Bagaimanakah mempercayai IP klien dan mengehadkan kadar di belakang CDN?

Question

IT Interview Practice · Accepted Answer

Pulihkan alamat klien daripada proxy dipercayai sebelum mengehadkan permintaan mengikut IP. Jika tidak, ramai pelawat boleh dikira sebagai satu pelayan CDN.

## Mengapa orang yang salah disekat

Alice dan Bob melalui alamat CDN yang sama. Tanpa pengendalian real-IP, Nginx melihat alamat CDN tersebut untuk kedua-duanya. Trafik Alice boleh menghabiskan kuota yang seolah-olah dikongsi Bob.

## Percayai proxy, bukan sebarang pengepala masuk

Konfigurasi ilustrasi ini diletakkan dalam `http`. Alamat khas dokumentasi mesti diganti dengan julat proxy dipercayai yang sebenar; contoh mengandaikan proxy mengekalkan `X-Forwarded-For` dengan betul:

```nginx
set_real_ip_from 192.0.2.10;
real_ip_header X-Forwarded-For;
real_ip_recursive on;
limit_req_zone $binary_remote_addr zone=per_client:10m rate=5r/s;

server {
    listen 80;
    location /api/ {
        limit_req zone=per_client burst=10;
        limit_req_status 429;
        proxy_pass http://127.0.0.1:3000;
    }
}
```

`set_real_ip_from` mengenal pasti pihak yang boleh memberikan alamat. Pemprosesan rekursif memilih alamat tidak dipercayai terakhir dalam rantaian penghantaran. `limit_req_zone` kemudian mengira menggunakan IP klien yang dipulihkan; `limit_req` mengenakan had pada laluan. Di sini permintaan berlebihan dalam burst boleh dilengahkan, manakala yang melampauinya ditolak. Kadar ini ialah contoh, bukan lalai produksi.

## Sahkan sebelum penguatkuasaan

Gunakan `limit_req_dry_run on;` semasa penilaian. Periksa dua alamat klien dan cubaan memalsukan pengepala daripada sumber tidak dipercayai. Hadkan akses terus ke origin dan selenggara julat dipercayai. IP pejabat bersama masih mengumpulkan orang sebenar, jadi tambah had akaun disahkan apabila perlu.

[Dokumentasi rasmi](https://nginx.org/en/docs/http/ngx_http_realip_module.html).

Mengapa orang yang salah disekat

Percayai proxy, bukan sebarang pengepala masuk

Sahkan sebelum penguatkuasaan

Soalan berkaitan