Kako vjerovati IP adresama klijenata i ograničiti promet iza CDN-a?

Question

IT Interview Practice · Accepted Answer

Obnovite adresu klijenta iz pouzdanog proxyja prije ograničavanja zahtjeva po IP adresi. Inače se mnogi posjetitelji mogu brojiti kao jedan CDN poslužitelj.

## Zašto se blokiraju pogrešni ljudi

Alice i Bob prolaze kroz istu CDN adresu. Bez obrade stvarne IP adrese Nginx vidi tu adresu za oboje. Promet Alice može potrošiti kvotu koju Bob naizgled dijeli.

## Vjerujte proxyju, ne svakom dolaznom zaglavlju

Ova ilustrativna konfiguracija pripada unutar `http`. Dokumentacijsku adresu zamijenite stvarnim rasponima pouzdanih proxyja; primjer pretpostavlja da proxy pravilno održava `X-Forwarded-For`:

```nginx
set_real_ip_from 192.0.2.10;
real_ip_header X-Forwarded-For;
real_ip_recursive on;
limit_req_zone $binary_remote_addr zone=per_client:10m rate=5r/s;

server {
    listen 80;
    location /api/ {
        limit_req zone=per_client burst=10;
        limit_req_status 429;
        proxy_pass http://127.0.0.1:3000;
    }
}
```

`set_real_ip_from` određuje tko smije dati adresu. Rekurzivna obrada bira posljednju nepouzdanu adresu u proslijeđenom lancu. `limit_req_zone` zatim broji prema obnovljenoj IP adresi klijenta; `limit_req` primjenjuje ograničenje na rutu. Višak zahtjeva unutar burst ovdje se može odgoditi, dok se oni iznad njega odbijaju. Stope su primjeri, ne zadane produkcijske vrijednosti.

## Provjerite prije primjene

Tijekom procjene koristite `limit_req_dry_run on;`. Provjerite dvije klijentske adrese i pokušaje krivotvorenja zaglavlja iz nepouzdanog izvora. Ograničite izravan pristup originu i održavajte pouzdane raspone. Zajedničke uredske IP adrese i dalje grupiraju stvarne ljude, zato po potrebi dodajte ograničenja autentificiranih računa.

[Službena dokumentacija](https://nginx.org/en/docs/http/ngx_http_realip_module.html).

Zašto se blokiraju pogrešni ljudi

Vjerujte proxyju, ne svakom dolaznom zaglavlju

Provjerite prije primjene

Povezana pitanja