Nginx 如何代理轉發(fā)傳遞真實(shí) ip 地址
Nginx 是一個(gè)高性能的反向代理服務(wù)器，也是一個(gè)非常流行的負載均衡器和 HTTP 緩存。其輕量級的設計和高并發(fā)處理能力使得它廣泛應用于各種 Web 服務(wù)中。在使用 Nginx 作為反向代理服務(wù)器時(shí)，一個(gè)常見(jiàn)的問(wèn)題是如何在代理轉發(fā)過(guò)程中傳遞客戶(hù)端的真實(shí) IP 地址。默認情況下，Nginx 會(huì )將客戶(hù)端的 IP 地址替換為代理服務(wù)器的 IP 地址，這可能會(huì )在某些情況下引發(fā)問(wèn)題，比如日志記錄、訪(fǎng)問(wèn)控制和地理位置追蹤等。
為什么需要傳遞真實(shí) IP 地址
傳遞真實(shí) IP 地址的需求主要有以下幾個(gè)原因：
「日志記錄和分析」：真實(shí) IP 地址對于日志分析和用戶(hù)行為追蹤至關(guān)重要。如果使用代理服務(wù)器的 IP 地址，所有請求看起來(lái)都來(lái)自同一來(lái)源，這會(huì )導致分析結果不準確。
「安全和訪(fǎng)問(wèn)控制」：基于 IP 地址的訪(fǎng)問(wèn)控制策略需要識別真實(shí)的客戶(hù)端 IP 地址。如果只看到代理服務(wù)器的 IP 地址，訪(fǎng)問(wèn)控制策略將無(wú)法正確應用。
「地理位置追蹤」：很多服務(wù)依賴(lài)于客戶(hù)端的地理位置信息，而這些信息通常是基于 IP 地址進(jìn)行的。如果無(wú)法獲取到真實(shí)的客戶(hù)端 IP 地址，地理位置服務(wù)將無(wú)法正常工作。
使用 X-Forwarded-For 頭傳遞真實(shí) IP 地址
最常用的方法是通過(guò) X-Forwarded-For HTTP 頭傳遞客戶(hù)端的真實(shí) IP 地址。Nginx 可以在代理轉發(fā)請求時(shí)添加這個(gè)頭，以便后端服務(wù)器能夠獲取到真實(shí)的客戶(hù)端 IP 地址。
在 Nginx 配置文件中，可以使用以下指令來(lái)設置 X-Forwarded-For 頭：
http {
include mime.types;
default_typeapplication/octet-stream;
log_formatmain'$remote_addr - $remote_user [$time_local] "$request" '
'$status $body_bytes_sent "$http_referer" '
'"$http_user_agent" "$http_x_forwarded_for"';
access_log/var/log/nginx/access.logmain;
sendfileon;
#tcp_nopush on;
keepalive_timeout65;
gzipon;
server {
listen 80;
server_namelocalhost;
location / {
proxy_pass http://backend_server;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
}
}
}
在上述配置中：
proxy_pass：指定后端服務(wù)器的地址。proxy_set_header：用于設置請求頭。X-Real-IP頭傳遞客戶(hù)端的真實(shí) IP 地址，而X-Forwarded-For頭包含客戶(hù)端的真實(shí) IP 地址以及代理服務(wù)器的 IP 地址。
后端服務(wù)器的配置
后端服務(wù)器需要正確解析 X-Forwarded-For 頭以獲取客戶(hù)端的真實(shí) IP 地址。例如，在 Apache 中，可以使用 mod_remoteip 模塊：
<IfModule mod_remoteip.c>
RemoteIPHeader X-Forwarded-For
RemoteIPInternalProxy 10.0.0.0/8
</IfModule>
在以上配置中：
RemoteIPHeader：指定用于傳遞真實(shí) IP 地址的請求頭。RemoteIPInternalProxy：指定可信任的代理服務(wù)器的 IP 地址范圍。
使用 real_ip 模塊
Nginx 提供了一個(gè) ngx_http_realip_module 模塊，用于處理 X-Forwarded-For 頭并將其作為客戶(hù)端的真實(shí) IP 地址。
啟用 real_ip 模塊
首先，確保 Nginx 已經(jīng)編譯并啟用了 ngx_http_realip_module 模塊?？梢酝ㄟ^(guò)以下命令檢查：
nginx -V 2>&1 | grep -o with-http_realip_module
如果輸出結果中包含 with-http_realip_module，則表示該模塊已啟用。
