问题根源:

基于七层的负载均衡系统,获取IP的原理都是通过XRI和XFF进行处理,从中选出“正常情况下”的源头IP,然而这两个Header都是普通的HTTP头,任何代理程序都可以轻易修改伪造它们,使得获取IP的逻辑失效。

解决依据:

TCP协议需要建立真实的网络链路,因此其信息可以认为是真实可靠难以伪造的。根据阿里SLB文档中获取真实IP的方法(https://help.aliyun.com/document_detail/slb/best-practice/get-real-ipaddress.html)得知,如果采用四层负载均衡,则SLB的后端系统可直接通过 remote address 获取到IP,如果采用七层负载均衡,后续系统需配合 http_realip_module 使用。

设置步骤:

1、在阿里SLB中将负载均衡模式设置为四层,并且打开获取真实IP的选项(默认打开);
2、在SLB后端的转发 nginx 中使用 $remote_addr 参数填写 XRI 和 XFF;
3、在应用中即可可通过 XRI 或 XFF 获取真实 IP;

试验环境:

客户端:Chrome + Postman
本地模拟:本地 nginx + 测试环境 nginx + 测试环境 app
四层负载均衡:阿里 SLB + 测试环境 nginx + 测试环境 app
七层负载均衡:阿里 SLB + release nginx + release app

试验步骤:

1、在测试环境 customer 应用中部署 test.jsp,内容为获取 request 信息;
2、双 nginx 模拟
2.1、在测试环境 nginx 中设置 XFF 规则如下:
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
2.2、在本地 nginx 中设置负载均衡到测试环境 nginx 地址,XFF 规则同上;
2.3、使用 Postman 直接发送请求:
可以发现XFF的第一个IP是正确的地址(由于本试验中本地 nginx 是系统的一部分,所以127.0.0.1算正确IP);
2.4、在请求中加入伪造的 XFF:
发现此时获取到的 XFF 已经被污染。
3、四层SLB测试
3.1、将测试环境 nginx 中的 XFF 规则设置为:
proxy_set_header X-Forwarded-For $remote_addr;
3.2、正常发送请求
发现获取了正确的 IP;
3.3、伪造 XFF 请求:
发现依然可以获取到正确的 IP;
4、七层SLB + http_realip_module 模块测试
4.1、将 release 环境 nginx 相关配置修改为(其中100.97.0.0/16为SLB所在网段):
set_real_ip_from 100.97.0.0/16;
real_ip_header X-Forwarded-For;
real_ip_recursive on;
4.2、伪造XFF请求:
可以发现:HTTP头中多了一个 remoteip 的字段,其值始终为正确的客户 IP;同时,XFF 字段保留了所有代理链路信息(包括伪造的部分)。

试验总结:

1、无论哪种方案其实核心原理大同小异,都是利用四层TCP的连接信息获取实际IP参数,区别只在于:获取到的这个IP在何时、用何种方式传递到后面系统,以及后面系统如何接收该参数。
2、双 nginx 只是为了在可控环境模拟 HTTP IP 欺骗的原理;
3、四层 SLB 负载均衡方案思路是在整个系统入口(即SLB的四层处)覆盖掉原始的 XRI 或 XFF,在系统的后面部分便可充分信任这些参数;
4、七层 SLB 负载均衡方案思路是把系统入口处拿到的真实IP放在独立的 remoteip 参数中(当然如果需要也可在后续nginx中用该参数覆写 XRI 或 XFF,和上一个方案相同);

参考资料:

阿里云SLB获取真实IP的配置方法:
http_realip_module官方文档:
http_realip_module实现代码:
阿里SLB原理:
SLB官负载均衡配置:
 
 

测试用页面代码:

<%@page contentType="text/html" pageEncoding="GBK"%>
<%@page import="java.util.*"%><!--使用Enumeration导入此包-->
<html>
<head>
<title>接收全部请求参数的名称及对应的内容</title>
</head>
<body>
<%
Enumeration enu=request.getHeaderNames();//取得全部头信息
while(enu.hasMoreElements()){//以此取出头信息
String headerName=(String)enu.nextElement();
String headerValue=request.getHeader(headerName);//取出头信息内容
%>
<h5><%=headerName%><font color="red">--></font>
<font color="blue"><%=headerValue%></font></h5>
<%
}
%>
</body>
</html>
 

Nginx 获取真实 IP 方案的更多相关文章

  1. nodejs+nginx获取真实ip

    nodejs + nginx获取真实ip分为两部分: 第一.配置nginx: 第二.通过nodejs代码获取: 其他语言也是一样的,都是配置nginx之后,在http头里面获取“x-forwarded ...

