安全地限制 API 的速率，防止 IP 地址欺骗

Question

我正在使用 PHP、MySQL 和 Redis 开发 API，并希望对特定调用进行速率限制。 API 位于 CloudFlare 后面。为了实现这一点，我将增加每个 IP 地址在 Redis 中进行特定调用的每小时计数，如果超过限制将显示错误。

但是，我相信我遇到了 IP 地址欺骗的问题。我知道如果真正的客户欺骗了他们的 IP 地址，他们将永远不会收到回复，但这对于创建帐户调用等调用可能不是必需的。客户端可以通过注册多个具有不同 IP 的帐户来有效地创建 DoS 攻击，同时避免速率限制。这将导致我的系统发送大量欢迎电子邮件（导致我的服务器被标记为垃圾邮件），并且如果他们的电子邮件帐户被恶意注册，可能会阻止用户注册。如何避免这种情况？

我的想法：

• SSL 会阻止这种形式的 IP 欺骗吗？
• 有没有办法确保客户端收到服务器的响应，从而确保它不是伪造的 IP 地址？
• 在传递 HTTP_CF_CONNECTING_IP 标头时，cloudflare 是否以某种方式验证 IP 地址没有被欺骗？

感谢您的帮助和建议。

Answer 1

通常您会使用一个秘密令牌（API 密钥、登录凭据或其他）来识别用户并计算每个用户帐户的请求数。

由于您试图通过 IP 限制请求，我假设您将创建一个“开放”API，任何人都可以发送请求，无需身份验证。

在这种情况下，术语 *IP 欺骗不是问题。这是因为 - 除非他控制您的服务器和互联网之间的路由 - 欺骗攻击者不会得到答案（如您所说）。但是 HTTP(S) 是通过 TCP 传输的，建立 TCP 连接需要攻击者执行成功的握手，这需要从服务器接收连接 ID - 这意味着它需要接收答案。

TCP 协议的维基百科页面可能是一个很好的外部资源：https://en.wikipedia.org/wiki/Transmission_Control_Protocol

您会看到 IP 欺骗 不是问题。但是您需要了解 IP 速率限制根本不是一个好的解决方案。那是因为：

• 滥用者可以在达到限制后请求新的 IP
• 您的 API 可能被内部 IP 获取的大型组织使用 由核心路由器进行 NAT，您只能看到核心路由器的 IP。

我强烈建议您使用身份验证（与 SSL 一起使用！） 并限制每个用户群的请求。

---

对所列问题的简短回答（如果需要，可以解释更多）

SSL 会阻止这种形式的 IP 欺骗吗？

没有

有没有办法确保客户端收到服务器的响应，从而确保它不是伪造的 IP 地址？

是的，它是在 TCP 中实现的 -> 请参阅上面的维基百科链接中的 ACK

在传递 HTTP_CF_CONNECTING_IP 标头时，cloudflare 是否以某种方式验证 IP 地址没有被欺骗？

如上所述。 HTTP 流量需要已建立的 TCP 连接。因此，这是没有意义的。

Answer 2

SSL 会阻止这种形式的 IP 欺骗吗？

仅当欺骗者无法轻松解密消息时，它才能防止中间人 (MitM) 攻击。

有没有办法确保客户端收到服务器的响应， 从而确保它不是伪造的 IP 地址？

防御机制 首先，确保您的防火墙和路由器配置正确，并限制来自互联网的伪造流量的前进。 - See more at:

cloudflare 是否以某种方式验证 IP 地址没有被欺骗？ 传递 HTTP_CF_CONNECTING_IP 标头？

除非您拥有上述文章中提到的使用 ACL 的特殊设备，否则您无法真正验证 IP 地址。

我希望这会有所帮助。