CDN 뒤에서 클라이언트 IP를 신뢰하고 요청률을 제한하려면?

Question

IT Interview Practice · Accepted Answer

IP별 요청 제한 전에 신뢰하는 프록시로부터 클라이언트 주소를 복원합니다. 그렇지 않으면 여러 방문자가 CDN 서버 하나로 집계될 수 있습니다.

## 엉뚱한 사용자가 차단되는 이유

Alice와 Bob이 같은 CDN 주소를 통과합니다. real-IP 처리가 없으면 Nginx는 둘 다 같은 CDN 주소로 봅니다. Alice의 트래픽이 Bob도 공유하는 것처럼 보이는 할당량을 소진할 수 있습니다.

## 임의의 수신 헤더가 아니라 프록시를 신뢰하기

이 예시 설정은 `http` 안에 둡니다. 문서 전용 주소는 실제 신뢰하는 프록시 대역으로 바꿔야 합니다. 프록시가 `X-Forwarded-For`를 정확히 관리한다고 가정합니다.

```nginx
set_real_ip_from 192.0.2.10;
real_ip_header X-Forwarded-For;
real_ip_recursive on;
limit_req_zone $binary_remote_addr zone=per_client:10m rate=5r/s;

server {
    listen 80;
    location /api/ {
        limit_req zone=per_client burst=10;
        limit_req_status 429;
        proxy_pass http://127.0.0.1:3000;
    }
}
```

`set_real_ip_from`은 누가 주소를 제공할 수 있는지 지정합니다. 재귀 처리는 전달 체인에서 마지막으로 신뢰하지 않는 주소를 선택합니다. 이어서 `limit_req_zone`이 복원된 클라이언트 IP로 집계하고 `limit_req`가 해당 라우트에 제한을 적용합니다. 여기서 burst 안의 초과 요청은 지연될 수 있고 이를 넘으면 거절됩니다. 수치는 예시이지 운영 기본값이 아닙니다.

## 실제 적용 전에 검증하기

평가 중에는 `limit_req_dry_run on;`을 사용합니다. 두 클라이언트 주소와 신뢰하지 않는 출처의 헤더 위조 시도를 확인합니다. origin 직접 접근을 제한하고 신뢰 대역을 관리합니다. 사무실 공유 IP는 여전히 여러 실제 사용자를 묶으므로 필요하면 인증 계정별 제한을 보완합니다.

[공식 문서](https://nginx.org/en/docs/http/ngx_http_realip_module.html).

엉뚱한 사용자가 차단되는 이유

임의의 수신 헤더가 아니라 프록시를 신뢰하기

실제 적용 전에 검증하기

관련 질문