CDN ਪਿੱਛੇ ਕਲਾਇੰਟ IP ਉੱਤੇ ਭਰੋਸਾ ਅਤੇ ਰੇਟ ਲਿਮਿਟ ਕਿਵੇਂ ਕਰਦੇ ਹੋ?

Question

IT Interview Practice · Accepted Answer

IP ਅਨੁਸਾਰ ਬੇਨਤੀਆਂ ਸੀਮਿਤ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਭਰੋਸੇਯੋਗ ਪ੍ਰਾਕਸੀ ਤੋਂ ਕਲਾਇੰਟ ਪਤਾ ਬਹਾਲ ਕਰੋ। ਨਹੀਂ ਤਾਂ ਕਈ ਵਿਜ਼ਟਰ ਇੱਕ CDN ਸਰਵਰ ਵਜੋਂ ਗਿਣੇ ਜਾ ਸਕਦੇ ਹਨ।

## ਗਲਤ ਲੋਕ ਬਲਾਕ ਕਿਉਂ ਹੁੰਦੇ ਹਨ?

Alice ਅਤੇ Bob ਇੱਕੋ CDN ਪਤੇ ਰਾਹੀਂ ਲੰਘਦੇ ਹਨ। ਅਸਲ IP ਸੰਭਾਲ ਤੋਂ ਬਿਨਾਂ Nginx ਦੋਵਾਂ ਲਈ ਉਹ CDN ਪਤਾ ਵੇਖਦਾ ਹੈ। Alice ਦੀ ਟ੍ਰੈਫਿਕ ਉਹ ਕੋਟਾ ਖਾ ਸਕਦੀ ਹੈ ਜੋ Bob ਨਾਲ ਸਾਂਝਾ ਦਿਸਦਾ ਹੈ।

## ਪ੍ਰਾਕਸੀ ਉੱਤੇ ਭਰੋਸਾ ਕਰੋ, ਕਿਸੇ ਵੀ ਆਉਂਦੇ ਹੈਡਰ ਉੱਤੇ ਨਹੀਂ

ਇਹ ਉਦਾਹਰਨ ਸੰਰਚਨਾ `http` ਅੰਦਰ ਆਉਂਦੀ ਹੈ। ਸਿਰਫ਼ ਦਸਤਾਵੇਜ਼ਾਂ ਵਾਲਾ ਪਤਾ ਅਸਲ ਭਰੋਸੇਯੋਗ ਪ੍ਰਾਕਸੀ ਰੇਂਜਾਂ ਨਾਲ ਬਦਲਣਾ ਲਾਜ਼ਮੀ ਹੈ; ਉਦਾਹਰਨ ਮੰਨਦੀ ਹੈ ਕਿ ਪ੍ਰਾਕਸੀ `X-Forwarded-For` ਸਹੀ ਰੱਖਦੀ ਹੈ:

```nginx
set_real_ip_from 192.0.2.10;
real_ip_header X-Forwarded-For;
real_ip_recursive on;
limit_req_zone $binary_remote_addr zone=per_client:10m rate=5r/s;

server {
    listen 80;
    location /api/ {
        limit_req zone=per_client burst=10;
        limit_req_status 429;
        proxy_pass http://127.0.0.1:3000;
    }
}
```

`set_real_ip_from` ਪਛਾਣਦਾ ਹੈ ਕਿ ਪਤਾ ਕੌਣ ਦੇ ਸਕਦਾ ਹੈ। ਰਿਕਰਸਿਵ ਪ੍ਰਕਿਰਿਆ ਭੇਜੀ ਲੜੀ ਦਾ ਆਖ਼ਰੀ ਗੈਰਭਰੋਸੇਯੋਗ ਪਤਾ ਚੁਣਦੀ ਹੈ। ਫਿਰ `limit_req_zone` ਬਹਾਲ ਕਲਾਇੰਟ IP ਨਾਲ ਗਿਣਦਾ ਹੈ; `limit_req` ਰੂਟ ਉੱਤੇ ਸੀਮਾ ਲਾਉਂਦਾ ਹੈ। ਇੱਥੇ burst ਦੇ ਅੰਦਰ ਵਾਧੂ ਬੇਨਤੀਆਂ ਦੇਰੀ ਨਾਲ ਚੱਲ ਸਕਦੀਆਂ ਹਨ, ਜਦੋਂ ਕਿ ਇਸ ਤੋਂ ਬਾਹਰ ਵਾਲੀਆਂ ਰੱਦ ਹੁੰਦੀਆਂ ਹਨ। ਦਰਾਂ ਉਦਾਹਰਨਾਂ ਹਨ, ਉਤਪਾਦਨ ਡਿਫਾਲਟ ਨਹੀਂ।

## ਲਾਗੂ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਪੁਸ਼ਟੀ ਕਰੋ

ਮੁਲਾਂਕਣ ਦੌਰਾਨ `limit_req_dry_run on;` ਵਰਤੋ। ਦੋ ਕਲਾਇੰਟ ਪਤੇ ਅਤੇ ਗੈਰਭਰੋਸੇਯੋਗ ਸਰੋਤ ਤੋਂ ਨਕਲੀ ਹੈਡਰ ਬਣਾਉਣ ਦੀਆਂ ਕੋਸ਼ਿਸ਼ਾਂ ਜਾਂਚੋ। ਸਿੱਧੀ ਓਰਿਜਨ ਪਹੁੰਚ ਸੀਮਿਤ ਕਰੋ ਅਤੇ ਭਰੋਸੇਯੋਗ ਰੇਂਜਾਂ ਸੰਭਾਲੋ। ਸਾਂਝੇ ਦਫ਼ਤਰੀ IP ਹਾਲੇ ਵੀ ਅਸਲ ਲੋਕਾਂ ਨੂੰ ਇਕੱਠਾ ਗਿਣਦੇ ਹਨ, ਇਸ ਲਈ ਲੋੜ ਪੈਣ ਉੱਤੇ IP ਸੀਮਾਵਾਂ ਨਾਲ ਪ੍ਰਮਾਣਿਤ ਖਾਤਾ ਸੀਮਾਵਾਂ ਜੋੜੋ।

[ਅਧਿਕਾਰਤ ਦਸਤਾਵੇਜ਼](https://nginx.org/en/docs/http/ngx_http_realip_module.html).

ਗਲਤ ਲੋਕ ਬਲਾਕ ਕਿਉਂ ਹੁੰਦੇ ਹਨ?

ਪ੍ਰਾਕਸੀ ਉੱਤੇ ਭਰੋਸਾ ਕਰੋ, ਕਿਸੇ ਵੀ ਆਉਂਦੇ ਹੈਡਰ ਉੱਤੇ ਨਹੀਂ

ਲਾਗੂ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਪੁਸ਼ਟੀ ਕਰੋ

ਸੰਬੰਧਿਤ ਸਵਾਲ