Обсуждение — Rate limiting в nginx: ограничиваем частоту запросов

После статьи хочу уточнить, кого именно мы ограничиваем, когда ключом служит IP. Пример с логином понятный, но за одним домашним роутером может сидеть несколько человек. Если каждый вспоминает пароль, для nginx это уже общая очередь.

И второй случай из текста: сайт стоит за прокси. Там предложено использовать X-Forwarded-For вместе с real_ip. Боюсь скопировать слишком короткий совет: кто имеет право сообщить серверу настоящий адрес посетителя? Если верить любому присланному заголовку, человек ведь может написать туда что угодно.

Какой безопасный порядок проверки перед включением лимита: сначала убедиться, чей IP видит nginx, потом посмотреть обычные запросы и только после этого выбирать rate и burst?

Да. X-Forwarded-For нельзя просто принять за проверенный адрес. real_ip должен доверять только известным прокси через set_real_ip_from; список берётся из вашей схемы, не из примера. После корректного восстановления адреса обычный ключ по $binary_remote_addr уже использует его.
Документация realip

Для наблюдения есть limit_req_dry_run on: превышения учитываются, но запросы пока не ограничиваются. Так можно увидеть, кого заденет выбранная настройка. Только режим сам защиту не включает — после наблюдения надо отдельно решить, что применять.
Описание dry run

Тогда сначала проверяю адреса за прокси, а не угадываю число из примера. И отдельно смотрю общий домашний IP: это по-прежнему несколько людей под одним ключом, real_ip их не разделит. В тест страницы входа добавлю такой случай, прежде чем считать каждое превышение атакой.