CDNの背後でクライアントIPを信頼してレート制限するには？

Question

IT Interview Practice · Accepted Answer

IPでリクエストを制限する前に、信頼するプロキシからクライアントアドレスを復元します。そうしないと、多数の訪問者が1台のCDNサーバーとして数えられます。

## 間違った人がブロックされる理由

AliceとBobは同じCDNアドレスを通過します。real-IP処理がなければ、Nginxには両方ともそのCDNアドレスに見えます。Aliceの通信が、Bobも共有しているように見える割り当てを使い切る可能性があります。

## 任意の受信ヘッダーではなくプロキシを信頼する

この説明用設定は`http`内に置きます。文書用アドレスを実際の信頼するプロキシ範囲に置き換える必要があります。プロキシが`X-Forwarded-For`を正しく維持することを前提としています。

```nginx
set_real_ip_from 192.0.2.10;
real_ip_header X-Forwarded-For;
real_ip_recursive on;
limit_req_zone $binary_remote_addr zone=per_client:10m rate=5r/s;

server {
    listen 80;
    location /api/ {
        limit_req zone=per_client burst=10;
        limit_req_status 429;
        proxy_pass http://127.0.0.1:3000;
    }
}
```

`set_real_ip_from`はアドレスを提供してよい相手を識別します。再帰処理は転送チェーン内の最後の非信頼アドレスを選びます。その後`limit_req_zone`が復元されたクライアントIPで数え、`limit_req`がルートに制限を適用します。この例ではburst内の超過分は遅延させられ、それを越える分は拒否されます。レートは例示であり、本番のデフォルトではありません。

## 強制する前に検証する

評価中は`limit_req_dry_run on;`を使います。2つのクライアントアドレスと、非信頼元からヘッダーを偽装する試行を確認します。originへの直接アクセスを制限し、信頼範囲を維持します。共有オフィスIPでは実際の複数人が同じグループになるため、必要に応じて認証済みアカウント単位の制限を補います。

[公式ドキュメント](https://nginx.org/en/docs/http/ngx_http_realip_module.html).

間違った人がブロックされる理由

任意の受信ヘッダーではなくプロキシを信頼する

関連する質問

強制する前に検証する