Jak ufać adresom IP klientów i ograniczać ruch za CDN?

Question

IT Interview Practice · Accepted Answer

Przywróć adres klienta z zaufanego proxy, zanim ograniczysz żądania według IP. Inaczej wielu odwiedzających może być liczonych jako jeden serwer CDN.

## Dlaczego blokowani są niewłaściwi użytkownicy?

Alice i Bob przechodzą przez ten sam adres CDN. Bez obsługi prawdziwego IP Nginx widzi dla obojga ten adres. Ruch Alice może zużyć limit, który Bob pozornie współdzieli.

## Ufaj proxy, nie dowolnemu nagłówkowi

Ta przykładowa konfiguracja należy do `http`. Adres dokumentacyjny zastąp rzeczywistymi zaufanymi zakresami proxy; zakładamy poprawną obsługę `X-Forwarded-For` przez proxy:

```nginx
set_real_ip_from 192.0.2.10;
real_ip_header X-Forwarded-For;
real_ip_recursive on;
limit_req_zone $binary_remote_addr zone=per_client:10m rate=5r/s;

server {
    listen 80;
    location /api/ {
        limit_req zone=per_client burst=10;
        limit_req_status 429;
        proxy_pass http://127.0.0.1:3000;
    }
}
```

`set_real_ip_from` określa, kto może podać adres. Przetwarzanie rekursywne wybiera ostatni niezaufany adres z łańcucha przekazań. `limit_req_zone` liczy następnie według przywróconego IP klienta, a `limit_req` stosuje ograniczenie do trasy. Nadmiarowe żądania w ramach burst mogą być opóźnione, a ponad nim odrzucone. Podane szybkości są przykładami, nie wartościami domyślnymi produkcji.

## Zweryfikuj przed egzekwowaniem

Podczas oceny użyj `limit_req_dry_run on;`. Sprawdź dwa adresy klientów i próby fałszowania nagłówków z niezaufanego źródła. Ogranicz bezpośredni dostęp do originu i utrzymuj zaufane zakresy. Wspólny biurowy IP nadal grupuje prawdziwe osoby, więc w razie potrzeby dodaj limity uwierzytelnionych kont.

[Oficjalna dokumentacja](https://nginx.org/en/docs/http/ngx_http_realip_module.html).

Dlaczego blokowani są niewłaściwi użytkownicy?

Ufaj proxy, nie dowolnemu nagłówkowi

Zweryfikuj przed egzekwowaniem

Powiązane pytania