nginx ограничение скорости с заголовком X-Forwarded-For

Я изучаю лимитирование запросов с использованием модуля nginx HttpLimitReqModule. Однако все запросы приходят с одного и того же IP (балансировщик нагрузки), а реальный IP-адрес находится в заголовках.

Существует ли способ задать лимит запросов в nginx на основе IP из заголовка X-Forwarded-For, а не IP источника?

Да, типичная строка конфигурации для лимитирования запросов выглядит следующим образом:

 limit_req_zone  $binary_remote_addr zone=zone:16m rate=1r/s;

Где $binary_remote_addr является уникальным ключом для ограничителя. Вам следует попробовать изменить его на переменную $http_x_forwarded_for, которая получает значение заголовка X-Forwarded-For. Хотя это увеличит потребление памяти, так как $binary_remote_addr использует сжатый бинарный формат для хранения IP-адресов, а $http_x_forwarded_for — нет.

 limit_req_zone  $http_x_forwarded_for zone=zone:16m rate=1r/s;

Директива limit_req_zone определяет переменную, которая будет использоваться в качестве ключа для группировки запросов.
Обычно используется $binary_remote_addr, а не $remote_addr, потому что это меньше по размеру и экономит место.

Возможно, вы также захотите использовать ngx_http_realip_module.
Это изменит переменные удаленного адреса на адрес, предоставленный в пользовательском заголовке, и также упростит ведение журналов и использование других переменных.

Пример и демонстрация настройки real_ip, используя заголовок.

• Мы указываем заголовок, из которого брать IP

• IP клиента будет перезаписан этим значением

• Тогда мы можем продолжать использовать $binary_remote_addr

  • не всегда используется x-forwarded-for.

• Этот метод также может помочь с журналами (формат по умолчанию будет работать как $remote_addr, теперь это установлено на перезаписанное значение)

• Модуль Nginx для использования: ngx_http_realip_module
  Пример настройки с Cloudflare (более одного источника сервера или диапазона IP)

# Ipv4
set_real_ip_from 173.245.48.0/20;
set_real_ip_from 103.21.244.0/22;
set_real_ip_from 103.22.200.0/22;
set_real_ip_from 103.31.4.0/22;
set_real_ip_from 141.101.64.0/18;
set_real_ip_from 108.162.192.0/18;
set_real_ip_from 190.93.240.0/20;
set_real_ip_from 188.114.96.0/20;
set_real_ip_from 197.234.240.0/22;
set_real_ip_from 198.41.128.0/17;
set_real_ip_from 162.158.0.0/15;
set_real_ip_from 104.16.0.0/13;
set_real_ip_from 104.24.0.0/14;
set_real_ip_from 172.64.0.0/13;
set_real_ip_from 131.0.72.0/22;

# Ipv6
set_real_ip_from 2400:cb00::/32;
set_real_ip_from 2606:4700::/32;
set_real_ip_from 2803:f800::/32;
set_real_ip_from 2405:b500::/32;
set_real_ip_from 2405:8100::/32;
set_real_ip_from 2a06:98c0::/29;
set_real_ip_from 2c0f:f248::/32;

real_ip_header CF-Connecting-IP;

• вы можете сохранить это в файл, например: cloudflare_ip.conf и добавить его в conf.d

Вы можете видеть использование

• set_real_ip_from

  • только запросы, приходящие с этих IP, будут подвержены перезаписи

• real_ip_header

• Заголовок, содержащий IP клиента, подключающегося через Cloudflare, это CF-Connecting-IP

• Руководство Cloudflare руководство

А для лимита запросов

limit_req_zone $binary_remote_addr zone=limit_ip_10rs:10m rate=10r/s;

• Мы продолжаем использовать $binary_remote_addr

В данном случае лучше использовать модуль realip:

limit_req_zone $binary_remote_addr zone=one:10m rate=12r/m;

server {
    real_ip_header     X-Forwarded-For;
    # docker (за исключением, судя по всему, docker swarm)
    set_real_ip_from   172.16.0.0/12;
    set_real_ip_from   192.168.0.0/16;
    # cloudflare (https://www.cloudflare.com/ips-v4)
    set_real_ip_from   173.245.48.0/20;
    set_real_ip_from   103.21.244.0/22;
    set_real_ip_from   103.22.200.0/22;
    set_real_ip_from   103.31.4.0/22;
    set_real_ip_from   141.101.64.0/18;
    set_real_ip_from   108.162.192.0/18;
    set_real_ip_from   190.93.240.0/20;
    set_real_ip_from   188.114.96.0/20;
    set_real_ip_from   197.234.240.0/22;
    set_real_ip_from   198.41.128.0/17;
    set_real_ip_from   162.158.0.0/15;
    set_real_ip_from   104.16.0.0/13;
    set_real_ip_from   104.24.0.0/14;
    set_real_ip_from   172.64.0.0/13;
    set_real_ip_from   131.0.72.0/22;
    real_ip_recursive  on;

    location / {
        limit_req zone=one burst=5;
        proxy_pass http://backend;
        # proxy_set_header  X-Forwarded-For  $proxy_add_x_forwarded_for;  # nginx < 1.9.7, он добавит переопределенный $remote_addr в X-Forwarded-For
        proxy_set_header  X-Forwarded-For  "$http_x_forwarded_for, $realip_remote_addr";  # nginx >= 1.9.7
    }
}

Вы можете найти подтверждение концепции здесь.

Проблема $proxy_add_x_forwarded_for. Разница между real_ip_recursive = on и real_ip_recursive = off.