Hogyan bízzunk meg a kliens IP-jében és korlátozzunk CDN mögött?

Question

IT Interview Practice · Accepted Answer

Az IP-alapú korlátozás előtt állítsuk vissza a kliens címét egy megbízható proxytól. Különben sok látogató egyetlen CDN-szerverként számolódhat.

## Miért a rossz embereket tiltjuk le?

Alice és Bob ugyanazon a CDN-címen keresztül érkezik. Real-IP kezelés nélkül az Nginx mindkettőjüknél ezt a címet látja. Alice forgalma elfogyaszthatja azt a keretet, amelyet látszólag Bob is használ.

## A proxyban bízzunk, ne bármely beérkező fejlécben

Ez a szemléltető konfiguráció a `http` blokkba való. A dokumentációs címet a valódi megbízható proxytartományokra kell cserélni; a példa feltételezi, hogy a proxy helyesen kezeli az `X-Forwarded-For` fejlécet:

```nginx
set_real_ip_from 192.0.2.10;
real_ip_header X-Forwarded-For;
real_ip_recursive on;
limit_req_zone $binary_remote_addr zone=per_client:10m rate=5r/s;

server {
    listen 80;
    location /api/ {
        limit_req zone=per_client burst=10;
        limit_req_status 429;
        proxy_pass http://127.0.0.1:3000;
    }
}
```

A `set_real_ip_from` azonosítja, ki adhatja meg a címet. A rekurzív feldolgozás a továbbított lánc utolsó nem megbízható címét választja. Ezután a `limit_req_zone` a visszaállított kliens-IP alapján számol, a `limit_req` pedig érvényesíti az útvonal korlátját. Itt a burstön belüli többletkérések késleltethetők, az azon túliak elutasításra kerülnek. Az értékek példák, nem éles alapértékek.

## Tiltás előtt ellenőrizzünk

Értékeléskor használjuk a `limit_req_dry_run on;` beállítást. Vizsgáljunk két klienscímet és nem megbízható forrásból hamisított fejléceket. Korlátozzuk az origin közvetlen elérését és tartsuk karban a megbízható tartományokat. A közös irodai IP továbbra is több valódi embert csoportosít, ezért szükség szerint egészítsük ki hitelesített fiókalapú korláttal.

[Hivatalos dokumentáció](https://nginx.org/en/docs/http/ngx_http_realip_module.html).

Miért a rossz embereket tiltjuk le?

A proxyban bízzunk, ne bármely beérkező fejlécben

Tiltás előtt ellenőrizzünk

Kapcsolódó kérdések