CDN પાછળ client IP પર વિશ્વાસ અને rate limit કેવી રીતે કરશો?

Question

IT Interview Practice · Accepted Answer

IP પરથી વિનંતી મર્યાદિત કરતાં પહેલાં વિશ્વસનીય proxyમાંથી ક્લાયન્ટનું સરનામું પુનઃસ્થાપિત કરો. નહીં તો ઘણા મુલાકાતી એક CDN સર્વર તરીકે ગણાઈ શકે છે.

## ખોટા લોકો શા માટે અવરોધાય છે

Alice અને Bob એક જ CDN સરનામામાંથી પસાર થાય છે. Real-IP સંચાલન વગર Nginx બંને માટે તે CDN સરનામું જુએ છે. Aliceનો ટ્રાફિક Bob સાથે વહેંચાયેલો દેખાતો ક્વોટા વાપરી શકે છે.

## proxy પર વિશ્વાસ કરો, કોઈ પણ આવતા header પર નહીં

આ નમૂનાનું કન્ફિગરેશન `http`ની અંદર છે. દસ્તાવેજ માટેનું સરનામું વાસ્તવિક વિશ્વસનીય proxy rangeથી બદલવું જરૂરી છે; ઉદાહરણ માને છે કે proxy `X-Forwarded-For` યોગ્ય રીતે જાળવે છે:

```nginx
set_real_ip_from 192.0.2.10;
real_ip_header X-Forwarded-For;
real_ip_recursive on;
limit_req_zone $binary_remote_addr zone=per_client:10m rate=5r/s;

server {
    listen 80;
    location /api/ {
        limit_req zone=per_client burst=10;
        limit_req_status 429;
        proxy_pass http://127.0.0.1:3000;
    }
}
```

`set_real_ip_from` સરનામું કોણ આપી શકે તે નક્કી કરે છે. Recursive processing આગળ મોકલેલી સાંકળનું છેલ્લું અવિશ્વસનીય સરનામું પસંદ કરે છે. પછી `limit_req_zone` પુનઃસ્થાપિત client IPથી ગણે છે; `limit_req` રૂટ પર મર્યાદા લાગુ કરે છે. અહીં burstની અંદરની વધારાની વિનંતી વિલંબિત થઈ શકે છે, બહારની નકારાય છે. આ દર ઉદાહરણ છે, પ્રોડક્શન ડિફોલ્ટ નહીં.

## અમલ પહેલાં ચકાસો

મૂલ્યાંકન વખતે `limit_req_dry_run on;` વાપરો. બે client address અને અવિશ્વસનીય સ્રોતથી નકલી headerના પ્રયાસ તપાસો. Origin સુધી સીધી પહોંચ મર્યાદિત કરો અને વિશ્વસનીય range જાળવો. Shared office IP હજુ વાસ્તવિક લોકોને એક જૂથમાં ગણે છે, તેથી જરૂર હોય ત્યાં IP મર્યાદા સાથે authenticated accountની મર્યાદા ઉમેરો.

[સત્તાવાર દસ્તાવેજ](https://nginx.org/en/docs/http/ngx_http_realip_module.html).

ખોટા લોકો શા માટે અવરોધાય છે

proxy પર વિશ્વાસ કરો, કોઈ પણ આવતા header પર નહીં

અમલ પહેલાં ચકાસો

સંબંધિત પ્રશ્નો