Nginx sau CDN lấy IP thật và giới hạn request thế nào?

Question

IT Interview Practice · Accepted Answer

Khôi phục địa chỉ client từ proxy đáng tin trước khi giới hạn request theo IP. Nếu không, nhiều người truy cập có thể bị đếm thành một máy CDN.

## Vì sao chặn nhầm người?

Alice và Bob cùng đi qua một địa chỉ CDN. Nếu chưa xử lý real IP, Nginx thấy địa chỉ CDN cho cả hai. Lưu lượng của Alice có thể dùng hết hạn mức mà Bob bị xem là đang dùng chung.

## Tin proxy đã biết, không tin mọi header gửi đến

Cấu hình minh họa này đặt trong `http`. Địa chỉ dành cho tài liệu phải được thay bằng dải proxy thật đáng tin; ví dụ giả định proxy quản lý `X-Forwarded-For` đúng cách:

```nginx
set_real_ip_from 192.0.2.10;
real_ip_header X-Forwarded-For;
real_ip_recursive on;
limit_req_zone $binary_remote_addr zone=per_client:10m rate=5r/s;

server {
    listen 80;
    location /api/ {
        limit_req zone=per_client burst=10;
        limit_req_status 429;
        proxy_pass http://127.0.0.1:3000;
    }
}
```

`set_real_ip_from` xác định ai được cung cấp địa chỉ. Xử lý đệ quy chọn địa chỉ cuối cùng không thuộc nhóm đáng tin trong chuỗi chuyển tiếp. `limit_req_zone` sau đó đếm theo IP client đã khôi phục; `limit_req` áp dụng giới hạn lên route. Ở đây request vượt tốc độ nhưng còn trong burst có thể bị giữ chờ, còn vượt burst thì bị từ chối. Các mức này là ví dụ, không phải mặc định production.

## Kiểm tra trước khi chặn thật

Dùng `limit_req_dry_run on;` khi đánh giá. Kiểm tra hai địa chỉ client và thử giả mạo header từ nguồn không đáng tin. Hạn chế truy cập trực tiếp origin và cập nhật dải IP đáng tin. IP văn phòng dùng chung vẫn gộp nhiều người thật, nên bổ sung giới hạn tài khoản đã xác thực khi cần.

[Tài liệu chính thức](https://nginx.org/en/docs/http/ngx_http_realip_module.html).

Vì sao chặn nhầm người?

Tin proxy đã biết, không tin mọi header gửi đến

Kiểm tra trước khi chặn thật

Câu hỏi liên quan