Redis를 활용한 DDoS 방어 기능 모듈화

🔍 직면한 문제

HTTP에서 세션 사용 문제점

• 세션 관리의 비효율성: HTTP 세션을 통해 쿠키를 사용하여 요청을 관리하면, 동시 요청이 많은 상황에서 세션 관리의 부하가 증가합니다.
• 서블릿의 동시성 처리: 서블릿은 동시 요청을 처리할 때, 여러 요청을 병렬로 처리하지만, 요청 간의 동기화 문제가 발생할 수 있습니다.

문제 설명

🔧 개선된 해결책

🛠️ 개선된 코드 예시

1번 해결책 synchronized 사용

java
1@Component
2public class RequestLimiter {
3
4    @Autowired
5    private RedisTemplate<String, Integer> redisTemplate;
6
7    private static final int MAX_REQUESTS = 10;
8    private static final long EXPIRE_DURATION = 1L; // duration in minutes
9
10    public void synchronized protectRateLimit(String redisKey) {
11        // 현재 요청 수를 먼저 조회
12        Integer currentCount = redisTemplate.opsForValue().get(redisKey);
13
14        // 이미 최대 요청 수를 초과했는지 확인
15        if (currentCount != null && currentCount >= MAX_REQUESTS) {
16            throw new RuntimeException("MAX_REQUESTS 초과");
17        }
18
19        // 요청 카운트를 증가시키고, 처음이라면 만료 시간 설정
20        Long incremented = redisTemplate.opsForValue().increment(redisKey);
21        
22        if (incremented != null && incremented == 1) {
23            redisTemplate.expire(redisKey, EXPIRE_DURATION, TimeUnit.MINUTES);
24        }
25    }
26
27    public boolean isRequestAllowed(String sessionId) {
28        try {
29            protectRateLimit(sessionId);
30            return true;
31        } catch (RuntimeException e) {
32            return false;
33        }
34    }
35}

• 목표가 단순 카운팅: 요청을 카운트하고 특정 횟수를 넘으면 막기 위한 로직.
• 카운팅은 증가 연산: INCR 같은 Redis의 명령어는 원자적(atomic)으로 동작
• 최대 요청 수 초과만 확인: 이미 MAX_REQUESTS를 넘었다면 추가 요청을 막을 수 있음.

2번 해결책 분산락 사용

java
1
2@Component
3public class RequestLimiter {
4
5    @Autowired
6    private RedisTemplate<String, Integer> redisTemplate;
7
8    private static final int MAX_REQUESTS = 10; // 최대 요청 수
9    private static final long EXPIRE_DURATION = 1L; // 만료 시간 (단위: 분)
10
11    /**
12     * 요청 제한 로직
13     */
14    private synchronized void protectRateLimit(String redisKey) {
15        // Redis 키가 없으면 초기화하고 만료 시간 설정
16        Boolean isNewKey = redisTemplate.opsForValue().setIfAbsent(redisKey, 0, EXPIRE_DURATION, TimeUnit.MINUTES);
17        
18        if (Boolean.TRUE.equals(isNewKey)) {
19            // 새로운 키가 생성되었으므로 요청 카운트를 초기화 후 처리
20            redisTemplate.opsForValue().increment(redisKey);
21            return;
22        }
23
24        // 현재 요청 수를 조회
25        Integer currentCount = redisTemplate.opsForValue().get(redisKey);
26
27        // 최대 요청 수 초과 여부 확인
28        if (currentCount != null && currentCount >= MAX_REQUESTS) {
29            throw new RuntimeException("MAX_REQUESTS 초과");
30        }
31
32        // 요청 카운트를 증가
33        redisTemplate.opsForValue().increment(redisKey);
34    }
35
36    /**
37     * 요청이 허용되는지 확인하는 메서드
38     */
39    public boolean isRequestAllowed(String sessionId) {
40        try {
41            protectRateLimit(sessionId); // 요청 제한 체크
42            return true; // 요청 허용
43        } catch (RuntimeException e) {
44            return false; // 요청 제한 초과
45        }
46    }
47}

✅ 결과

🏁 결론