Wie vertrauen Sie Client-IPs und begrenzen Anfragen hinter einem CDN?

Question

IT Interview Practice · Accepted Answer

Stellen Sie die Clientadresse anhand eines vertrauenswürdigen Proxys wieder her, bevor Sie Anfragen pro IP begrenzen. Andernfalls können viele Besucher als ein einziger CDN-Server gezählt werden.

## Warum die falschen Personen blockiert werden

Alice und Bob nutzen beide dieselbe CDN-Adresse. Ohne Real-IP-Verarbeitung sieht Nginx für beide diese CDN-Adresse. Alices Datenverkehr kann das Kontingent verbrauchen, das Bob scheinbar mit ihr teilt.

## Dem Proxy vertrauen, nicht beliebigen eingehenden Headern

Diese Beispielkonfiguration gehört innerhalb von `http`. Die nur für Dokumentation vorgesehene Adresse muss durch die tatsächlichen vertrauenswürdigen Proxybereiche ersetzt werden; das Beispiel setzt voraus, dass der Proxy `X-Forwarded-For` korrekt pflegt:

```nginx
set_real_ip_from 192.0.2.10;
real_ip_header X-Forwarded-For;
real_ip_recursive on;
limit_req_zone $binary_remote_addr zone=per_client:10m rate=5r/s;

server {
    listen 80;
    location /api/ {
        limit_req zone=per_client burst=10;
        limit_req_status 429;
        proxy_pass http://127.0.0.1:3000;
    }
}
```

`set_real_ip_from` legt fest, wer die Adresse liefern darf. Rekursive Verarbeitung wählt die letzte nicht vertrauenswürdige Adresse in der weitergeleiteten Kette aus. `limit_req_zone` zählt dann anhand der wiederhergestellten Client-IP; `limit_req` wendet das Limit auf die Route an. Hier können zusätzliche Anfragen innerhalb des Bursts verzögert werden, während darüber hinausgehende abgewiesen werden. Die Raten sind Beispiele, keine Produktionsstandards.

## Vor der Durchsetzung überprüfen

Verwenden Sie während der Auswertung `limit_req_dry_run on;`. Prüfen Sie zwei Clientadressen und Versuche, Header aus einer nicht vertrauenswürdigen Quelle zu fälschen. Beschränken Sie direkten Zugriff auf den Origin und pflegen Sie die vertrauenswürdigen Bereiche. Gemeinsame Büro-IPs fassen weiterhin echte Personen zusammen; ergänzen Sie IP-Limits deshalb bei Bedarf um Limits für authentifizierte Konten.

[Offizielle Dokumentation](https://nginx.org/en/docs/http/ngx_http_realip_module.html).

Warum die falschen Personen blockiert werden

Dem Proxy vertrauen, nicht beliebigen eingehenden Headern

Vor der Durchsetzung überprüfen

Ähnliche Fragen