CDN کے پیچھے کلائنٹ IPs پر اعتماد اور درخواستوں کی شرح محدود کیسے کرتے ہیں؟

Question

IT Interview Practice · Accepted Answer

IP کے لحاظ سے درخواستیں محدود کرنے سے پہلے قابل اعتماد پراکسی سے کلائنٹ کا ایڈریس بحال کریں۔ ورنہ کئی وزیٹرز ایک CDN سرور کے طور پر شمار ہو سکتے ہیں۔

## غلط لوگ کیوں بلاک ہوتے ہیں؟

Alice اور Bob دونوں ایک ہی CDN ایڈریس سے گزرتے ہیں۔ اصل IP سنبھالے بغیر Nginx دونوں کے لیے وہی CDN ایڈریس دیکھتا ہے۔ Alice کی ٹریفک وہ کوٹہ استعمال کر سکتی ہے جو بظاہر Bob کے ساتھ مشترک ہے۔

## پراکسی پر اعتماد کریں، ہر آنے والے ہیڈر پر نہیں

یہ مثالی کنفیگریشن `http` کے اندر آتی ہے۔ صرف دستاویزات کے لیے دیا گیا ایڈریس اصل قابل اعتماد پراکسی رینجز سے بدلنا ضروری ہے؛ مثال فرض کرتی ہے کہ پراکسی `X-Forwarded-For` درست رکھتی ہے:

```nginx
set_real_ip_from 192.0.2.10;
real_ip_header X-Forwarded-For;
real_ip_recursive on;
limit_req_zone $binary_remote_addr zone=per_client:10m rate=5r/s;

server {
    listen 80;
    location /api/ {
        limit_req zone=per_client burst=10;
        limit_req_status 429;
        proxy_pass http://127.0.0.1:3000;
    }
}
```

`set_real_ip_from` طے کرتا ہے کہ ایڈریس کون فراہم کر سکتا ہے۔ recursive پراسیسنگ آگے بھیجی گئی زنجیر کا آخری غیر قابل اعتماد ایڈریس منتخب کرتی ہے۔ پھر `limit_req_zone` بحال شدہ کلائنٹ IP سے گنتی کرتا ہے؛ `limit_req` روٹ پر حد نافذ کرتا ہے۔ یہاں burst کے اندر اضافی درخواستیں مؤخر ہو سکتی ہیں، جبکہ اس سے آگے کی درخواستیں مسترد ہوتی ہیں۔ شرحیں مثالیں ہیں، پروڈکشن کی ڈیفالٹ اقدار نہیں۔

## نافذ کرنے سے پہلے تصدیق کریں

جائزے کے دوران `limit_req_dry_run on;` استعمال کریں۔ دو کلائنٹ ایڈریسز اور غیر قابل اعتماد ذریعے سے جعلی ہیڈرز کی کوششیں جانچیں۔ اصل سرور تک براہ راست رسائی محدود کریں اور قابل اعتماد رینجز برقرار رکھیں۔ دفتر کے مشترکہ IPs اب بھی حقیقی لوگوں کو ایک گروہ میں شمار کرتے ہیں، اس لیے جہاں ضرورت ہو IP حدود کے ساتھ تصدیق شدہ اکاؤنٹس کی حدود بھی لگائیں۔

[سرکاری دستاویزات](https://nginx.org/en/docs/http/ngx_http_realip_module.html).

غلط لوگ کیوں بلاک ہوتے ہیں؟

پراکسی پر اعتماد کریں، ہر آنے والے ہیڈر پر نہیں

نافذ کرنے سے پہلے تصدیق کریں

متعلقہ سوالات