Hur litar du på klient-IP och begränsar trafik bakom ett CDN?

Question

IT Interview Practice · Accepted Answer

Återställ klientadressen från en betrodd proxy innan du begränsar förfrågningar per IP. Annars kan många besökare räknas som en enda CDN-server.

## Varför fel personer blockeras

Alice och Bob passerar samma CDN-adress. Utan hantering av verkligt IP ser Nginx den adressen för båda. Alices trafik kan förbruka kvoten som Bob verkar dela.

## Lita på proxyn, inte på valfri inkommande header

Exempelkonfigurationen hör hemma i `http`. Adressen som endast används i dokumentation måste ersättas med verkliga betrodda proxyintervall; exemplet antar att proxyn hanterar `X-Forwarded-For` korrekt:

```nginx
set_real_ip_from 192.0.2.10;
real_ip_header X-Forwarded-For;
real_ip_recursive on;
limit_req_zone $binary_remote_addr zone=per_client:10m rate=5r/s;

server {
    listen 80;
    location /api/ {
        limit_req zone=per_client burst=10;
        limit_req_status 429;
        proxy_pass http://127.0.0.1:3000;
    }
}
```

`set_real_ip_from` anger vem som får lämna adressen. Rekursiv bearbetning väljer den sista icke betrodda adressen i den vidarebefordrade kedjan. `limit_req_zone` räknar sedan med det återställda klient-IP:t; `limit_req` tillämpar gränsen på rutten. Överskjutande förfrågningar inom burst kan här fördröjas, medan de utanför avvisas. Hastigheterna är exempel, inte produktionsstandardvärden.

## Verifiera innan du tillämpar begränsningen

Använd `limit_req_dry_run on;` under utvärderingen. Kontrollera två klientadresser och försök att förfalska headers från en obetrodd källa. Begränsa direkt åtkomst till origin och håll betrodda intervall uppdaterade. Delade kontors-IP:n grupperar fortfarande riktiga människor, så komplettera IP-gränser med gränser för autentiserade konton där det behövs.

[Officiell dokumentation](https://nginx.org/en/docs/http/ngx_http_realip_module.html).

Varför fel personer blockeras

Lita på proxyn, inte på valfri inkommande header

Verifiera innan du tillämpar begränsningen

Relaterade frågor