  2. nginx 获取真实ip

    使用阿里云SLB,无法获取真实ip问题 官方给出的是如下用法,需要安装模块,大体上是没有错的,但是比较模糊,实际操作中可能会踩坑,所以参考学习即可,不必照搬.(那个http_realip_module ...

  3. 阿里云负载均衡SLB 七层https协议 nginx 获取真实IP

    https://www.cnblogs.com/baylorqu/p/8565667.html https://help.aliyun.com/document_detail/54007.html

  4. ASP.NET Core 搭配 Nginx 的真实IP问题

    一.前言 Nginx(Engine X)是一个高性能HTTP和反向代理服务,是由俄罗斯人伊戈尔·赛索耶夫为访问量第二的Rambler.ru站点(俄文:Рамблер)开发的,第一个公开版本0.1.0发 ...

  5. 阿里云SLB后Nginx、Tomcat获取真实IP

    一.SLB后Nginx如何获取真实IP 前提:nginx作为slb获取真实ip是使用 http_realip_module,默认一键安装包安装的nginx没有安装这个模块需要重新重新编译nginx并加 ...

  6. nginx前端负载,后端apache获取真实IP设置

    原文链接: nginx前端负载,后端apache获取真实IP设置 参考文献: 前端Nginx,后端Apache获取用户真实IP地址  按照第二种方法设置不成功! 网站最前端是nginx,做的PROXY ...

  7. Nginx 反向代理获取真实IP问题

    一.前言 前文 Nginx 解决WebApi跨域二次请求以及Vue单页面问题 当中虽然解决了跨域问题带来的二次请求,但也产生了一个新的问题,就是如果需要获取用户IP的时候,获取的IP地址总是本机地址. ...

  8. php nginx反向代理获取真实ip的教程

    php nginx反向代理获取真实ip的教程 <pre> location /getip { proxy_pass http://newmiracle.cn/ip.php; } proxy ...

  9. NGINX反向代理,后端服务器获取真实IP

    一般使用中间件做一个反向代理后,后端的web服务器是无法获取到真实的IP地址. 但是生产上,这又是不允许的,那么怎么解决? 1.在NGINX反向代理服务器上进行修改 2.修改后端web服务器配置文件 ...

随机推荐

  1. yii2 使用twig 模板引擎

    yii2 默认使用PHP 和html 混合的方式来写视图层,但我个人还是喜欢纯模板语言的方式.而且已经非常习惯使用twig的语法,最近想使用yii2进行开发,所以还是选择使用twig视图引擎. git ...

  2. [驱动]内核添加USB转串口驱动支持

    转自:http://blog.csdn.net/gatieme/article/details/49491325 目录 1. 问题 2. 驱动源码 3. 内核配置 4. 编译内核和模块驱动 5. 加载 ...

  3. 【Linux】浅谈I/O模型

    关于I/O模型的引出 我们都知道,为了OS的安全性等的考虑,进程是无法直接操作I/O设备的,其必须通过系统调用请求内核来协助完成I/O动作,而内核会为每个I/O设备维护一个buffer. 如下图所示: ...

  4. RPM方式安装MySQL5.6和windows下安装mysql解压版

    下载地址: http://cdn.MySQL.com/archives/mysql-5.6/MySQL-server-5.6.13-1.el6.x86_64.rpmhttp://cdn.mysql.c ...

  5. 这些年我们一起搞过的持续集成~Jenkins+Perl and Shell script

    这些年我们一起搞过的持续集成~Jenkins+Perl and Shell script ##转载注明出处:http://www.cnblogs.com/wade-xu/p/4378224.html ...

  6. C#的 is 和 as 类型转换

    C#在操作类型转换时,提供了 as 和 is , 显式,隐式类型转换,由于显式和隐式类型转换比较容易理解,这里主要介绍下 is 和 as 的转换. 1. is  转换   is 操作符指定一个对象类型 ...

  7. vbs下载文件

    Dim Url,SavePath,FilenameUrl="http://www.kumi.cn/photo/43/7e/63/437e636e413071e3.jpg"SaveP ...

  8. 在配置dubbo框架的时候出现dubbo:application标签无法识别问题。

    这原因是因为目前 http://code.alibabatech.com/schema/dubbo/dubbo.xsd标签库打不开.所以我们需要在dubbo的jar包里面引入一个dubbo.xsd 解 ...

  9. java基础知识点复习

    第一天: JRE.JDK是什么? Jre java运行环境.Jre = java虚拟机+核心类库(辅助java运行的文件) Jdk:java开发工具集jdk = jre+java的开发工具 2. 配置 ...

  10. PHP echo 即时输出

    header(“Content-type:text/html;charset=utf-8″); #设置执行时间不限时 set_time_limit(0); #清除并关闭缓冲,输出到浏览器之前使用这个函 ...