Giới hạn IP trong Apache và Nginx: Phạm vi Kiểm tra và Hoàn nguyên

Giới hạn IP có thể làm giảm mẫu yêu cầu lạm dụng đã ghi nhận, nhưng cũng có thể từ chối người dùng hợp pháp. Chỉ áp dụng cho các hệ thống bạn quản trị, xác minh địa chỉ máy khách đã ghi nhận và ưu tiên phạm vi hữu ích hẹp nhất.

Xác minh địa chỉ và ngữ cảnh máy chủ

Nếu có proxy hoặc CDN đứng trước máy chủ gốc, trước tiên hãy xác nhận việc xử lý IP máy khách đáng tin cậy. Nếu không, một quy tắc có thể nhắm mục tiêu vào proxy được chia sẻ bởi nhiều người dùng. Xác định xem cấu hình hoạt động là Apache, Nginx hay nền tảng được quản lý; cú pháp và vị trí cấu hình được phép của chúng khác nhau.

Chuẩn bị một quy tắc nhỏ, dễ đánh giá

Lưu tài liệu về điểm cuối bị ảnh hưởng, bằng chứng, địa chỉ hoặc dải địa chỉ, ngày đánh giá và việc hoàn nguyên. Không nhập danh sách mạng chưa được xem xét chỉ vì các địa chỉ của chúng có nhãn VPN hoặc trung tâm dữ liệu. Cân nhắc việc giới hạn tỷ lệ hoặc thử thách khi hành vi, chứ không phải danh tính mạng, mới là vấn đề.

Ví dụ thực tế: các yêu cầu lặp lại đối với một biểu mẫu

Giả sử một điểm cuối nhận các lượt lặp lại lạm dụng trong khi việc duyệt web thông thường vẫn bình thường. Kiểm tra giới hạn theo phạm vi điểm cuối trong một môi trường được kiểm soát và duy trì một đường dẫn quản trị được ủy quyền riêng. Xác thực cú pháp cấu hình bằng tính năng kiểm tra được hỗ trợ của máy chủ trước khi tải lại. Kiểm tra một lần gửi hợp lệ và một yêu cầu bị từ chối sau đó. Ví dụ này là một quy trình kiểm soát thay đổi, không phải là lệnh để chạy trên một máy chủ sản xuất chưa quen thuộc.

Kiểm tra hậu quả vận hành

Giám sát các yêu cầu thất bại, khách hàng tiềm năng được chấp nhận và báo cáo của khách hàng. Số lượng yêu cầu giảm không chứng minh được mọi lượt truy cập bị từ chối đều có ý đồ độc hại. Duy trì thời hạn hết hạn hoặc quy trình đánh giá vì các địa chỉ có thể được gán lại. Việc xuất danh sách chặn là một đề xuất cấu hình; nó không tự động được triển khai chỉ bằng cách xuất tệp.

Tránh xuất bản bằng chứng IP người dùng thô. Trình kiểm tra IP của SearchBastion cung cấp ngữ cảnh mà không chứng minh ý định. Tham khảo tài liệu ủy quyền chính thức của Apache hoặc tài liệu mô-đun truy cập Nginx cho phiên bản máy chủ đang hoạt động.