CDN-এর পেছনে ক্লায়েন্ট IP বিশ্বাস ও rate limit করবেন কীভাবে?

Question

IT Interview Practice · Accepted Answer

IP দিয়ে অনুরোধ সীমিত করার আগে বিশ্বস্ত proxy থেকে ক্লায়েন্টের ঠিকানা পুনরুদ্ধার করুন। তা না হলে অনেক দর্শককে একটি CDN সার্ভার হিসেবে গণনা করা হতে পারে।

## ভুল মানুষ কেন আটকায়

Alice ও Bob একই CDN ঠিকানা দিয়ে আসে। real-IP পরিচালনা ছাড়া Nginx দুজনের জন্য ওই CDN ঠিকানা দেখে। Alice-এর ট্রাফিক Bob-এর সঙ্গে ভাগ হচ্ছে বলে মনে হওয়া কোটা শেষ করতে পারে।

## proxy-কে বিশ্বাস করুন, যেকোনো আসা হেডারকে নয়

এই নমুনা কনফিগারেশন `http`-এর ভেতরে থাকবে। শুধু নথির জন্য ব্যবহৃত ঠিকানাটি প্রকৃত বিশ্বস্ত proxy range দিয়ে বদলাতে হবে; উদাহরণ ধরে নেয় proxy সঠিকভাবে `X-Forwarded-For` বজায় রাখে:

```nginx
set_real_ip_from 192.0.2.10;
real_ip_header X-Forwarded-For;
real_ip_recursive on;
limit_req_zone $binary_remote_addr zone=per_client:10m rate=5r/s;

server {
    listen 80;
    location /api/ {
        limit_req zone=per_client burst=10;
        limit_req_status 429;
        proxy_pass http://127.0.0.1:3000;
    }
}
```

`set_real_ip_from` ঠিকানা কে দিতে পারবে তা চিহ্নিত করে। Recursive প্রক্রিয়া ফরওয়ার্ড করা শৃঙ্খলের শেষ অবিশ্বস্ত ঠিকানা বেছে নেয়। এরপর `limit_req_zone` পুনরুদ্ধার করা ক্লায়েন্ট IP দিয়ে গণনা করে; `limit_req` রুটে সীমা প্রয়োগ করে। এখানে burst-এর ভেতরের অতিরিক্ত অনুরোধ বিলম্বিত হতে পারে, তার বাইরেরগুলো প্রত্যাখ্যাত হয়। হারগুলো উদাহরণ, প্রোডাকশনের ডিফল্ট নয়।

## প্রয়োগের আগে যাচাই করুন

মূল্যায়নের সময় `limit_req_dry_run on;` ব্যবহার করুন। দুটি ক্লায়েন্ট ঠিকানা এবং অবিশ্বস্ত উৎস থেকে জাল হেডারের চেষ্টা পরীক্ষা করুন। origin-এ সরাসরি প্রবেশ সীমিত করুন এবং বিশ্বস্ত range বজায় রাখুন। ভাগ করা অফিস IP এখনো প্রকৃত মানুষকে একত্রে গণনা করে, তাই প্রয়োজনে IP সীমার সঙ্গে authenticated account-এর সীমা যোগ করুন।

[সরকারি নথি](https://nginx.org/en/docs/http/ngx_http_realip_module.html)।

ভুল মানুষ কেন আটকায়

proxy-কে বিশ্বাস করুন, যেকোনো আসা হেডারকে নয়

প্রয়োগের আগে যাচাই করুন

সম্পর্কিত প্রশ্ন