反向代理相信大家都不陌生，假设要在真实服务器需要做一些区域分析，频率限制等等，就需要拿到真实的请求用户的IP。在4层转发里面，可以通过TOA的方式。在7层转发里面，可以通过头部信息获取（Nginx也可以转发$remote_addr）。

准备环境

如下图所示，在测试环境模拟一个Http请求经过反向代理服务器的过程，观察一下获取真实IP的情况。

yNhX7.png

用的是Nginx作为反向代理服务器，后端用php展示获得的头部信息。一般来说用X-Forwarded-For ，X-Real-IP这两个头部信息和$remote_addr变量来获取真实IP。

具体的配置如下：

  • 反向代理1

yNd7J.png

  • 反向代理2

yN5TM.png

  • 真实服务器

yNBWG.png

  • real_IP.php

yNWmu.png

测试过程

  • 1、默认情况下，两台反向代理服务器都不配置相关的头部信息，此时后端获取到的都是反向代理服务器2的IP

  • 2、反向代理服务器1添加 X-Forwarded-For 和 X-Real-IP头部 ，真实服务器得到的信息如下

yNk4i.png

  • 3、在过程2的状态下，反向代理服务器2仅添加 X-Forwarded-For 头部，真实服务器得到的信息如下

yNIu1.png

  • 4、在过程3的状态下，反向代理服务器2继续添加 X-Real-IP 头部，真实服务器得到的信息如下

yNRxF.png

  • 5、在过程3的状态下，真实服务器继续添加如下配置，真实服务器得到的信息如下
real_ip_header X-Forwarded-For;
set_real_ip_from  192.168.50.0/24;
real_ip_recursive off;

yN4hB.png

  • 6、在过程5的状态下，真实服务器把 real_ip_recursive off 改成 real_ip_recursive on 真实服务器得到的信息如下

yNMN3.png

  • 测试说明

1） 在默认情况下（反代都没有添加头部信息），真实服务器获取客户IP，$remote_addr为最后一台反向代理服务器的IP。此时 X-Forwarded-For 为空值。

2） 对比过程2和3可知， X-Forwarded-For 为数组，后面的反代服务器会把前面的反代服务器IP添加到里面，中间是逗号分隔。

3） 对比过程3和4可知，$remote_addr会被后面的反代服务器吧IP换掉。

4） 由过程5和6可知，由real_ip_header 指定头部可以让$remote_addr获取到真实IP。set_real_ip_from 表示哪些为反向代理的IP，可以用IP（段）表示。real_ip_recursive 表示是否从后递归解析，用于排除set_real_ip_from里面的IP（段）。

  • 头部与变量说明

$remote_addr 变量，指请求的IP，就是tcp握手那个

$proxy_add_x_forwarded_for 变量，指客户端请求头“X-Forwared-For”这个字段，其中附加了$ remote_addr变量，以逗号分隔。 如果客户端请求标头中不存在“X-Forwarded-For”字段，则$ proxy_add_x_forwarded_for变量等于$ remote_addr变量。用最简单的方法来表示就是：$proxy_add_x_forwarded_for =$http_x_forwarded_for + ‘，‘+$ remote_addr

$http_x_forwarded_for变量，指客户端请求头中的 “X-Forwared-For” 这个字段。

$http_x_real_ip变量，指客户端请求头中的 “X-Real-IP” 这个字段。X-Real-IP就是一个自定义的变量名字，习惯性用法。

伪造头部

  • 既然我们使用头部信息来获取真实IP，那人为伪造头部岂不是让人钻了漏洞？ 接下来验证一下。

在刚刚的过程6的环境中，我们在客户端使用curl命令伪造头部：

# curl -H "Host: www.bcsama.top" -H "X-Forwarded-For: 1.1.1.1" -H "X-Real-IP: 2.2.2.2" http://192.168.50.60
HTTP_X_FORWARDED_FOR -> 1.1.1.1, 192.168.20.237, 192.168.50.60
HTTP_X_REAL_IP -> 192.168.20.237
REMOTE_ADDR -> 192.168.20.237

p.s. 用curl命令得到的结果， X-Forwarded-For 数组顺序为从左到右。
  • 由结果可知，伪造X-Forwarded-For的确生效，插在数组的第一个值，但X-Real-IP不成功。假设光取X-Forwarded-For的第一个值，那就是错的。而过程6里面real_ip_recursive的值为 on，排除了反向代理服务器IP之后，取最后一个IP为客户端IP，因此不影响真实服务器获取真实客户端IP。

  • 由于 $remote_addr 不容易伪造（考虑TCP握手甚至是防火墙的挑战），我们可以把第一台反向代理服务器的头部修改成： proxy_set_header X-Forwarded-For $remote_addr; 。

小结

  • 到底是采用获取请求头部的方式还是使用realip模块的方式，请根据自身的业务需求来判断。

  • 无论采用哪种方式，若有多级反向代理，请在第一级反向代理机器上设置头部。之后的反代服务器请根据业务需求来添加（注意两个变量是数组和非数组的区别）。

  • 由于X-Forwarded-For太容易伪造，请根据自身业务修改判断逻辑。

摘自：https://www.bcsama.top/archives/95/