Kako zaupati IP-ju odjemalca in omejiti zahteve za CDN-jem?

Question

IT Interview Practice · Accepted Answer

Pred omejevanjem zahtev po IP-ju obnovite naslov odjemalca iz zaupanja vrednega proxyja. Sicer se lahko številni obiskovalci štejejo kot en strežnik CDN.

## Zakaj so blokirani napačni ljudje?

Alice in Bob oba prihajata prek istega naslova CDN. Brez obravnave pravega IP-ja Nginx za oba vidi ta naslov. Alicin promet lahko porabi kvoto, ki jo Bob navidezno deli.

## Zaupajte proxyju, ne vsaki vhodni glavi

Ta ponazoritvena konfiguracija sodi v `http`. Dokumentacijski naslov zamenjajte z dejanskimi zaupanja vrednimi obsegi proxyjev; primer predpostavlja pravilno vzdrževanje `X-Forwarded-For`:

```nginx
set_real_ip_from 192.0.2.10;
real_ip_header X-Forwarded-For;
real_ip_recursive on;
limit_req_zone $binary_remote_addr zone=per_client:10m rate=5r/s;

server {
    listen 80;
    location /api/ {
        limit_req zone=per_client burst=10;
        limit_req_status 429;
        proxy_pass http://127.0.0.1:3000;
    }
}
```

`set_real_ip_from` določa, kdo sme podati naslov. Rekurzivna obravnava izbere zadnji naslov v verigi, ki ni zaupanja vreden. `limit_req_zone` nato šteje po obnovljenem IP-ju odjemalca; `limit_req` uporabi omejitev na poti. Presežne zahteve znotraj burst se lahko zakasnijo, nad njim pa zavrnejo. Hitrosti so primeri, ne produkcijske privzete vrednosti.

## Pred uveljavitvijo preverite

Med ocenjevanjem uporabite `limit_req_dry_run on;`. Preverite dva naslova odjemalcev in poskuse ponarejanja glav iz nezaupanja vrednega vira. Omejite neposreden dostop do izvornega strežnika in vzdržujte zaupanja vredne obsege. Skupni pisarniški IP še vedno združuje prave ljudi, zato po potrebi dodajte omejitve za avtenticirane račune.

[Uradna dokumentacija](https://nginx.org/en/docs/http/ngx_http_realip_module.html).

Zakaj so blokirani napačni ljudje?

Zaupajte proxyju, ne vsaki vhodni glavi

Pred uveljavitvijo preverite

Povezana vprašanja