Unaamini IP za client na kuweka rate limit nyuma ya CDN vipi?

Question

IT Interview Practice · Accepted Answer

Rejesha anwani ya client kutoka proxy inayoaminika kabla ya kupunguza maombi kwa IP. Vinginevyo wageni wengi wanaweza kuhesabiwa kama server moja ya CDN.

## Kwa nini watu wasiohusika huzuiwa

Alice na Bob wote hupitia anwani ileile ya CDN. Bila real-IP handling, Nginx huona anwani hiyo kwa wote. Trafiki ya Alice inaweza kutumia quota ambayo Bob anaonekana kushiriki.

## Amini proxy, si kila header inayoingia

Usanidi huu wa mfano unawekwa ndani ya `http`. Anwani ya nyaraka tu lazima ibadilishwe kwa range halisi za proxy zinazoaminika; mfano unadhania proxy inatunza `X-Forwarded-For` kwa usahihi:

```nginx
set_real_ip_from 192.0.2.10;
real_ip_header X-Forwarded-For;
real_ip_recursive on;
limit_req_zone $binary_remote_addr zone=per_client:10m rate=5r/s;

server {
    listen 80;
    location /api/ {
        limit_req zone=per_client burst=10;
        limit_req_status 429;
        proxy_pass http://127.0.0.1:3000;
    }
}
```

`set_real_ip_from` hutambua anayeruhusiwa kutoa anwani. Uchakataji recursive huchagua anwani ya mwisho isiyoaminika katika mnyororo uliotumwa. `limit_req_zone` kisha huhesabu kwa IP iliyorejeshwa; `limit_req` hutumia kikomo kwenye route. Hapa maombi ya ziada ndani ya burst yanaweza kucheleweshwa, na yanayozidi hukataliwa. Viwango ni mifano, si default za production.

## Thibitisha kabla ya kutekeleza

Tumia `limit_req_dry_run on;` wakati wa tathmini. Kagua anwani mbili za client na majaribio ya kughushi header kutoka chanzo kisichoaminika. Zuia ufikiaji wa moja kwa moja wa origin na dumisha range zinazoaminika. IP za pamoja za ofisini bado hukusanya watu halisi pamoja, hivyo ongeza mipaka ya akaunti zilizothibitishwa inapohitajika.

[Nyaraka rasmi](https://nginx.org/en/docs/http/ngx_http_realip_module.html).

Kwa nini watu wasiohusika huzuiwa

Amini proxy, si kila header inayoingia

Thibitisha kabla ya kutekeleza

Maswali yanayohusiana