Πώς ανακτάτε client IP και περιορίζετε αιτήματα πίσω από CDN;

Question

IT Interview Practice · Accepted Answer

Ανακτήστε τη διεύθυνση client από αξιόπιστο proxy πριν περιορίσετε αιτήματα ανά IP. Διαφορετικά πολλοί επισκέπτες μπορεί να μετρούν ως ένας CDN server.

## Γιατί αποκλείονται οι λάθος άνθρωποι;

Η Alice και ο Bob περνούν από την ίδια διεύθυνση CDN. Χωρίς real-IP χειρισμό, το Nginx βλέπει αυτή τη διεύθυνση και για τους δύο. Η κίνηση της Alice μπορεί να εξαντλήσει το όριο που φαίνεται να μοιράζεται ο Bob.

## Εμπιστευθείτε το proxy, όχι κάθε εισερχόμενη κεφαλίδα

Η ενδεικτική διαμόρφωση ανήκει στο `http`. Η διεύθυνση τεκμηρίωσης πρέπει να αντικατασταθεί με πραγματικά αξιόπιστα proxy ranges· το παράδειγμα υποθέτει σωστή διαχείριση του `X-Forwarded-For`:

```nginx
set_real_ip_from 192.0.2.10;
real_ip_header X-Forwarded-For;
real_ip_recursive on;
limit_req_zone $binary_remote_addr zone=per_client:10m rate=5r/s;

server {
    listen 80;
    location /api/ {
        limit_req zone=per_client burst=10;
        limit_req_status 429;
        proxy_pass http://127.0.0.1:3000;
    }
}
```

Το `set_real_ip_from` ορίζει ποιος μπορεί να δώσει τη διεύθυνση. Η αναδρομική επεξεργασία επιλέγει την τελευταία μη έμπιστη διεύθυνση στην αλυσίδα προώθησης. Το `limit_req_zone` μετρά βάσει της ανακτημένης client IP, και το `limit_req` εφαρμόζει το όριο στη διαδρομή. Υπερβάλλοντα αιτήματα εντός burst μπορεί να καθυστερούν, ενώ πέρα από αυτό απορρίπτονται. Οι ρυθμοί είναι παραδείγματα, όχι προεπιλογές παραγωγής.

## Επαληθεύστε πριν την επιβολή

Χρησιμοποιήστε `limit_req_dry_run on;` στην αξιολόγηση. Ελέγξτε δύο client διευθύνσεις και προσπάθειες πλαστογράφησης από μη έμπιστη πηγή. Περιορίστε άμεση πρόσβαση στο origin και συντηρείτε τα έμπιστα ranges. Κοινές IP γραφείου εξακολουθούν να ομαδοποιούν πραγματικούς ανθρώπους, οπότε προσθέστε όρια ταυτοποιημένου λογαριασμού όπου χρειάζεται.

[Επίσημη τεκμηρίωση](https://nginx.org/en/docs/http/ngx_http_realip_module.html).

Γιατί αποκλείονται οι λάθος άνθρωποι;

Εμπιστευθείτε το proxy, όχι κάθε εισερχόμενη κεφαλίδα

Επαληθεύστε πριν την επιβολή

Σχετικές ερωτήσεις