Bagaimana mempercayai IP klien dan membatasi laju di belakang CDN?

Question

IT Interview Practice · Accepted Answer

Pulihkan alamat klien dari proxy tepercaya sebelum membatasi permintaan berdasarkan IP. Jika tidak, banyak pengunjung dapat dihitung sebagai satu server CDN.

## Mengapa orang yang salah diblokir

Alice dan Bob melewati alamat CDN yang sama. Tanpa penanganan real-IP, Nginx melihat alamat CDN itu untuk keduanya. Trafik Alice dapat menghabiskan kuota yang seolah juga dipakai Bob.

## Percayai proxy, bukan sembarang header masuk

Konfigurasi ilustratif ini berada di dalam `http`. Alamat khusus dokumentasi harus diganti dengan rentang proxy tepercaya yang sebenarnya; contoh mengasumsikan proxy memelihara `X-Forwarded-For` dengan benar:

```nginx
set_real_ip_from 192.0.2.10;
real_ip_header X-Forwarded-For;
real_ip_recursive on;
limit_req_zone $binary_remote_addr zone=per_client:10m rate=5r/s;

server {
    listen 80;
    location /api/ {
        limit_req zone=per_client burst=10;
        limit_req_status 429;
        proxy_pass http://127.0.0.1:3000;
    }
}
```

`set_real_ip_from` menentukan siapa yang boleh memberikan alamat. Pemrosesan rekursif memilih alamat tidak tepercaya terakhir dalam rantai penerusan. `limit_req_zone` kemudian menghitung memakai IP klien yang dipulihkan; `limit_req` menerapkan batas pada rute. Di sini permintaan berlebih dalam burst dapat ditunda, sedangkan yang melampauinya ditolak. Laju tersebut contoh, bukan default produksi.

## Verifikasi sebelum diberlakukan

Gunakan `limit_req_dry_run on;` selama evaluasi. Periksa dua alamat klien dan upaya pemalsuan header dari sumber tidak tepercaya. Batasi akses langsung ke origin dan pelihara rentang tepercaya. IP kantor bersama tetap mengelompokkan orang nyata, jadi tambahkan batas akun terautentikasi bila diperlukan.

[Dokumentasi resmi](https://nginx.org/en/docs/http/ngx_http_realip_module.html).

Mengapa orang yang salah diblokir

Percayai proxy, bukan sembarang header masuk

Verifikasi sebelum diberlakukan

Pertanyaan terkait