“Taşkın IP engelleme girişimleri” işlevini nasıl devre dışı bırakabilirim?

Drupal, bir kullanıcı birçok kez oturum açmaya çalıştığında siteye erişmek için kullanılan IP'yi engeller.

Bu işlevi nasıl devre dışı bırakabilirim?

Yapabilecekleriniz settings.php dosyasına aşağıdaki kodu eklemektir.

$conf['user_failed_login_ip_limit'] = PHP_INT_MAX;

Bu şekilde IP engellenmez.

user_login_authenticate_validate () aşağıdaki kodu içerir.

  if (!empty($form_state['values']['name']) && !empty($password)) {
    // Do not allow any login from the current user's IP if the limit has been
    // reached. Default is 50 failed attempts allowed in one hour. This is
    // independent of the per-user limit to catch attempts from one IP to log
    // in to many different user accounts.  We have a reasonably high limit
    // since there may be only one apparent IP for all users at an institution.
    if (!flood_is_allowed('failed_login_attempt_ip', variable_get('user_failed_login_ip_limit', 50), variable_get('user_failed_login_ip_window', 3600))) {
      $form_state['flood_control_triggered'] = 'ip';
      return;
    }
    $account = db_query("SELECT * FROM {users} WHERE name = :name AND status = 1", array(':name' => $form_state['values']['name']))->fetchObject();
    if ($account) {
      if (variable_get('user_failed_login_identifier_uid_only', FALSE)) {
        // Register flood events based on the uid only, so they apply for any
        // IP address. This is the most secure option.
        $identifier = $account->uid;
      }
      else {
        // The default identifier is a combination of uid and IP address. This
        // is less secure but more resistant to denial-of-service attacks that
        // could lock out all users with public user names.
        $identifier = $account->uid . '-' . ip_address();
      }
      $form_state['flood_control_user_identifier'] = $identifier;

      // Don't allow login if the limit for this user has been reached.
      // Default is to allow 5 failed attempts every 6 hours.
      if (!flood_is_allowed('failed_login_attempt_user', variable_get('user_failed_login_user_limit', 5), variable_get('user_failed_login_user_window', 21600), $identifier)) {
        $form_state['flood_control_triggered'] = 'user';
        return;
      }
    }
    // We are not limited by flood control, so try to authenticate.
    // Set $form_state['uid'] as a flag for user_login_final_validate().
    $form_state['uid'] = user_authenticate($form_state['values']['name'], $password);
  }

Sınırlar aslında iki tanedir: biri Drupal'ın her zaman bir IP'si ve diğeri Drupal'ın da bir kullanıcı kimliği olduğunda. İkincisi, kullanıcının mevcut bir hesap için bir kullanıcı adı girmesi durumudur; bu durumda, Drupal kullanıcı kimliğini ve IP'yi kaydeder.
Bu durumdan da kaçınmak istiyorsanız, bu satırı setting.php dosyasına da eklemeniz gerekir.

$conf['user_failed_login_user_limit'] = PHP_INT_MAX;
$conf['user_failed_login_user_window'] = 5;

Sel Kontrolü modülü zarif bu işleyecektir.

In Drupal 8 , yapılandırma dosyasında sel ayarlarını değiştirebilirsiniz user.flood.yml.

uid_only: false
ip_limit: 50
ip_window: 3600
user_limit: 5
user_window: 21600
_core:
  default_config_hash: UYfMzeP1S8jKaaaavxf7nQNe8DsNS-3bc2WSNNXBQWs

Bu, IP ve kullanıcı başına bir sınırın olduğu anlamına gelir:

• 3600 saniyede (1 saat), IP adresi başına 50 denemeye izin verilir
• 21600 saniye (6 saat) başına, kullanıcı hesabı başına 5 denemeye izin verilir (oldukça az)

Ayarları değiştirebilir ve içe aktarabilirsiniz (5 dakikada 100 denemeye ayarlıyorum):

uid_only: false
ip_limit: 100
ip_window: 300
user_limit: 100
user_window: 300
_core:
  default_config_hash: UYfMzeP1S8jKaaaavxf7nQNe8DsNS-3bc2WSNNXBQWs