Comment fiabiliser les IP clientes et limiter le débit derrière un CDN ?

Question

IT Interview Practice · Accepted Answer

Restaurez l'adresse du client depuis un proxy de confiance avant de limiter les requêtes par IP. Sinon, de nombreux visiteurs peuvent être comptés comme un seul serveur CDN.

## Pourquoi les mauvaises personnes sont bloquées

Alice et Bob passent par la même adresse CDN. Sans gestion de l'IP réelle, Nginx voit cette adresse pour les deux. Le trafic d'Alice peut consommer le quota que Bob semble partager.

## Faire confiance au proxy, pas à n'importe quel en-tête entrant

Cette configuration illustrative appartient à `http`. L'adresse réservée à la documentation doit être remplacée par les véritables plages des proxys de confiance ; l'exemple suppose que le proxy maintient correctement `X-Forwarded-For` :

```nginx
set_real_ip_from 192.0.2.10;
real_ip_header X-Forwarded-For;
real_ip_recursive on;
limit_req_zone $binary_remote_addr zone=per_client:10m rate=5r/s;

server {
    listen 80;
    location /api/ {
        limit_req zone=per_client burst=10;
        limit_req_status 429;
        proxy_pass http://127.0.0.1:3000;
    }
}
```

`set_real_ip_from` identifie qui peut fournir l'adresse. Le traitement récursif choisit la dernière adresse non fiable dans la chaîne transmise. `limit_req_zone` compte ensuite avec l'IP cliente restaurée ; `limit_req` applique la limite à la route. Ici, les requêtes excédentaires dans le burst peuvent être retardées, tandis que celles au-delà sont rejetées. Les débits sont des exemples, pas des valeurs par défaut de production.

## Vérifier avant d'appliquer

Utilisez `limit_req_dry_run on;` durant l'évaluation. Vérifiez deux adresses clientes et des tentatives de falsification d'en-têtes depuis une source non fiable. Restreignez l'accès direct à l'origine et maintenez les plages de confiance. Les IP partagées d'un bureau regroupent toujours de vraies personnes ; complétez donc les limites IP par des limites de comptes authentifiés lorsque nécessaire.

[Documentation officielle](https://nginx.org/en/docs/http/ngx_http_realip_module.html).

Pourquoi les mauvaises personnes sont bloquées

Faire confiance au proxy, pas à n'importe quel en-tête entrant

Vérifier avant d'appliquer

Questions connexes