前言
在真实生产环境中,最常用的使用nginx作为反向代理来暴露服务。不过在暴露到公网前,我们往往会在前面通过CDN或者云厂商的负载均衡器来暴露我们的服务。
在不通的协议(tcp/http)或场景下,通过X-Forwarded-For获取客户端真实ip的方式往往不同。
配置分析
默认情况下,nginx不会对X-Forwarded-For进行修改。也就是说如果没有额外配置的情况下,nginx前面的负载均衡器或者其他nginx传过来的X-Forwarded-For的值是什么样,nginx反代后还会以一样的值反代下去。
有时候nginx前面的负载均衡器没有传X-Forwarded-For,则需要通过proxy_set_header X-Forwarded-For来修改值。
$proxy_add_x_forwarded_for
$proxy_add_x_forwarded_for会保存X-Forwarded-For中已有的值,并且追加$remote_addr的值,使用逗号隔开。
如果之前X-Forwarded-For中没有值,则修改后X-Forwarded-For中只有$remote_addr的值。
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
$remote_addr
$remote_addr就是到达nginx前的上一层服务器的真实ip。如果nginx前面使用的是云厂商的负载均衡器,一般$remote_addr有可能就是云厂商负载均衡器实例的ip。为什么这里说有可能?负载均衡器根据监听的协议不同也会分两种情况:
如果是tcp协议,针对四层监听,并且默认开启了“获取客户端真实IP”。那么$remote_addr就是来访者的真实IP地址。如果是http协议,针对七层监听,并且默认开启了“获取客户端真实IP”。那么负载均衡器一般会通过X-Forwarded-For头将客户端真实IP传递到后端服务器。那么这时候$remote_addr通常就是负载均衡器的实例IP。
proxy_set_header X-Forwarded-For $remote_addr;
这种配置方式和$proxy_add_x_forwarded_for不一样,不会将$remote_addr的值追加在原来的值后面,而是直接覆盖原有的X-Forwarded-For的值。
$http_x_forwarded_for
nginx中还可以使用$http_x_forwarded_for获取nginx收到的X-Forwarded-For的值。不过一般用于在打印access日志时使用。
如果是上述所说的http协议,针对七层监听,且负载均衡器已经将客户端真实IP放在了X-Forwarded-For中传过来了。那么就不要去修改X-Forwarded-For头,nginx会将传来的值原封不动地再反代到后端服务器去。或者修改就使用$http_x_forwarded_for变量。