Как доверять IP клиентов и ограничивать запросы за CDN?

Question

IT Interview Practice · Accepted Answer

Восстановите клиентский адрес из доверенного прокси до ограничения запросов по IP. Иначе множество посетителей может считаться одним сервером CDN.

## Почему блокируются не те люди

Alice и Bob проходят через один адрес CDN. Без обработки реального IP Nginx видит этот адрес для обоих. Трафик Alice может израсходовать квоту, которую Bob якобы разделяет.

## Доверяйте прокси, а не любому входящему заголовку

Эта примерная конфигурация относится к `http`. Адрес для документации нужно заменить реальными диапазонами доверенных прокси; предполагается, что прокси правильно поддерживает `X-Forwarded-For`:

```nginx
set_real_ip_from 192.0.2.10;
real_ip_header X-Forwarded-For;
real_ip_recursive on;
limit_req_zone $binary_remote_addr zone=per_client:10m rate=5r/s;

server {
    listen 80;
    location /api/ {
        limit_req zone=per_client burst=10;
        limit_req_status 429;
        proxy_pass http://127.0.0.1:3000;
    }
}
```

`set_real_ip_from` определяет, кто вправе предоставлять адрес. Рекурсивная обработка выбирает последний недоверенный адрес в переданной цепочке. Затем `limit_req_zone` считает по восстановленному IP, а `limit_req` применяет ограничение к маршруту. Здесь лишние запросы в пределах burst могут задерживаться, а сверх него отклоняются. Скорости приведены для примера, это не значения production по умолчанию.

## Проверьте перед включением

На этапе оценки используйте `limit_req_dry_run on;`. Проверьте два клиентских адреса и попытки подделать заголовки из недоверенного источника. Ограничьте прямой доступ к origin и поддерживайте доверенные диапазоны. Общие офисные IP всё равно объединяют реальных людей, поэтому при необходимости дополняйте IP-лимиты ограничениями аутентифицированных аккаунтов.

[Официальная документация](https://nginx.org/en/docs/http/ngx_http_realip_module.html).

Почему блокируются не те люди

Доверяйте прокси, а не любому входящему заголовку

Проверьте перед включением

Похожие вопросы