CDN பின்னால் client IP ஐ நம்பி rate limit செய்வது எப்படி?

Question

IT Interview Practice · Accepted Answer

IP அடிப்படையில் கோரிக்கைகளை வரம்பிடுமுன் நம்பகமான proxy யிலிருந்து client முகவரியை மீட்டமைக்கவும். இல்லாவிட்டால் பல பயனர்கள் ஒரே CDN server ஆகக் கணக்கிடப்படலாம்.

## தவறான பயனர்கள் ஏன் தடுக்கப்படுகிறார்கள்?

Alice மற்றும் Bob ஒரே CDN முகவரி வழியாக வருகிறார்கள். Real-IP கையாளுதல் இல்லாவிட்டால் இருவருக்கும் அந்த CDN முகவரியையே Nginx பார்க்கிறது. Bob பகிர்வதாகத் தோன்றும் quota வை Alice இன் traffic பயன்படுத்திவிடலாம்.

## எந்த header ஐயும் அல்ல, proxy யை நம்புங்கள்

இந்த விளக்க அமைப்பு `http` உள்ளே வர வேண்டும். ஆவண உதாரண முகவரிக்குப் பதிலாக உண்மையான நம்பக proxy range களை இடுங்கள்; proxy `X-Forwarded-For` ஐச் சரியாகப் பராமரிக்கிறது என்று எடுத்துக்காட்டு கருதுகிறது:

```nginx
set_real_ip_from 192.0.2.10;
real_ip_header X-Forwarded-For;
real_ip_recursive on;
limit_req_zone $binary_remote_addr zone=per_client:10m rate=5r/s;

server {
    listen 80;
    location /api/ {
        limit_req zone=per_client burst=10;
        limit_req_status 429;
        proxy_pass http://127.0.0.1:3000;
    }
}
```

`set_real_ip_from` யார் முகவரியை வழங்கலாம் என்பதைக் குறிக்கிறது. Recursive processing, forwarded chain இல் கடைசியாக உள்ள நம்பப்படாத முகவரியைத் தேர்ந்தெடுக்கிறது. பிறகு `limit_req_zone` மீட்டமைத்த client IP அடிப்படையில் கணக்கிடுகிறது; `limit_req` route க்கு வரம்பைப் பயன்படுத்துகிறது. இங்கு burst எல்லைக்குள் உள்ள கூடுதல் கோரிக்கைகள் தாமதப்படுத்தப்படலாம்; அதற்கு மேற்பட்டவை மறுக்கப்படும். இந்த விகிதங்கள் எடுத்துக்காட்டுகள்; production default அல்ல.

## அமல்படுத்துமுன் உறுதிப்படுத்துங்கள்

மதிப்பீட்டின்போது `limit_req_dry_run on;` பயன்படுத்துங்கள். இரண்டு client முகவரிகளையும் நம்பப்படாத மூலத்திலிருந்து போலி header அனுப்பும் முயற்சிகளையும் சோதியுங்கள். Origin க்கு நேரடி அணுகலைக் கட்டுப்படுத்தி நம்பக range களைப் பராமரியுங்கள். பகிரப்பட்ட அலுவலக IP கள் இன்னும் பலரை ஒன்றாகக் கணக்கிடும்; தேவையான இடத்தில் authenticated account வரம்புகளையும் சேருங்கள்.

[அதிகாரப்பூர்வ ஆவணம்](https://nginx.org/en/docs/http/ngx_http_realip_module.html).

தவறான பயனர்கள் ஏன் தடுக்கப்படுகிறார்கள்?

எந்த header ஐயும் அல்ல, proxy யை நம்புங்கள்

அமல்படுத்துமுன் உறுதிப்படுத்துங்கள்

தொடர்புடைய கேள்விகள்