Kepiye percaya IP klien lan mbatesi laju ing mburi CDN?

Question

IT Interview Practice · Accepted Answer

Pulihake alamat klien saka proxy sing dipercaya sadurunge mbatesi panjaluk miturut IP. Yen ora, akeh pengunjung bisa dietung minangka siji server CDN.

## Napa wong sing salah diblokir

Alice lan Bob ngliwati alamat CDN sing padha. Tanpa penanganan real-IP, Nginx weruh alamat CDN iku kanggo loro-lorone. Trafik Alice bisa ngentekake kuota sing katon uga dienggo Bob.

## Percaya proxy, dudu sembarang header sing mlebu

Konfigurasi tuladha iki ana ing njero `http`. Alamat khusus dokumentasi kudu diganti nganggo rentang proxy dipercaya sing nyata; conto iki nganggep proxy njaga `X-Forwarded-For` kanthi bener:

```nginx
set_real_ip_from 192.0.2.10;
real_ip_header X-Forwarded-For;
real_ip_recursive on;
limit_req_zone $binary_remote_addr zone=per_client:10m rate=5r/s;

server {
    listen 80;
    location /api/ {
        limit_req zone=per_client burst=10;
        limit_req_status 429;
        proxy_pass http://127.0.0.1:3000;
    }
}
```

`set_real_ip_from` nemtokake sapa sing oleh menehi alamat. Proses rekursif milih alamat ora dipercaya pungkasan ing rantai penerusan. Banjur `limit_req_zone` ngetung nganggo IP klien sing dipulihake; `limit_req` masang wates ing rute. Ing kene panjaluk keluwihan sajrone burst bisa ditundha, dene sing ngluwihi ditolak. Laju kasebut conto, dudu default produksi.

## Priksa sadurunge ditrapake

Gunakake `limit_req_dry_run on;` nalika evaluasi. Priksa rong alamat klien lan upaya malsokake header saka sumber ora dipercaya. Watesi akses langsung menyang origin lan rawat rentang dipercaya. IP kantor bebarengan tetep nglumpukake wong nyata, mula tambahake wates akun sing wis diautentikasi yen perlu.

[Dokumentasi resmi](https://nginx.org/en/docs/http/ngx_http_realip_module.html).

Napa wong sing salah diblokir

Percaya proxy, dudu sembarang header sing mlebu

Priksa sadurunge ditrapake

Pitakon sing gegandhengan