Hvordan stoler du på klient-IP'er og begrænser trafik bag et CDN?

Question

IT Interview Practice · Accepted Answer

Genskab klientadressen fra en betroet proxy, før du begrænser forespørgsler efter IP. Ellers kan mange besøgende blive talt som én CDN-server.

## Hvorfor de forkerte bliver blokeret

Alice og Bob går gennem samme CDN-adresse. Uden real-IP-håndtering ser Nginx denne adresse for begge. Alices trafik kan bruge den kvote, Bob tilsyneladende deler.

## Stol på proxyen, ikke på enhver indgående header

Denne illustrative konfiguration hører til inde i `http`. Dokumentationsadressen skal erstattes af faktiske betroede proxyområder; eksemplet antager, at proxyen vedligeholder `X-Forwarded-For` korrekt:

```nginx
set_real_ip_from 192.0.2.10;
real_ip_header X-Forwarded-For;
real_ip_recursive on;
limit_req_zone $binary_remote_addr zone=per_client:10m rate=5r/s;

server {
    listen 80;
    location /api/ {
        limit_req zone=per_client burst=10;
        limit_req_status 429;
        proxy_pass http://127.0.0.1:3000;
    }
}
```

`set_real_ip_from` identificerer, hvem der må levere adressen. Rekursiv behandling vælger den sidste ikke-betroede adresse i den videresendte kæde. `limit_req_zone` tæller derefter med den genskabte klient-IP; `limit_req` anvender grænsen på ruten. Her kan overskydende forespørgsler inden for burst forsinkes, mens dem ud over det afvises. Raterne er eksempler, ikke produktionsstandarder.

## Kontroller før håndhævelse

Brug `limit_req_dry_run on;` under evalueringen. Kontroller to klientadresser og forsøg på at forfalske headere fra en ikke-betroet kilde. Begræns direkte adgang til origin, og vedligehold betroede områder. Fælles kontor-IP'er grupperer stadig virkelige personer, så suppler IP-grænser med grænser for autentificerede konti efter behov.

[Officiel dokumentation](https://nginx.org/en/docs/http/ngx_http_realip_module.html).

Hvorfor de forkerte bliver blokeret

Stol på proxyen, ikke på enhver indgående header

Kontroller før håndhævelse

Relaterede spørgsmål