b><\/p>\n
Endere\u00e7os IP para ignorar ao aplicar o Jetty DosFilter.\u00a0Este atributo n\u00e3o possui um valor padr\u00e3o, no entanto, esses IPs de loopback s\u00e3o permitidos por padr\u00e3o:<\/p>\n