学习笔记 - Nginx在多层代理下获取真实客户端IP地址

今天药忘吃喽~ 2022-03-26 01:42 150阅读 0赞

最近在研究nginx中如何获取真实客户端IP的方法。众所周知，在编译Nginx时，可通过添加http\_realip\_module模块来获取真实客户端IP地址。何为真实IP地址呢？请看下图，既获取到的真实客户端IP是101，既不是正向代理服的104，也不是反向代理的105。

![833778-20170203001659839-1608149224.png][]

我们以PHP为例来说明整个过程吧。

前期准备：

在/home/apps/realip.com/下新建index.php：

<?php

foreach($\_SERVER as $k=>$v)

echo $k . '=' . $v . '<br />';

修改104, 105, 106的nginx.conf的log格式为：

log\_format  main  'remote\_addr=$remote\_addr:$remote\_port, http\_x\_forwarded\_for=$http\_x\_forwarded\_for, proxy\_add\_x\_forwarded\_for=$proxy\_add\_x\_forwarded\_for ';

**场景一（最简单的场景）：**

**![833778-20170203001731308-1368223966.png][]**

在106上的/etc/nginx/conf.d目录里，新建realip.com.conf，内容如下。

upstream realip \{

server 127.0.0.1:9100;

server \{

listen       80;

server\_name  realip.com;

access\_log  /var/log/nginx/realip.com.access.log main;

error\_log  /var/log/nginx/realip.com.error.log error;

location / \{

root   /home/apps/realip.com/;

index  index.php;

error\_page   500 502 503 504  /50x.html;

location = /50x.html \{

root   /usr/share/nginx/html;

location ~ \\.php$ \{

root           /home/apps/realip.com/;

fastcgi\_pass   realip;

fastcgi\_index  index.php;

fastcgi\_param SCRIPT\_FILENAME $document\_root$fastcgi\_script\_name;

include        fastcgi\_params;

location ~ /\\.ht \{

deny  all;

同时修改fastcgi\_params文件确保有以下两行：

fastcgi\_param  REMOTE\_ADDR        $remote\_addr;

fastcgi\_param HTTP\_X\_FORWARDED\_FOR $proxy\_add\_x\_forwarded\_for;

在客户机101上做host:

192.168.1.106 realip.com

在客户机上打开浏览器访问[http://realip.com][http_realip.com]，看到的结果是：

REMOTE\_ADDR=192.168.1.101

HTTP\_X\_FORWARDED\_FOR=192.168.1.101

106上的Nginx log是：

remote\_addr=192.168.1.101:23350, http\_x\_forwarded\_for=-, proxy\_add\_x\_forwarded\_for=192.168.1.101

结果描述：

1.  REMOTE\_ADDR和HTTP\_X\_FORWARDED\_FOR都是真实客户端IP地址101。

**场景二（增加一台Nginx****反向代理）：**

![833778-20170203001813479-1487974409.png][]

在105上的/etc/nginx/conf.d目录里，新建realip.com.conf，内容如下。

upstream realip \{

\#反向代理到106的80端口

server 192.168.1.106:80;

server \{

listen       80;

server\_name  realip.com;

access\_log  /var/log/nginx/realip.com.access.log main;

error\_log  /var/log/nginx/realip.com.error.log error;

location / \{

proxy\_pass  http://realip;

proxy\_set\_header   Host             $host;

proxy\_set\_header   X-Real-IP        $remote\_addr;

proxy\_set\_header X-Forwarded-For $proxy\_add\_x\_forwarded\_for;

include        fastcgi\_params;

同时修改fastcgi\_params文件确保有以下一行：

fastcgi\_param  REMOTE\_ADDR        $remote\_addr;

在客户机101上修改host:

192.168.1.105 realip.com

在客户机上打开浏览器访问[http://realip.com][http_realip.com]，看到的结果是：

REMOTE\_ADDR=192.168.1.105

HTTP\_X\_FORWARDED\_FOR=192.168.1.101, 192.168.1.105

HTTP\_X\_REAL\_IP=192.168.1.101

106上的Nginx log是：

remote\_addr=192.168.1.105:34686, http\_x\_forwarded\_for=192.168.1.101, proxy\_add\_x\_forwarded\_for=192.168.1.101, 192.168.1.105

105上的Nginx log是：

remote\_addr=192.168.1.101:23417, http\_x\_forwarded\_for=-, proxy\_add\_x\_forwarded\_for=192.168.1.101

结果描述**：**

1.  REMOTE\_ADDR变成了反向代理105的IP地址
2.  HTTP\_X\_FORWARDED\_FOR记录了真实客户端IP和反向代理IP，以逗号分隔。
3.  新出现的HTTP\_X\_REAL\_IP也是真实客户端IP地址，是由105的realip.com.conf配置写入的

**场景三（再增加一台Nginx****正向代理）：**

**![833778-20170203001839698-988150904.png][]**

Nginx是可以做正向代理的，但是必须指定resolver（既DNS）。但是我没有搭建内网DNS，所以就把104又搭建成了一台反向代理来模拟正向代理。我认为正向、反向代理原理都是差不多的，取得的结果也应该差不多的（如果谁能用真正的正向代理测试出了不同结果，请告知一下）。

同时修改fastcgi\_params文件确保有以下一行：

fastcgi\_param  REMOTE\_ADDR        $remote\_addr;

在客户机101上修改host:

192.168.1.104 realip.com

我们在客户机上打开浏览器访问[http://realip.com][http_realip.com]，看到的结果是：

REMOTE\_ADDR=192.168.1.105

HTTP\_X\_FORWARDED\_FOR=192.168.1.101, 192.168.1.104, 192.168.1.105

HTTP\_X\_REAL\_IP=192.168.1.104

106上的Nginx log是：

remote\_addr=192.168.1.105:34780, http\_x\_forwarded\_for=192.168.1.101, 192.168.1.104, proxy\_add\_x\_forwarded\_for=192.168.1.101, 192.168.1.104, 192.168.1.105

105上的Nginx log是：

remote\_addr=192.168.1.104:60142, http\_x\_forwarded\_for=192.168.1.101, proxy\_add\_x\_forwarded\_for=192.168.1.101, 192.168.1.104

104上的Nginx log是：

remote\_addr=192.168.1.101:23470, http\_x\_forwarded\_for=-, proxy\_add\_x\_forwarded\_for=192.168.1.101

结果描述**：**

1.  REMOTE\_ADDR还是反向代理105的IP地址
2.  HTTP\_X\_FORWARDED\_FOR记录了真实客户端IP和两台反向代理IP，以逗号分隔。
3.  HTTP\_X\_REAL\_IP变成了104

结论：

在默认配置情况下，如果要取得客户端真实IP地址的话，只有取HTTP\_X\_FORWARDED\_FOR的第一个逗号前的IP地址最靠谱，其他的地址都有可能被重写。当然，如果连HTTP\_X\_FORWARDED\_FOR都被重写的话就另当别论了

[833778-20170203001659839-1608149224.png]: /images/20220326/40ba46428a514f14a8cef75f73230236.png
[833778-20170203001731308-1368223966.png]: /images/20220326/fea3509e2df24e1fb87303749be7bf8e.png
[http_realip.com]: http://realip.com/
[833778-20170203001813479-1487974409.png]: /images/20220326/cb3c13e8fc5540589465110b4a3f06ac.png
[833778-20170203001839698-988150904.png]: /images/20220326/ddbc9cef81ed4f17ad6fbb9baf9f2681.png