Cum validezi IP-urile clienților și limitezi cererile în spatele unui CDN?

Question

IT Interview Practice · Accepted Answer

Restabilește adresa clientului dintr-un proxy de încredere înainte să limitezi cererile după IP. Altfel, mulți vizitatori pot fi numărați ca un singur server CDN.

## De ce sunt blocați oamenii nepotriviți

Alice și Bob trec prin aceeași adresă CDN. Fără tratarea IP-ului real, Nginx vede acea adresă pentru amândoi. Traficul lui Alice poate consuma cota pe care Bob pare să o împartă.

## Ai încredere în proxy, nu în orice antet primit

Această configurație ilustrativă aparține blocului `http`. Adresa rezervată documentației trebuie înlocuită cu intervalele reale de proxy-uri de încredere; exemplul presupune că proxy-ul gestionează corect `X-Forwarded-For`:

```nginx
set_real_ip_from 192.0.2.10;
real_ip_header X-Forwarded-For;
real_ip_recursive on;
limit_req_zone $binary_remote_addr zone=per_client:10m rate=5r/s;

server {
    listen 80;
    location /api/ {
        limit_req zone=per_client burst=10;
        limit_req_status 429;
        proxy_pass http://127.0.0.1:3000;
    }
}
```

`set_real_ip_from` identifică cine poate furniza adresa. Procesarea recursivă selectează ultima adresă care nu este de încredere din lanțul transmis. `limit_req_zone` numără apoi folosind IP-ul restabilit; `limit_req` aplică limita rutei. Aici cererile excedentare din interiorul burstului pot fi întârziate, iar cele de dincolo de el sunt respinse. Ratele sunt exemple, nu valori implicite de producție.

## Verifică înainte de aplicare

Folosește `limit_req_dry_run on;` în evaluare. Verifică două adrese de client și tentative de falsificare a antetelor dintr-o sursă neautorizată. Restricționează accesul direct la origine și întreține intervalele de încredere. IP-urile comune ale birourilor grupează în continuare oameni reali; completează limitele IP cu limite pe cont autentificat unde este necesar.

[Documentație oficială](https://nginx.org/en/docs/http/ngx_http_realip_module.html).

De ce sunt blocați oamenii nepotriviți

Ai încredere în proxy, nu în orice antet primit

Verifică înainte de aplicare

Întrebări conexe