Como confiar nos IPs dos clientes e limitar requisições atrás de um CDN?

Question

IT Interview Practice · Accepted Answer

Restaure o endereço do cliente a partir de um proxy confiável antes de limitar requisições por IP. Caso contrário, muitos visitantes podem ser contados como um único servidor CDN.

## Por que as pessoas erradas são bloqueadas?

Alice e Bob passam pelo mesmo endereço CDN. Sem tratamento de IP real, o Nginx vê esse endereço para ambos. O tráfego de Alice pode consumir a cota que Bob aparentemente compartilha.

## Confie no proxy, não em qualquer cabeçalho recebido

Esta configuração ilustrativa fica dentro de `http`. O endereço reservado à documentação deve ser substituído pelas faixas reais de proxies confiáveis; o exemplo pressupõe que o proxy mantém `X-Forwarded-For` corretamente:

```nginx
set_real_ip_from 192.0.2.10;
real_ip_header X-Forwarded-For;
real_ip_recursive on;
limit_req_zone $binary_remote_addr zone=per_client:10m rate=5r/s;

server {
    listen 80;
    location /api/ {
        limit_req zone=per_client burst=10;
        limit_req_status 429;
        proxy_pass http://127.0.0.1:3000;
    }
}
```

`set_real_ip_from` identifica quem pode fornecer o endereço. O processamento recursivo seleciona o último endereço não confiável da cadeia encaminhada. `limit_req_zone` passa a contar usando o IP restaurado; `limit_req` aplica o limite à rota. Aqui, requisições excedentes dentro do burst podem ser atrasadas, enquanto as que o ultrapassam são rejeitadas. As taxas são exemplos, não padrões de produção.

## Verifique antes de impor o limite

Use `limit_req_dry_run on;` durante a avaliação. Verifique dois endereços de clientes e tentativas de forjar cabeçalhos a partir de fonte não confiável. Restrinja acesso direto à origem e mantenha as faixas confiáveis atualizadas. IPs compartilhados de escritórios ainda agrupam pessoas reais; complemente limites por IP com limites por conta autenticada quando necessário.

[Documentação oficial](https://nginx.org/en/docs/http/ngx_http_realip_module.html).

Por que as pessoas erradas são bloqueadas?

Confie no proxy, não em qualquer cabeçalho recebido

Verifique antes de impor o limite

Perguntas relacionadas