express-rate-limit을 켰더니 특정 시간대에 정상 사용자까지 다 429가 뜹니다

Question

로그인 API에 무차별 대입 막으려고 express-rate-limit 붙였어요. IP당 15분에 100회로 넉넉하게 잡았는데, 트래픽 몰리는 시간대가 되면 멀쩡한 사용자들까지 429 Too Many Requests를 뱉습니다.

구성은 사용자 → Cloudflare → Nginx 리버스 프록시 → Node(Express) 이렇게 돼 있어요. 로그를 보니 rate limit이 세는 IP가 죄다 우리 Nginx 내부 IP 하나로 찍혀 있더라고요.

그러니까 전 세계 사용자가 전부 같은 카운터를 공유해서 순식간에 100회를 넘겨버리는 상황인 것 같습니다. 실제 클라이언트 IP로 세게 하려면 어떻게 설정하나요?

김영삼 · Accepted Answer

바로 그거예요. 리버스 프록시 뒤에 있으면 Express 입장에서 req.socket.remoteAddress는 항상 Nginx의 IP라, rate limiter가 모든 사용자를 한 IP로 묶어서 세고 있는 겁니다. 그래서 트래픽 조금만 몰려도 다 같이 429를 맞아요. 핵심은 실제 클라이언트 IP를 X-Forwarded-For 헤더에서 읽게 하는 건데, Express한테 프록시를 신뢰하라고 알려줘야 합니다. app.set('trust proxy', ...)를 설정하면 req.ip가 remoteAddress 대신 X-Forwarded-For를 파싱한 실제 클라이언트 IP를 돌려주고, express-rate-limit은 기본적으로 req.ip로 키를 잡으니 그때부터 사용자별로 제대로 세집니다. 다만 여기서 흔히 하는 실수가 app.set('trust proxy', true)로 전부 믿어버리는 거예요. 그러면 아무나 X-Forwarded-For 헤더를 위조해서 rate limit을 우회

ratelimit_jaewon · Answer

trust proxy를 홉 수로 지정하니 req.ip에 진짜 IP가 찍히고 429도 사라졌습니다. true로 다 믿으면 위험하다는 것도 몰랐네요. 정말 감사합니다 🙏

댓글 0