Si u besoni IP-ve të klientëve dhe kufizoni ritmin pas një CDN-je?

Question

IT Interview Practice · Accepted Answer

Rivendosni adresën e klientit nga një proxy i besuar para kufizimit të kërkesave sipas IP-së. Përndryshe, shumë vizitorë mund të numërohen si një server i vetëm CDN.

## Pse bllokohen njerëzit e gabuar

Alice dhe Bob kalojnë nëpër të njëjtën adresë CDN. Pa trajtimin e IP-së reale, Nginx sheh atë adresë për të dy. Trafiku i Alice mund të konsumojë kuotën që Bob duket se ndan.

## Besojini proxy-t, jo çdo header-i hyrës

Ky konfigurim ilustrues vendoset në `http`. Adresa vetëm për dokumentacion duhet zëvendësuar me intervalet reale të proxy-ve të besuara; shembulli supozon se proxy menaxhon saktë `X-Forwarded-For`:

```nginx
set_real_ip_from 192.0.2.10;
real_ip_header X-Forwarded-For;
real_ip_recursive on;
limit_req_zone $binary_remote_addr zone=per_client:10m rate=5r/s;

server {
    listen 80;
    location /api/ {
        limit_req zone=per_client burst=10;
        limit_req_status 429;
        proxy_pass http://127.0.0.1:3000;
    }
}
```

`set_real_ip_from` përcakton kush mund të japë adresën. Përpunimi rekursiv zgjedh adresën e fundit jo të besuar në zinxhirin e përcjellë. `limit_req_zone` numëron me IP-në e rivendosur; `limit_req` zbaton kufirin në rrugë. Këtu kërkesat shtesë brenda burst mund të vonohen, ndërsa ato përtej tij refuzohen. Ritmet janë shembuj, jo standarde prodhimi.

## Verifikoni para zbatimit

Përdorni `limit_req_dry_run on;` gjatë vlerësimit. Kontrolloni dy adresa klientësh dhe përpjekje falsifikimi header-ash nga burim jo i besuar. Kufizoni hyrjen e drejtpërdrejtë në origin dhe mirëmbani intervalet e besuara. IP-të e përbashkëta të zyrës ende grupojnë njerëz realë, ndaj plotësoni kufijtë IP me kufij llogarish të autentikuara kur nevojitet.

[Dokumentacioni zyrtar](https://nginx.org/en/docs/http/ngx_http_realip_module.html).

Pse bllokohen njerëzit e gabuar

Besojini proxy-t, jo çdo header-i hyrës

Verifikoni para zbatimit

Pyetje të ngjashme