Kaip pasitikėti kliento IP ir riboti užklausas už CDN?

Question

IT Interview Practice · Accepted Answer

Prieš ribodami užklausas pagal IP atkurkite kliento adresą iš patikimo proxy. Antraip daug lankytojų gali būti skaičiuojami kaip vienas CDN serveris.

## Kodėl blokuojami ne tie žmonės

Alice ir Bob eina per tą patį CDN adresą. Be real-IP tvarkymo Nginx abiem mato šį CDN adresą. Alice srautas gali išnaudoti kvotą, kuria tariamai dalijasi Bob.

## Pasitikėkite proxy, ne bet kokia gauta antrašte

Ši iliustracinė konfigūracija skirta `http` vidui. Dokumentacijai skirtą adresą reikia pakeisti tikrais patikimų proxy diapazonais; pavyzdyje laikoma, kad proxy teisingai palaiko `X-Forwarded-For`:

```nginx
set_real_ip_from 192.0.2.10;
real_ip_header X-Forwarded-For;
real_ip_recursive on;
limit_req_zone $binary_remote_addr zone=per_client:10m rate=5r/s;

server {
    listen 80;
    location /api/ {
        limit_req zone=per_client burst=10;
        limit_req_status 429;
        proxy_pass http://127.0.0.1:3000;
    }
}
```

`set_real_ip_from` nurodo, kas gali pateikti adresą. Rekursinis apdorojimas pasirenka paskutinį nepatikimą adresą persiuntimo grandinėje. Tada `limit_req_zone` skaičiuoja pagal atkurtą kliento IP, o `limit_req` pritaiko ribą maršrutui. Čia burst ribose perteklinės užklausos gali būti atidėtos, o virš jos atmetamos. Dažniai yra pavyzdžiai, ne produkcinės numatytosios reikšmės.

## Patikrinkite prieš pradėdami blokuoti

Vertinimo metu naudokite `limit_req_dry_run on;`. Patikrinkite du kliento adresus ir bandymus klastoti antraštes iš nepatikimo šaltinio. Ribokite tiesioginį origin pasiekimą ir prižiūrėkite patikimų adresų diapazonus. Bendri biuro IP vis tiek sujungia tikrus žmones, todėl prireikus pridėkite autentifikuotų paskyrų limitus.

[Oficiali dokumentacija](https://nginx.org/en/docs/http/ngx_http_realip_module.html).

Kodėl blokuojami ne tie žmonės

Pasitikėkite proxy, ne bet kokia gauta antrašte

Patikrinkite prieš pradėdami blokuoti

Susiję klausimai