CDN मागे client IP वर विश्वास ठेवून rate limiting कसे कराल?

Question

IT Interview Practice · Accepted Answer

IP आधारित limit लावण्याआधी विश्वसनीय proxy कडून खरा client IP पुनर्स्थापित करा. अन्यथा CDN च्या मागील अनेक अभ्यागतांना एकच अभ्यागत समजले जाऊ शकते.

## चुकीचे लोक का अडवले जातात?

Alice आणि Bob एकाच CDN पत्त्यामधून आले तर Alice च्या विनंत्या दोघांच्या सामायिक मर्यादेचा वापर करू शकतात. त्यामुळे Bob कमी विनंत्या करत असूनही अडवला जातो.

## कोणत्याही header वर नव्हे, proxy वर विश्वास ठेवा

हे `http` मध्ये ठेवा. उदाहरणातील दस्तऐवजीकरणासाठीचा पत्ता प्रत्यक्ष विश्वसनीय proxy ranges ने बदला. Proxy योग्य `X-Forwarded-For` राखतो असे गृहीत आहे:

```nginx
set_real_ip_from 192.0.2.10;
real_ip_header X-Forwarded-For;
real_ip_recursive on;
limit_req_zone $binary_remote_addr zone=per_client:10m rate=5r/s;

server {
    listen 80;
    location /api/ {
        limit_req zone=per_client burst=10;
        limit_req_status 429;
        proxy_pass http://127.0.0.1:3000;
    }
}
```

`set_real_ip_from` कोणते पत्ते client माहिती देऊ शकतात ते ठरवतो. Recursive प्रक्रिया शेवटचा अविश्वसनीय पत्ता निवडते. `limit_req_zone` पुनर्स्थापित IP वापरतो; `limit_req` मर्यादा लागू करतो. Burst मधील अतिरिक्त विनंत्या विलंबित होतात; त्यापलीकडच्या नाकारल्या जातात. ही उदाहरणातील मूल्ये आहेत, सार्वत्रिक defaults नाहीत.

## लागू करण्याआधी पडताळा

`limit_req_dry_run on;` वापरून दोन client IP आणि अविश्वसनीय स्रोताकडून बनावट header तपासा. Origin पर्यंत प्रवेश मर्यादित करा आणि विश्वासाचे ranges अद्ययावत ठेवा. कार्यालयातील लोक एकच IP वापरू शकतात; आवश्यकतेनुसार authenticated account आधारित नियंत्रण जोडा.

[अधिकृत दस्तऐवज](https://nginx.org/en/docs/http/ngx_http_realip_module.html).

चुकीचे लोक का अडवले जातात?

कोणत्याही header वर नव्हे, proxy वर विश्वास ठेवा

लागू करण्याआधी पडताळा

संबंधित प्रश्न