CDN के पीछे client IP पर भरोसा और rate-limit कैसे करते हैं?

Question

IT Interview Practice · Accepted Answer

IP के आधार पर अनुरोध सीमित करने से पहले भरोसेमंद proxy से client का पता बहाल करें। अन्यथा कई आगंतुक एक CDN server के रूप में गिने जा सकते हैं।

## गलत लोग क्यों block होते हैं

Alice और Bob एक ही CDN पते से आते हैं। Real-IP handling के बिना Nginx दोनों के लिए वही CDN पता देखता है। Alice का ट्रैफ़िक वह quota खर्च कर सकता है जो Bob भी साझा करता दिखता है।

## Proxy पर भरोसा करें, हर incoming header पर नहीं

यह उदाहरण configuration `http` के भीतर है। केवल documentation वाला पता वास्तविक trusted proxy ranges से बदलना होगा; उदाहरण मानता है कि proxy `X-Forwarded-For` सही रखता है:

```nginx
set_real_ip_from 192.0.2.10;
real_ip_header X-Forwarded-For;
real_ip_recursive on;
limit_req_zone $binary_remote_addr zone=per_client:10m rate=5r/s;

server {
    listen 80;
    location /api/ {
        limit_req zone=per_client burst=10;
        limit_req_status 429;
        proxy_pass http://127.0.0.1:3000;
    }
}
```

`set_real_ip_from` बताता है कि पता कौन दे सकता है। Recursive processing forwarded chain का आखिरी non-trusted पता चुनता है। फिर `limit_req_zone` बहाल client IP से गिनता है; `limit_req` route पर सीमा लागू करता है। यहाँ burst के अंदर अतिरिक्त अनुरोध देर से भेजे जा सकते हैं, जबकि उससे अधिक अस्वीकार होते हैं। Rates उदाहरण हैं, production defaults नहीं।

## लागू करने से पहले सत्यापित करें

मूल्यांकन के दौरान `limit_req_dry_run on;` उपयोग करें। दो client पते और untrusted source से जाली headers की कोशिश जाँचें। Direct origin access सीमित करें और trusted ranges अद्ययावत रखें। साझा office IP अभी भी वास्तविक लोगों को एक साथ रखता है, इसलिए ज़रूरत पर authenticated account limits भी जोड़ें।

[आधिकारिक दस्तावेज़](https://nginx.org/en/docs/http/ngx_http_realip_module.html).

गलत लोग क्यों block होते हैं

Proxy पर भरोसा करें, हर incoming header पर नहीं

लागू करने से पहले सत्यापित करें

संबंधित प्रश्न