Cloud Armor封禁时长不一致及异常响应问题咨询

测试背景 #

我配置了Cloud Armor规则，设置同一IP在N次请求后触发访问拒绝。通过JMeter以每秒1次的频率持续调用API进行了两次测试：

• 第一次测试（12:37:00-12:55:00）：多数请求失败，仅部分请求成功；首次封禁时长为配置的5分钟，但解封后有40+次请求成功，12:43:00后又持续失败至12:55:00（时长超12分钟）
• 第二次测试（13:15:34-13:35:00）：前10次请求后IP被封禁至13:30:33（时长15分钟），期间有7-10次请求成功，之后再次被拒绝

问题解答 #

1. 封禁时长为何不一致？ #

这是Cloud Armor的**自适应保护（Adaptive Protection）**机制导致的。默认情况下，首次触发违规会使用你配置的基础封禁时长（5分钟），当同一IP在短时间内重复触发规则时，系统会自动递增封禁时长（通常为基础时长的倍数，比如3倍），以此应对持续的恶意请求行为。如果你的规则开启了自适应保护，就会出现首次5分钟、第二次15分钟的差异。

2. 封禁期间为何会随机出现成功响应？ #

主要原因是分布式节点的规则同步延迟：
Cloud Armor是全球分布式的安全服务，封禁规则在各个边缘节点之间同步需要一定时间，部分节点可能未及时更新封禁状态，导致个别请求被放行；另外，节点的本地会话缓存未及时刷新，也会出现偶然的成功响应，后续节点同步完成后就会恢复拒绝状态。

3. 首次解封后多次成功再持续长时间失败？ #

• 解封后IP恢复正常状态，因此前40+次请求可以成功；
• 但你的请求仍保持每秒1次的频率，持续触发规则的请求计数条件，导致IP再次触发封禁；
• 由于是重复违规，触发了自适应保护的递增封禁时长，因此这次封禁时长超过了首次的5分钟，达到12分钟以上。
  另外，也需要检查规则的请求计数窗口配置：如果计数窗口是较长的周期（比如10分钟），解封后继续请求会快速累积计数，再次触发封禁且时长被延长。

内容的提问来源于stack exchange，提问作者Aswin