Nginx 如何代理轉(zhuǎn)發(fā)傳遞真實(shí) ip 地址
Nginx 是一個(gè)高性能的反向代理服務(wù)器，也是一個(gè)非常流行的負(fù)載均衡器和 HTTP 緩存。其輕量級(jí)的設(shè)計(jì)和高并發(fā)處理能力使得它廣泛應(yīng)用于各種 Web 服務(wù)中。在使用 Nginx 作為反向代理服務(wù)器時(shí)，一個(gè)常見的問題是如何在代理轉(zhuǎn)發(fā)過程中傳遞客戶端的真實(shí) IP 地址。默認(rèn)情況下，Nginx 會(huì)將客戶端的 IP 地址替換為代理服務(wù)器的 IP 地址，這可能會(huì)在某些情況下引發(fā)問題，比如日志記錄、訪問控制和地理位置追蹤等。
為什么需要傳遞真實(shí) IP 地址
傳遞真實(shí) IP 地址的需求主要有以下幾個(gè)原因：
「日志記錄和分析」：真實(shí) IP 地址對(duì)于日志分析和用戶行為追蹤至關(guān)重要。如果使用代理服務(wù)器的 IP 地址，所有請(qǐng)求看起來都來自同一來源，這會(huì)導(dǎo)致分析結(jié)果不準(zhǔn)確。
「安全和訪問控制」：基于 IP 地址的訪問控制策略需要識(shí)別真實(shí)的客戶端 IP 地址。如果只看到代理服務(wù)器的 IP 地址，訪問控制策略將無法正確應(yīng)用。
「地理位置追蹤」：很多服務(wù)依賴于客戶端的地理位置信息，而這些信息通常是基于 IP 地址進(jìn)行的。如果無法獲取到真實(shí)的客戶端 IP 地址，地理位置服務(wù)將無法正常工作。
使用 X-Forwarded-For 頭傳遞真實(shí) IP 地址
最常用的方法是通過 X-Forwarded-For HTTP 頭傳遞客戶端的真實(shí) IP 地址。Nginx 可以在代理轉(zhuǎn)發(fā)請(qǐng)求時(shí)添加這個(gè)頭，以便后端服務(wù)器能夠獲取到真實(shí)的客戶端 IP 地址。
在 Nginx 配置文件中，可以使用以下指令來設(shè)置 X-Forwarded-For 頭：
http {
include mime.types;
default_typeapplication/octet-stream;
log_formatmain'$remote_addr - $remote_user [$time_local] "$request" '
'$status $body_bytes_sent "$http_referer" '
'"$http_user_agent" "$http_x_forwarded_for"';
access_log/var/log/nginx/access.logmain;
sendfileon;
#tcp_nopush on;
keepalive_timeout65;
gzipon;
server {
listen 80;
server_namelocalhost;
location / {
proxy_pass http://backend_server;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
}
}
}
在上述配置中：
proxy_pass：指定后端服務(wù)器的地址。proxy_set_header：用于設(shè)置請(qǐng)求頭。X-Real-IP頭傳遞客戶端的真實(shí) IP 地址，而X-Forwarded-For頭包含客戶端的真實(shí) IP 地址以及代理服務(wù)器的 IP 地址。
后端服務(wù)器的配置
后端服務(wù)器需要正確解析 X-Forwarded-For 頭以獲取客戶端的真實(shí) IP 地址。例如，在 Apache 中，可以使用 mod_remoteip 模塊：
<IfModule mod_remoteip.c>
RemoteIPHeader X-Forwarded-For
RemoteIPInternalProxy 10.0.0.0/8
</IfModule>
在以上配置中：
RemoteIPHeader：指定用于傳遞真實(shí) IP 地址的請(qǐng)求頭。RemoteIPInternalProxy：指定可信任的代理服務(wù)器的 IP 地址范圍。
使用 real_ip 模塊
Nginx 提供了一個(gè) ngx_http_realip_module 模塊，用于處理 X-Forwarded-For 頭并將其作為客戶端的真實(shí) IP 地址。
啟用 real_ip 模塊
首先，確保 Nginx 已經(jīng)編譯并啟用了 ngx_http_realip_module 模塊?？梢酝ㄟ^以下命令檢查：
nginx -V 2>&1 | grep -o with-http_realip_module
如果輸出結(jié)果中包含 with-http_realip_module，則表示該模塊已啟用。
配置 real_ip 模塊
在 Nginx 配置文件中，可以使用以下配置來啟用 real_ip 模塊：
