Hoe vertrouw je client-IP’s en beperk je verkeer achter een CDN?

Question

IT Interview Practice · Accepted Answer

Herstel het clientadres uit een vertrouwde proxy voordat je verzoeken per IP beperkt. Anders kunnen veel bezoekers als één CDN-server worden geteld.

## Waarom de verkeerde mensen worden geblokkeerd

Alice en Bob gebruiken hetzelfde CDN-adres. Zonder real-IP-verwerking ziet Nginx dat CDN-adres voor beiden. Alice's verkeer kan het quotum verbruiken dat Bob schijnbaar deelt.

## Vertrouw de proxy, niet iedere inkomende header

Deze voorbeeldconfiguratie hoort binnen `http`. Het documentatieadres moet worden vervangen door echte vertrouwde proxybereiken; het voorbeeld neemt aan dat de proxy `X-Forwarded-For` correct bijhoudt:

```nginx
set_real_ip_from 192.0.2.10;
real_ip_header X-Forwarded-For;
real_ip_recursive on;
limit_req_zone $binary_remote_addr zone=per_client:10m rate=5r/s;

server {
    listen 80;
    location /api/ {
        limit_req zone=per_client burst=10;
        limit_req_status 429;
        proxy_pass http://127.0.0.1:3000;
    }
}
```

`set_real_ip_from` bepaalt wie het adres mag leveren. Recursieve verwerking kiest het laatste niet-vertrouwde adres in de doorstuurketen. `limit_req_zone` telt vervolgens met het herstelde client-IP; `limit_req` past de limiet toe op de route. Extra verzoeken binnen de burst kunnen hier worden vertraagd; daarboven worden ze geweigerd. De snelheden zijn voorbeelden, geen productiestandaarden.

## Controleer voordat je afdwingt

Gebruik `limit_req_dry_run on;` tijdens evaluatie. Test twee clientadressen en pogingen om headers te vervalsen vanaf een niet-vertrouwde bron. Beperk directe toegang tot de origin en onderhoud vertrouwde bereiken. Gedeelde kantoor-IP's groeperen nog steeds echte mensen, dus voeg waar nodig limieten voor geauthenticeerde accounts toe.

[Officiële documentatie](https://nginx.org/en/docs/http/ngx_http_realip_module.html).

Waarom de verkeerde mensen worden geblokkeerd

Vertrouw de proxy, niet iedere inkomende header

Controleer voordat je afdwingt

Gerelateerde vragen