เชื่อถือ IP ไคลเอนต์และจำกัดอัตราหลัง CDN อย่างไร?

Question

IT Interview Practice · Accepted Answer

คืนค่าที่อยู่ไคลเอนต์จาก proxy ที่เชื่อถือก่อนจำกัดคำขอตาม IP มิฉะนั้นผู้เข้าชมหลายคนอาจถูกนับเป็นเซิร์ฟเวอร์ CDN เดียว

## ทำไมจึงบล็อกผิดคน

Alice และ Bob ผ่านที่อยู่ CDN เดียวกัน หากไม่จัดการ real IP Nginx จะเห็นที่อยู่นั้นสำหรับทั้งคู่ ทราฟฟิกของ Alice อาจใช้โควตาที่ดูเหมือน Bob แชร์อยู่จนหมด

## เชื่อ proxy ไม่ใช่ทุกส่วนหัวที่เข้ามา

การตั้งค่าตัวอย่างนี้อยู่ใน `http` ต้องแทนที่อยู่สำหรับเอกสารด้วยช่วงที่อยู่ proxy ที่เชื่อถือจริง โดยสมมติว่า proxy ดูแล `X-Forwarded-For` ถูกต้อง:

```nginx
set_real_ip_from 192.0.2.10;
real_ip_header X-Forwarded-For;
real_ip_recursive on;
limit_req_zone $binary_remote_addr zone=per_client:10m rate=5r/s;

server {
    listen 80;
    location /api/ {
        limit_req zone=per_client burst=10;
        limit_req_status 429;
        proxy_pass http://127.0.0.1:3000;
    }
}
```

`set_real_ip_from` ระบุว่าใครส่งที่อยู่ได้ การประมวลผลแบบ recursive เลือกที่อยู่สุดท้ายที่ไม่เชื่อถือในสายที่ส่งต่อ จากนั้น `limit_req_zone` นับด้วย IP ไคลเอนต์ที่คืนค่า และ `limit_req` ใช้ขีดจำกัดกับ route คำขอเกินภายใน burst อาจถูกหน่วง ส่วนที่เกินกว่านั้นถูกปฏิเสธ อัตราเหล่านี้เป็นตัวอย่าง ไม่ใช่ค่าเริ่มต้นระบบจริง

## ตรวจสอบก่อนบังคับใช้

ใช้ `limit_req_dry_run on;` ระหว่างประเมิน ตรวจที่อยู่ไคลเอนต์สองแห่งและการพยายามปลอมส่วนหัวจากแหล่งที่ไม่เชื่อถือ จำกัดการเข้าถึง origin โดยตรงและดูแลช่วงที่อยู่ที่เชื่อถือ IP สำนักงานที่ใช้ร่วมกันยังรวมคนจริงหลายคน จึงเสริมข้อจำกัด IP ด้วยขีดจำกัดบัญชีที่ยืนยันตัวตนเมื่อจำเป็น

[เอกสารทางการ](https://nginx.org/en/docs/http/ngx_http_realip_module.html).

ทำไมจึงบล็อกผิดคน

เชื่อ proxy ไม่ใช่ทุกส่วนหัวที่เข้ามา

ตรวจสอบก่อนบังคับใช้

คำถามที่เกี่ยวข้อง