Jak důvěřovat IP klientů a omezovat požadavky za CDN?

Question

IT Interview Practice · Accepted Answer

Před omezováním požadavků podle IP obnovte adresu klienta z důvěryhodné proxy. Jinak se mnoho návštěvníků může počítat jako jeden CDN server.

## Proč se zablokují nesprávní lidé

Alice i Bob procházejí stejnou CDN adresou. Bez zpracování skutečné IP vidí Nginx u obou tuto adresu. Provoz Alice může vyčerpat kvótu, kterou Bob zdánlivě sdílí.

## Důvěřujte proxy, ne libovolné příchozí hlavičce

Tato ilustrativní konfigurace patří do `http`. Dokumentační adresu je nutné nahradit skutečnými rozsahy důvěryhodných proxy; příklad předpokládá, že proxy správně udržuje `X-Forwarded-For`:

```nginx
set_real_ip_from 192.0.2.10;
real_ip_header X-Forwarded-For;
real_ip_recursive on;
limit_req_zone $binary_remote_addr zone=per_client:10m rate=5r/s;

server {
    listen 80;
    location /api/ {
        limit_req zone=per_client burst=10;
        limit_req_status 429;
        proxy_pass http://127.0.0.1:3000;
    }
}
```

`set_real_ip_from` určuje, kdo smí adresu poskytnout. Rekurzivní zpracování vybere poslední nedůvěryhodnou adresu v předané posloupnosti. `limit_req_zone` pak počítá podle obnovené IP klienta; `limit_req` aplikuje limit na cestu. Nadbytečné požadavky uvnitř burst lze zde zpozdit, zatímco požadavky nad něj se odmítnou. Sazby jsou příklady, nikoli produkční výchozí hodnoty.

## Ověřte před vynucením

Během vyhodnocování použijte `limit_req_dry_run on;`. Ověřte dvě klientské adresy a pokusy o podvržení hlaviček z nedůvěryhodného zdroje. Omezte přímý přístup k originu a udržujte důvěryhodné rozsahy. Sdílené kancelářské IP stále seskupují skutečné lidi, proto podle potřeby doplňte IP limity o limity autentizovaných účtů.

[Oficiální dokumentace](https://nginx.org/en/docs/http/ngx_http_realip_module.html).

Proč se zablokují nesprávní lidé

Důvěřujte proxy, ne libovolné příchozí hlavičce

Ověřte před vynucením

Související otázky