Nginx 如何代理轉(zhuǎn)發(fā)傳遞真實 ip 地址
Nginx 是一個高性能的反向代理服務器，也是一個非常流行的負載均衡器和 HTTP 緩存。其輕量級的設計和高并發(fā)處理能力使得它廣泛應用于各種 Web 服務中。在使用 Nginx 作為反向代理服務器時，一個常見的問題是如何在代理轉(zhuǎn)發(fā)過程中傳遞客戶端的真實 IP 地址。默認情況下，Nginx 會將客戶端的 IP 地址替換為代理服務器的 IP 地址，這可能會在某些情況下引發(fā)問題，比如日志記錄、訪問控制和地理位置追蹤等。
為什么需要傳遞真實 IP 地址
傳遞真實 IP 地址的需求主要有以下幾個原因：
「日志記錄和分析」：真實 IP 地址對于日志分析和用戶行為追蹤至關重要。如果使用代理服務器的 IP 地址，所有請求看起來都來自同一來源，這會導致分析結果不準確。
「安全和訪問控制」：基于 IP 地址的訪問控制策略需要識別真實的客戶端 IP 地址。如果只看到代理服務器的 IP 地址，訪問控制策略將無法正確應用。
「地理位置追蹤」：很多服務依賴于客戶端的地理位置信息，而這些信息通常是基于 IP 地址進行的。如果無法獲取到真實的客戶端 IP 地址，地理位置服務將無法正常工作。
使用 X-Forwarded-For 頭傳遞真實 IP 地址
最常用的方法是通過 X-Forwarded-For HTTP 頭傳遞客戶端的真實 IP 地址。Nginx 可以在代理轉(zhuǎn)發(fā)請求時添加這個頭，以便后端服務器能夠獲取到真實的客戶端 IP 地址。
在 Nginx 配置文件中，可以使用以下指令來設置 X-Forwarded-For 頭：
http {
include mime.types;
default_typeapplication/octet-stream;
log_formatmain'$remote_addr - $remote_user [$time_local] "$request" '
'$status $body_bytes_sent "$http_referer" '
'"$http_user_agent" "$http_x_forwarded_for"'
access_log/var/log/nginx/access.logmain;
sendfileon;
#tcp_nopush on;
keepalive_timeout65;
gzipon;
server {
listen 80;
server_namelocalhost;
location / {
proxy_pass http://backend_server;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
}
}
}
在上述配置中：
proxy_pass：指定后端服務器的地址。proxy_set_header：用于設置請求頭。X-Real-IP頭傳遞客戶端的真實 IP 地址，而X-Forwarded-For頭包含客戶端的真實 IP 地址以及代理服務器的 IP 地址。
后端服務器的配置
后端服務器需要正確解析 X-Forwarded-For 頭以獲取客戶端的真實 IP 地址。例如，在 Apache 中，可以使用 mod_remoteip 模塊：
<IfModule mod_remoteip.c>
RemoteIPHeader X-Forwarded-For
RemoteIPInternalProxy 10.0.0.0/8
</IfModule>
在以上配置中：
RemoteIPHeader：指定用于傳遞真實 IP 地址的請求頭。RemoteIPInternalProxy：指定可信任的代理服務器的 IP 地址范圍。
使用 real_ip 模塊
Nginx 提供了一個 ngx_http_realip_module 模塊，用于處理 X-Forwarded-For 頭并將其作為客戶端的真實 IP 地址。
啟用 real_ip 模塊
首先，確保 Nginx 已經(jīng)編譯并啟用了 ngx_http_realip_module 模塊?？梢酝ㄟ^以下命令檢查：
nginx -V 2>&1 | grep -o with-http_realip_module
如果輸出結果中包含 with-http_realip_module，則表示該模塊已啟用。
配置 real_ip 模塊
在 Nginx 配置文件中，可以使用以下配置來啟用 real_ip 模塊：
http {
include mime.types;
default_typeapplication/octet-stream;
log_formatmain'$remote_addr - $remote_user [$time_local] "$request" '
'$status $body_bytes_sent "$http_referer" '
'"$http_user_agent" "$http_x_forwarded_for"'
access_log/var/log/nginx/access.logmain;
sendfileon;
#tcp_nopush on;
keepalive_timeout65;
gzipon;
real_ip_header X-Forwarded-For;
set_real_ip_from 10.0.0.0/8;
server {
listen 80;
server_namelocalhost;
location / {
proxy_pass http://backend_server;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
}
}
}
在以上配置中：
real_ip_header：指定用于傳遞真實 IP 地址的請求頭。set_real_ip_from：指定可信任的代理服務器的 IP 地址范圍。
假設有一個前端 Nginx 服務器和一個后端應用服務器，前端服務器的 IP 地址為 192.168.1.1，后端服務器的 IP 地址為 192.168.1.2。
在前端 Nginx 服務器上，可以使用以下配置：
server {
listen 80;
server_name frontend.example.com;
location / {
proxy_pass http://192.168.1.2;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
}
}
在后端應用服務器上，可以使用以下配置：
server {
listen 80;
server_name backend.example.com;
real_ip_header X-Forwarded-For;
set_real_ip_from 192.168.1.1;
location / {
root /var/www/html;
index index.html index.htm;
}
}
配置完成后，可以通過以下步驟驗證真實 IP 地址的傳遞是否正確：
「發(fā)送請求」：從客戶端發(fā)送一個 HTTP 請求到前端 Nginx 服務器。 「檢查日志」：在后端應用服務器的日志中檢查請求的 IP 地址，確保顯示的是客戶端的真實 IP 地址而不是前端 Nginx 服務器的 IP 地址。
例如，可以使用 curl 命令發(fā)送請求：
curl -I http://frontend.example.com
然后，在后端應用服務器的日志中檢查請求的 IP 地址：
tail -f /var/log/nginx/access.log
日志中應顯示客戶端的真實 IP 地址，而不是前端 Nginx 服務器的 IP 地址。
常見問題和解決方法
問題一：后端服務器仍然顯示代理服務器的 IP 地址
解決方法：確保在后端服務器的 Nginx 配置中正確設置了 real_ip_header 和 set_real_ip_from 指令，并且前端服務器已正確設置 X-Forwarded-For 頭。
問題二：多個代理服務器導致 X-Forwarded-For 頭中包含多個 IP 地址
解決方法：在后端服務器的配置中，確保 real_ip_recursive 指令已啟用，以處理包含多個 IP 地址的 X-Forwarded-For 頭。
http {
real_ip_header X-Forwarded-For;
set_real_ip_from 192.168.1.1;
real_ip_recursive on;
}
總結
在使用 Nginx 作為反向代理服務器時，傳遞客戶端的真實 IP 地址對于日志記錄、訪問控制和地理位置追蹤等應用至關重要。通過使用 X-Forwarded-For 頭和 ngx_http_realip_module 模塊，可以有效地實現(xiàn)這一需求。正確配置后端服務器以解析這些頭信息，將確保能夠正確獲取到客戶端的真實 IP 地址，從而提升系統(tǒng)的可靠性和準確性。
