CDN पछाडि client IP लाई कसरी विश्वास गर्ने र rate limit लगाउने?

Question

IT Interview Practice · Accepted Answer

IP अनुसार अनुरोध सीमित गर्नुअघि विश्वसनीय proxy बाट वास्तविक client address पुनःस्थापित गर्नुहोस्। नत्र धेरै आगन्तुक एउटै CDN server का रूपमा गनिन सक्छन्।

## गलत मानिस किन रोकिन्छन्?

Alice र Bob दुवै एउटै CDN address बाट आउँछन्। Real-IP व्यवस्था नभए Nginx ले दुवैका लागि त्यही CDN address देख्छ। Alice को traffic ले Bob ले पनि साझा गरेको देखिने quota खपत गर्न सक्छ।

## जुनसुकै header होइन, proxy लाई विश्वास गर्नुहोस्

यो उदाहरणात्मक कन्फिगरेसन `http` भित्र पर्छ। दस्तावेजका लागि मात्र दिइएको address लाई वास्तविक विश्वसनीय proxy range ले बदल्नुपर्छ; उदाहरणले proxy ले `X-Forwarded-For` सही राख्छ भन्ने मान्छ:

```nginx
set_real_ip_from 192.0.2.10;
real_ip_header X-Forwarded-For;
real_ip_recursive on;
limit_req_zone $binary_remote_addr zone=per_client:10m rate=5r/s;

server {
    listen 80;
    location /api/ {
        limit_req zone=per_client burst=10;
        limit_req_status 429;
        proxy_pass http://127.0.0.1:3000;
    }
}
```

`set_real_ip_from` ले address दिन पाउने स्रोत चिनाउँछ। Recursive processing ले forwarded chain मा अन्तिम अविश्वसनीय address छान्छ। त्यसपछि `limit_req_zone` ले पुनःस्थापित client IP अनुसार गन्छ; `limit_req` ले route मा सीमा लागू गर्छ। यहाँ burst भित्रका अतिरिक्त अनुरोध ढिलो गराउन सकिन्छ, त्योभन्दा बढी अस्वीकार हुन्छन्। दरहरू उदाहरण हुन्, production का default होइनन्।

## लागू गर्नुअघि पुष्टि गर्नुहोस्

मूल्याङ्कन गर्दा `limit_req_dry_run on;` प्रयोग गर्नुहोस्। दुई client address र अविश्वसनीय स्रोतबाट नक्कली header पठाउने प्रयास जाँच्नुहोस्। Origin मा सीधा पहुँच सीमित गर्नुहोस् र विश्वसनीय range अद्यावधिक राख्नुहोस्। साझा कार्यालय IP ले अझै फरक मानिसलाई एउटै समूहमा राख्छ, त्यसैले आवश्यक ठाउँमा authenticated account अनुसारको सीमा पनि थप्नुहोस्।

[आधिकारिक दस्तावेज](https://nginx.org/en/docs/http/ngx_http_realip_module.html).

गलत मानिस किन रोकिन्छन्?

जुनसुकै header होइन, proxy लाई विश्वास गर्नुहोस्

लागू गर्नुअघि पुष्टि गर्नुहोस्

सम्बन्धित प्रश्नहरू