http {
include mime.types;
default_typeapplication/octet-stream;
log_formatmain'$remote_addr - $remote_user [$time_local] "$request" '
'$status $body_bytes_sent "$http_referer" '
'"$http_user_agent" "$http_x_forwarded_for"';
access_log/var/log/nginx/access.logmain;
sendfileon;
#tcp_nopush on;
keepalive_timeout65;
gzipon;
real_ip_header X-Forwarded-For;
set_real_ip_from 10.0.0.0/8;
server {
listen 80;
server_namelocalhost;
location / {
proxy_pass http://backend_server;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
}
}
}
在以上配置中：
real_ip_header：指定用于傳遞真實(shí) IP 地址的請(qǐng)求頭。set_real_ip_from：指定可信任的代理服務(wù)器的 IP 地址范圍。
假設(shè)有一個(gè)前端 Nginx 服務(wù)器和一個(gè)后端應(yīng)用服務(wù)器，前端服務(wù)器的 IP 地址為 192.168.1.1，后端服務(wù)器的 IP 地址為 192.168.1.2。
在前端 Nginx 服務(wù)器上，可以使用以下配置：
server {
listen 80;
server_name frontend.example.com;
location / {
proxy_pass http://192.168.1.2;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
}
}
在后端應(yīng)用服務(wù)器上，可以使用以下配置：
server {
listen 80;
server_name backend.example.com;
real_ip_header X-Forwarded-For;
set_real_ip_from 192.168.1.1;
location / {
root /var/www/html;
index index.html index.htm;
}
}
配置完成后，可以通過以下步驟驗(yàn)證真實(shí) IP 地址的傳遞是否正確：
「發(fā)送請(qǐng)求」：從客戶端發(fā)送一個(gè) HTTP 請(qǐng)求到前端 Nginx 服務(wù)器。 「檢查日志」：在后端應(yīng)用服務(wù)器的日志中檢查請(qǐng)求的 IP 地址，確保顯示的是客戶端的真實(shí) IP 地址而不是前端 Nginx 服務(wù)器的 IP 地址。
例如，可以使用 curl 命令發(fā)送請(qǐng)求：
curl -I http://frontend.example.com
然后，在后端應(yīng)用服務(wù)器的日志中檢查請(qǐng)求的 IP 地址：
tail -f /var/log/nginx/access.log
日志中應(yīng)顯示客戶端的真實(shí) IP 地址，而不是前端 Nginx 服務(wù)器的 IP 地址。
常見問題和解決方法
問題一：后端服務(wù)器仍然顯示代理服務(wù)器的 IP 地址
解決方法：確保在后端服務(wù)器的 Nginx 配置中正確設(shè)置了 real_ip_header 和 set_real_ip_from 指令，并且前端服務(wù)器已正確設(shè)置 X-Forwarded-For 頭。
問題二：多個(gè)代理服務(wù)器導(dǎo)致 X-Forwarded-For 頭中包含多個(gè) IP 地址
解決方法：在后端服務(wù)器的配置中，確保 real_ip_recursive 指令已啟用，以處理包含多個(gè) IP 地址的 X-Forwarded-For 頭。
http {
real_ip_header X-Forwarded-For;
set_real_ip_from 192.168.1.1;
real_ip_recursive on;
}
總結(jié)
在使用 Nginx 作為反向代理服務(wù)器時(shí)，傳遞客戶端的真實(shí) IP 地址對(duì)于日志記錄、訪問控制和地理位置追蹤等應(yīng)用至關(guān)重要。通過使用 X-Forwarded-For 頭和 ngx_http_realip_module 模塊，可以有效地實(shí)現(xiàn)這一需求。正確配置后端服務(wù)器以解析這些頭信息，將確保能夠正確獲取到客戶端的真實(shí) IP 地址，從而提升系統(tǒng)的可靠性和準(zhǔn)確性。
