Hvordan bruker du klient-IP og ratebegrensning bak et CDN?

Question

IT Interview Practice · Accepted Answer

Gjenopprett klientadressen fra en betrodd proxy før du begrenser forespørsler per IP. Ellers kan mange besøkende telles som én CDN-server.

## Hvorfor feil personer blir blokkert

Alice og Bob går begge gjennom samme CDN-adresse. Uten real-IP-håndtering ser Nginx CDN-adressen for begge. Alices trafikk kan bruke opp kvoten Bob tilsynelatende deler.

## Stol på proxyen, ikke enhver innkommende header

Denne eksempelkonfigurasjonen hører hjemme i `http`. Dokumentasjonsadressen må erstattes med faktiske betrodde proxyområder; eksemplet forutsetter at proxyen vedlikeholder `X-Forwarded-For` korrekt:

```nginx
set_real_ip_from 192.0.2.10;
real_ip_header X-Forwarded-For;
real_ip_recursive on;
limit_req_zone $binary_remote_addr zone=per_client:10m rate=5r/s;

server {
    listen 80;
    location /api/ {
        limit_req zone=per_client burst=10;
        limit_req_status 429;
        proxy_pass http://127.0.0.1:3000;
    }
}
```

`set_real_ip_from` angir hvem som kan levere adressen. Rekursiv behandling velger den siste ikke-betrodde adressen i videresendingskjeden. `limit_req_zone` teller deretter med gjenopprettet klient-IP; `limit_req` bruker grensen på ruten. Overskytende forespørsler innenfor burst kan her forsinkes, mens de utover den avvises. Ratene er eksempler, ikke produksjonsstandarder.

## Verifiser før håndheving

Bruk `limit_req_dry_run on;` under evaluering. Test to klientadresser og forsøk på å forfalske headere fra en ikke-betrodd kilde. Begrens direkte tilgang til origin og vedlikehold betrodde områder. Delte kontor-IP-er grupperer fortsatt ekte personer, så suppler med begrensninger for autentiserte kontoer ved behov.

[Offisiell dokumentasjon](https://nginx.org/en/docs/http/ngx_http_realip_module.html).

Hvorfor feil personer blir blokkert

Stol på proxyen, ikke enhver innkommende header

Verifiser før håndheving

Relaterte spørsmål