配置 real_ip 模塊
在 Nginx 配置文件中，可以使用以下配置來(lái)啟用 real_ip 模塊：
http {
include mime.types;
default_typeapplication/octet-stream;
log_formatmain'$remote_addr - $remote_user [$time_local] "$request" '
'$status $body_bytes_sent "$http_referer" '
'"$http_user_agent" "$http_x_forwarded_for"';
access_log/var/log/nginx/access.logmain;
sendfileon;
#tcp_nopush on;
keepalive_timeout65;
gzipon;
real_ip_header X-Forwarded-For;
set_real_ip_from 10.0.0.0/8;
server {
listen 80;
server_namelocalhost;
location / {
proxy_pass http://backend_server;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
}
}
}
在以上配置中：
real_ip_header：指定用于傳遞真實(shí) IP 地址的請求頭。set_real_ip_from：指定可信任的代理服務(wù)器的 IP 地址范圍。
假設有一個(gè)前端 Nginx 服務(wù)器和一個(gè)后端應用服務(wù)器，前端服務(wù)器的 IP 地址為 192.168.1.1，后端服務(wù)器的 IP 地址為 192.168.1.2。
在前端 Nginx 服務(wù)器上，可以使用以下配置：
server {
listen 80;
server_name frontend.example.com;
location / {
proxy_pass http://192.168.1.2;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
}
}
在后端應用服務(wù)器上，可以使用以下配置：
server {
listen 80;
server_name backend.example.com;
real_ip_header X-Forwarded-For;
set_real_ip_from 192.168.1.1;
location / {
root /var/www/html;
index index.html index.htm;
}
}
配置完成后，可以通過(guò)以下步驟驗證真實(shí) IP 地址的傳遞是否正確：
「發(fā)送請求」：從客戶(hù)端發(fā)送一個(gè) HTTP 請求到前端 Nginx 服務(wù)器。 「檢查日志」：在后端應用服務(wù)器的日志中檢查請求的 IP 地址，確保顯示的是客戶(hù)端的真實(shí) IP 地址而不是前端 Nginx 服務(wù)器的 IP 地址。
例如，可以使用 curl 命令發(fā)送請求：
curl -I http://frontend.example.com
然后，在后端應用服務(wù)器的日志中檢查請求的 IP 地址：
tail -f /var/log/nginx/access.log
日志中應顯示客戶(hù)端的真實(shí) IP 地址，而不是前端 Nginx 服務(wù)器的 IP 地址。
常見(jiàn)問(wèn)題和解決方法
問(wèn)題一：后端服務(wù)器仍然顯示代理服務(wù)器的 IP 地址
解決方法：確保在后端服務(wù)器的 Nginx 配置中正確設置了 real_ip_header 和 set_real_ip_from 指令，并且前端服務(wù)器已正確設置 X-Forwarded-For 頭。
問(wèn)題二：多個(gè)代理服務(wù)器導致 X-Forwarded-For 頭中包含多個(gè) IP 地址
解決方法：在后端服務(wù)器的配置中，確保 real_ip_recursive 指令已啟用，以處理包含多個(gè) IP 地址的 X-Forwarded-For 頭。
http {
real_ip_header X-Forwarded-For;
set_real_ip_from 192.168.1.1;
real_ip_recursive on;
}
總結
在使用 Nginx 作為反向代理服務(wù)器時(shí)，傳遞客戶(hù)端的真實(shí) IP 地址對于日志記錄、訪(fǎng)問(wèn)控制和地理位置追蹤等應用至關(guān)重要。通過(guò)使用 X-Forwarded-For 頭和 ngx_http_realip_module 模塊，可以有效地實(shí)現這一需求。正確配置后端服務(wù)器以解析這些頭信息，將確保能夠正確獲取到客戶(hù)端的真實(shí) IP 地址，從而提升系統的可靠性和準確性。
