CDN arkasında istemci IP'sine nasıl güvenip hız sınırı uygularsınız?

Question

IT Interview Practice · Accepted Answer

IP'ye göre istek sınırlamadan önce istemci adresini güvenilir proxy üzerinden geri yükleyin. Aksi halde birçok ziyaretçi tek CDN sunucusu gibi sayılabilir.

## Neden yanlış kişiler engellenir?

Alice ve Bob aynı CDN adresinden geçer. Gerçek IP işlenmezse Nginx ikisi için de bu adresi görür. Alice'in trafiği, Bob'un paylaşıyor göründüğü kotayı tüketebilir.

## Her gelen başlığa değil, proxy'ye güvenin

Bu örnek yapılandırma `http` içine aittir. Yalnızca belge amaçlı adres gerçek güvenilir proxy aralıklarıyla değiştirilmelidir; örnek proxy'nin `X-Forwarded-For` değerini doğru tuttuğunu varsayar:

```nginx
set_real_ip_from 192.0.2.10;
real_ip_header X-Forwarded-For;
real_ip_recursive on;
limit_req_zone $binary_remote_addr zone=per_client:10m rate=5r/s;

server {
    listen 80;
    location /api/ {
        limit_req zone=per_client burst=10;
        limit_req_status 429;
        proxy_pass http://127.0.0.1:3000;
    }
}
```

`set_real_ip_from` adresi kimin sağlayabileceğini belirler. Özyinelemeli işlem, iletilen zincirdeki son güvenilmeyen adresi seçer. `limit_req_zone` geri yüklenen istemci IP'siyle sayar; `limit_req` rotaya sınırı uygular. Burada burst içindeki fazla istekler geciktirilebilir, onu aşanlar reddedilir. Oranlar örnektir, üretim varsayılanı değildir.

## Uygulamadan önce doğrulayın

Değerlendirme sırasında `limit_req_dry_run on;` kullanın. İki istemci adresini ve güvenilmeyen kaynaktan sahte başlık girişimlerini kontrol edin. Origin'e doğrudan erişimi kısıtlayın ve güvenilir aralıkları güncel tutun. Ortak ofis IP'leri gerçek kişileri hâlâ gruplayacağından gerektiğinde IP sınırlarını doğrulanmış hesap sınırlarıyla destekleyin.

[Resmî belgeler](https://nginx.org/en/docs/http/ngx_http_realip_module.html).

Neden yanlış kişiler engellenir?

Her gelen başlığa değil, proxy'ye güvenin

Uygulamadan önce doğrulayın

İlgili sorular