Come rendi affidabili gli IP client e limiti le richieste dietro una CDN?

Question

IT Interview Practice · Accepted Answer

Ripristina l'indirizzo client da un proxy fidato prima di limitare le richieste per IP. Altrimenti molti visitatori possono essere conteggiati come un unico server CDN.

## Perché vengono bloccate le persone sbagliate

Alice e Bob attraversano lo stesso indirizzo CDN. Senza gestione real-IP, Nginx vede quell'indirizzo per entrambi. Il traffico di Alice può consumare la quota che Bob sembra condividere.

## Fidati del proxy, non di qualsiasi header in ingresso

Questa configurazione illustrativa va dentro `http`. L'indirizzo riservato alla documentazione deve essere sostituito dagli intervalli reali dei proxy fidati; l'esempio presume che il proxy mantenga correttamente `X-Forwarded-For`:

```nginx
set_real_ip_from 192.0.2.10;
real_ip_header X-Forwarded-For;
real_ip_recursive on;
limit_req_zone $binary_remote_addr zone=per_client:10m rate=5r/s;

server {
    listen 80;
    location /api/ {
        limit_req zone=per_client burst=10;
        limit_req_status 429;
        proxy_pass http://127.0.0.1:3000;
    }
}
```

`set_real_ip_from` identifica chi può fornire l'indirizzo. L'elaborazione ricorsiva sceglie l'ultimo indirizzo non fidato nella catena inoltrata. `limit_req_zone` conta quindi usando l'IP client ripristinato; `limit_req` applica il limite alla rotta. Qui le richieste in eccesso entro il burst possono essere ritardate, mentre quelle oltre vengono rifiutate. I valori sono esempi, non default di produzione.

## Verifica prima di applicare i blocchi

Usa `limit_req_dry_run on;` durante la valutazione. Controlla due indirizzi client e tentativi di falsificare header da fonti non fidate. Limita l'accesso diretto all'origin e mantieni aggiornati gli intervalli fidati. Gli IP condivisi degli uffici raggruppano comunque persone reali: integra quindi limiti per account autenticato quando necessario.

[Documentazione ufficiale](https://nginx.org/en/docs/http/ngx_http_realip_module.html).

Perché vengono bloccate le persone sbagliate

Fidati del proxy, non di qualsiasi header in ingresso

Verifica prima di applicare i blocchi

Domande correlate