เลิกให้ API นอนแก้ผ้ารอหน้าบ้าน! ซ่อนหลัง Nginx ซ่ะ

ssh -i "ชื่อไฟล์.pem" ec2-user@เลขไอพี 

cat /etc/os-release | grep PRETTY 

sudo dnf install -y nginx 

sudo systemctl enable --now nginx 

sudo tee /etc/nginx/conf.d/upro-api.conf > /dev/null <<'EOF' # จำกัดจำนวน request กันยิงถล่ม limit_req_zone $binary_remote_addr zone=api_limit:10m rate=20r/s; server { listen 80 default_server; server_name ใส่IPเรา; server_tokens off; # ซ่อนเวอร์ชัน Nginx client_max_body_size 10m; # จำกัดขนาด upload add_header X-Content-Type-Options "nosniff" always; add_header X-Frame-Options "DENY" always; add_header Referrer-Policy "no-referrer" always; # กันบอทที่สแกนหา .env .git location ~ /\. { return 404; } location / { limit_req zone=api_limit burst=40 nodelay; proxy_pass http://127.0.0.1:5000; proxy_http_version 1.1; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_set_header X-Forwarded-Proto $scheme; proxy_connect_timeout 10s; proxy_read_timeout 60s; } } EOF 

# ── กฎกลาง: ตั้งโควตาก่อน ── # จำว่าแต่ละ IP ยิงมากี่ครั้ง ให้ได้ไม่เกิน 20 ครั้งต่อวินาที # จองหน่วยความจำ 10 MB ไว้จด (จดได้ราวแสนกว่า IP) limit_req_zone $binary_remote_addr zone=api_limit:10m rate=20r/s; server { # ยามยืนเฝ้าประตูพอร์ต 80 (HTTP) # default_server = ถ้าคำขอไม่ตรงกับ server อื่น ให้มาที่นี่ listen 80 default_server; # ใช้กับคนที่เข้ามาทาง IP นี้ (ยังไม่มีโดเมน) server_name ใส่IPเรา; # ไม่บอกคนนอกว่าใช้ Nginx เวอร์ชันไหน คนร้ายจะได้หาช่องโหว่ยากขึ้น server_tokens off; # อัปโหลดไฟล์ได้ไม่เกิน 10 MB ต่อครั้ง เกินนี้ไม่รับ client_max_body_size 10m; # ── ส่งคำเตือนความปลอดภัยไปให้เบราว์เซอร์ ── # ห้ามเบราว์เซอร์เดาชนิดไฟล์เอง (กันไฟล์ปลอมตัว) add_header X-Content-Type-Options "nosniff" always; # ห้ามเว็บอื่นเอาหน้าเราไปฝังใน iframe (กันหลอกให้กด) add_header X-Frame-Options "DENY" always; # เวลากดลิงก์ออกไปเว็บอื่น ไม่ต้องบอกว่ามาจากหน้าไหน add_header Referrer-Policy "no-referrer" always; # ── ด่านที่ 1: ไล่บอทที่มาหาไฟล์ลับ ── # ใครขอ path ที่มีจุดนำหน้า เช่น /.env หรือ /.git # ให้ตอบว่า "ไม่มีหน้านี้" (404) location ~ /\. { return 404; } # ── ด่านที่ 2: คำขอทั่วไปทั้งหมด ── location / { # ใช้โควตา 20 ครั้งต่อวินาทีที่ตั้งไว้ข้างบน # ยอมให้พุ่งเกินได้อีก 40 ครั้ง (เช่นตอนเปิดหน้าเว็บที่เรียกหลายอย่างพร้อมกัน) # เกินจากนั้นปฏิเสธทันที limit_req zone=api_limit burst=40 nodelay; # ★ หัวใจของ Reverse Proxy ★ # ส่งคำขอต่อไปให้ API ที่อยู่ในเครื่องเดียวกัน พอร์ต 5000 proxy_pass http://127.0.0.1:5000; # คุยกับ API ด้วย HTTP เวอร์ชัน 1.1 proxy_http_version 1.1; # ── แนบข้อมูลของผู้ใช้จริงไปให้ API ── # (ไม่งั้น API จะเห็นทุกคนเป็น "ยาม" คือ 127.0.0.1 หมด) # ผู้ใช้พิมพ์ชื่อเว็บอะไรเข้ามา proxy_set_header Host $host; # IP จริงของผู้ใช้ proxy_set_header X-Real-IP $remote_addr; # เส้นทาง IP ที่ผ่านมาทั้งหมด proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; # ผู้ใช้เข้ามาด้วย http หรือ https proxy_set_header X-Forwarded-Proto $scheme; # ── เวลารอ ── # ต่อหา API ไม่ติดภายใน 10 วินาที ให้ยกเลิก proxy_connect_timeout 10s; # รอ API ตอบได้นานสุด 60 วินาที proxy_read_timeout 60s; } } 

sudo nginx -t && sudo systemctl reload nginx 

curl -I http://localhost/