¿Cómo confía en las IP de clientes y limita el tráfico detrás de un CDN?

Question

IT Interview Practice · Accepted Answer

Restaure la dirección del cliente desde un proxy de confianza antes de limitar solicitudes por IP. De lo contrario, muchos visitantes pueden contarse como un único servidor CDN.

## Por qué se bloquea a las personas equivocadas

Alice y Bob pasan por la misma dirección CDN. Sin tratamiento de IP real, Nginx ve esa dirección para ambos. El tráfico de Alice puede consumir la cuota que Bob parece compartir.

## Confíe en el proxy, no en cualquier cabecera entrante

Esta configuración ilustrativa va dentro de `http`. La dirección reservada a documentación debe sustituirse por rangos reales de proxys de confianza; el ejemplo supone que el proxy mantiene correctamente `X-Forwarded-For`:

```nginx
set_real_ip_from 192.0.2.10;
real_ip_header X-Forwarded-For;
real_ip_recursive on;
limit_req_zone $binary_remote_addr zone=per_client:10m rate=5r/s;

server {
    listen 80;
    location /api/ {
        limit_req zone=per_client burst=10;
        limit_req_status 429;
        proxy_pass http://127.0.0.1:3000;
    }
}
```

`set_real_ip_from` identifica quién puede proporcionar la dirección. El procesamiento recursivo selecciona la última dirección no confiable de la cadena reenviada. `limit_req_zone` cuenta entonces usando la IP restaurada del cliente; `limit_req` aplica el límite a la ruta. Aquí, las solicitudes excedentes dentro del burst pueden retrasarse y las que lo superan se rechazan. Las tasas son ejemplos, no valores predeterminados de producción.

## Verifique antes de aplicar

Use `limit_req_dry_run on;` durante la evaluación. Compruebe dos direcciones cliente e intentos de falsificar cabeceras desde una fuente no confiable. Restrinja el acceso directo al origen y mantenga los rangos de confianza. Las IP compartidas de una oficina siguen agrupando personas reales, así que complemente los límites IP con límites por cuenta autenticada cuando haga falta.

[Documentación oficial](https://nginx.org/en/docs/http/ngx_http_realip_module.html).

Por qué se bloquea a las personas equivocadas

Confíe en el proxy, no en cualquier cabecera entrante

Verifique antes de aplicar

Preguntas relacionadas