როგორ ენდოთ კლიენტის IP-ს და შეზღუდოთ მოთხოვნები CDN-ის უკან?

Question

IT Interview Practice · Accepted Answer

IP-ით შეზღუდვამდე კლიენტის მისამართი სანდო proxy-დან აღადგინეთ. წინააღმდეგ შემთხვევაში ბევრი სტუმარი შეიძლება ერთ CDN სერვერად დაითვალოს.

## რატომ იბლოკებიან არასწორი ადამიანები

Alice და Bob ერთსა და იმავე CDN მისამართს გადიან. Real-IP დამუშავების გარეშე Nginx ორივესთვის ამ CDN მისამართს ხედავს. Alice-ის ტრაფიკმა შეიძლება ამოწუროს კვოტა, რომელსაც თითქოს Bob-იც იზიარებს.

## ენდეთ proxy-ს და არა ნებისმიერ მოსულ სათაურს

ეს საილუსტრაციო კონფიგურაცია `http`-ში უნდა მოთავსდეს. დოკუმენტაციისთვის განკუთვნილი მისამართი რეალური სანდო proxy დიაპაზონებით შეცვალეთ; მაგალითი ვარაუდობს, რომ proxy სწორად მართავს `X-Forwarded-For`-ს:

```nginx
set_real_ip_from 192.0.2.10;
real_ip_header X-Forwarded-For;
real_ip_recursive on;
limit_req_zone $binary_remote_addr zone=per_client:10m rate=5r/s;

server {
    listen 80;
    location /api/ {
        limit_req zone=per_client burst=10;
        limit_req_status 429;
        proxy_pass http://127.0.0.1:3000;
    }
}
```

`set_real_ip_from` განსაზღვრავს, ვის შეუძლია მისამართის მოწოდება. რეკურსიული დამუშავება გადაგზავნილ ჯაჭვში ბოლო არასანდო მისამართს ირჩევს. შემდეგ `limit_req_zone` აღდგენილი კლიენტის IP-ით ითვლის, ხოლო `limit_req` შეზღუდვას მარშრუტზე ავრცელებს. აქ burst-ის ფარგლებში ზედმეტი მოთხოვნები შეიძლება დაყოვნდეს, მის გარეთ კი უარყოფილია. სიჩქარეები მაგალითებია და არა საწარმოო ნაგულისხმევი მნიშვნელობები.

## აღსრულებამდე გადაამოწმეთ

შეფასებისას გამოიყენეთ `limit_req_dry_run on;`. შეამოწმეთ ორი კლიენტის მისამართი და არასანდო წყაროდან სათაურების გაყალბების მცდელობა. შეზღუდეთ origin-ზე პირდაპირი წვდომა და განაახლეთ სანდო დიაპაზონები. ოფისის საერთო IP მაინც აერთიანებს რეალურ ადამიანებს, ამიტომ საჭიროებისას დაამატეთ ავთენტიკირებული ანგარიშის შეზღუდვა.

[ოფიციალური დოკუმენტაცია](https://nginx.org/en/docs/http/ngx_http_realip_module.html).

რატომ იბლოკებიან არასწორი ადამიანები

ენდეთ proxy-ს და არა ნებისმიერ მოსულ სათაურს

აღსრულებამდე გადაამოწმეთ

დაკავშირებული კითხვები