كيف تثق بعناوين IP العملاء وتحدّ الطلبات خلف CDN؟

Question

IT Interview Practice · Accepted Answer

استعد عنوان العميل من proxy موثوق قبل تحديد الطلبات حسب IP. وإلا فقد يُحتسب زوار كثيرون باعتبارهم خادم CDN واحدًا.

## لماذا يُحظر الأشخاص الخطأ؟

تمر Alice وBob عبر عنوان CDN نفسه. دون معالجة real-IP، يرى Nginx عنوان CDN لكليهما. قد تستهلك حركة Alice الحصة التي يبدو أن Bob يشاركها.

## ثق بالـ proxy لا بأي ترويس وارد

توضع هذه الإعدادات التوضيحية داخل `http`. يجب استبدال العنوان المخصص للتوثيق بنطاقات proxy موثوقة فعلية؛ يفترض المثال أن proxy يحافظ على `X-Forwarded-For` بصورة صحيحة:

```nginx
set_real_ip_from 192.0.2.10;
real_ip_header X-Forwarded-For;
real_ip_recursive on;
limit_req_zone $binary_remote_addr zone=per_client:10m rate=5r/s;

server {
    listen 80;
    location /api/ {
        limit_req zone=per_client burst=10;
        limit_req_status 429;
        proxy_pass http://127.0.0.1:3000;
    }
}
```

يحدد `set_real_ip_from` من يحق له تقديم العنوان. تختار المعالجة التكرارية آخر عنوان غير موثوق في السلسلة الممررة. ثم يعدّ `limit_req_zone` باستخدام IP العميل المستعاد، ويطبق `limit_req` الحد على المسار. يمكن تأخير الطلبات الزائدة ضمن burst هنا، بينما تُرفض التي تتجاوزه. المعدلات أمثلة وليست افتراضيات إنتاج.

## تحقّق قبل الفرض

استخدم `limit_req_dry_run on;` أثناء التقييم. اختبر عنواني عميل ومحاولات تزوير الترويسات من مصدر غير موثوق. قيّد الوصول المباشر إلى origin وحدّث النطاقات الموثوقة. ما تزال عناوين IP المكتبية المشتركة تجمع أشخاصًا حقيقيين، لذا أضف حدود الحسابات المصادق عليها عند الحاجة.

[التوثيق الرسمي](https://nginx.org/en/docs/http/ngx_http_realip_module.html).

لماذا يُحظر الأشخاص الخطأ؟

ثق بالـ proxy لا بأي ترويس وارد

تحقّق قبل الفرض

أسئلة ذات صلة