Web Application Firewall:Obtención de las direcciones IP de origen de los clientes

Funcionamiento

WAF inserta la dirección IP del cliente en el encabezado de solicitud X-Forwarded-For antes de reenviar la solicitud a su servidor de origen:

X-Forwarded-For: <client IP>

Cuando las solicitudes pasan por varios proxies —como WAF, Anti-DDoS Pro o Anti-DDoS Premium y Alibaba Cloud CDN— cada proxy agrega su dirección. El encabezado registra una cadena separada por comas:

X-Forwarded-For: <client IP>, <proxy 1 IP>, <proxy 2 IP>, <proxy 3 IP>, ...

El valor más a la izquierda siempre corresponde a la dirección IP de origen del cliente.

Requisitos previos

Antes de empezar, asegúrese de contar con lo siguiente:

• Un sitio web agregado a WAF

• Los bloques CIDR de retorno al origen de WAF correspondientes a su región. Consulte Allow access from the back-to-origin CIDR blocks of WAF

• Copias de seguridad del entorno de su servidor de origen, incluidas las instantáneas de instancias de Elastic Compute Service (ECS) y los archivos de configuración del servidor web

Configuración de servidores NGINX

NGINX utiliza el módulo http_realip_module para leer la dirección IP real del cliente desde el encabezado X-Forwarded-For.

nginx -V | grep http_realip_module

wget http://nginx.org/download/nginx-1.12.2.tar.gz
tar zxvf nginx-1.12.2.tar.gz
cd nginx-1.12.2
./configure --user=www --group=www --prefix=/alidata/server/nginx \
  --with-http_stub_status_module \
  --without-http-cache \
  --with-http_ssl_module \
  --with-http_realip_module
make
make install
kill -USR2 `cat /alidata/server/nginx/logs/nginx.pid`
kill -QUIT `cat /alidata/server/nginx/logs/nginx.pid.oldbin`

nginx -s reload

Configuración de servidores IIS 6

IIS 6 utiliza el módulo F5XForwardedFor para recuperar la dirección IP de origen del cliente.

1. Copie F5XForwardedFor.dll desde el directorio x86\Release o x64\Release hacia un directorio personalizado, como C:\ISAPIFilters\x86 o C:\ISAPIFilters\x64.

   - Asegúrese de que el proceso de Internet Information Services (IIS) tenga permisos de lectura y escritura sobre el directorio. - Si el archivo no se encuentra en el directorio de publicación, descargue F5XForwardedFor.dll y cópielo al directorio correspondiente.

2. Abra el Administrador de IIS, haga clic derecho en su sitio web y seleccione Properties.

3. En la pestaña ISAPI Filters, haga clic en Add y establezca los siguientes parámetros (ejemplo para un sistema operativo de 32 bits):

   Parámetro	Valor
   Filter name	x_forwarded_for_x86
   Executable	Ruta completa a F5XForwardedFor.dll, por ejemplo C:\ISAPIFilters\x86\F5XForwardedFor.dll

4. Haga clic en OK y reinicie el servidor IIS 6 para que los cambios surtan efecto.

Configuración de servidores IIS 7

IIS 7 utiliza el módulo F5XForwardedFor para recuperar la dirección IP de origen del cliente.

1. Copie F5XFFHttpModule.dll y F5XFFHttpModule.ini desde el directorio x86\Release o x64\Release hacia un directorio personalizado, como C:\x_forwarded_for\x86 o C:\x_forwarded_for\x64.

   - Asegúrese de que el proceso de IIS tenga permisos de lectura y escritura sobre el directorio. - Si los archivos no se encuentran en el directorio de publicación, descargue F5XForwardedFor y cópielos al directorio correspondiente.

2. En el Administrador de IIS, haga doble clic en Modules.

3. En el panel Actions, haga clic en Configure Local Module y luego en Register.

4. Registre el módulo con los siguientes parámetros (ejemplo para un sistema operativo de 32 bits):

   Parámetro	Valor
   Name	x_forwarded_for_x86
   Path	Ruta completa a F5XFFHttpModule.dll, por ejemplo C:\x_forwarded_for\x86\F5XFFHttpModule.dll

5. En el cuadro de diálogo Configure Local Module, seleccione el módulo recién registrado y haga clic en OK.

6. En la sección ISAPI and CGI Restrictions, agregue la DLL registrada y configure Restriction como Allow.

7. Reinicie el servidor IIS 7 para que los cambios surtan efecto.

Configuración de servidores Apache

Configuración de servidores Tomcat

Tomcat lee la dirección IP del cliente desde el encabezado X-Forwarded-For a través de su componente AccessLogValve.

1. Abra tomcat/conf/server.xml.

2. Actualice la entrada AccessLogValve para registrar %{X-FORWARDED-FOR}i en lugar del host remoto predeterminado:

   <Valve className="org.apache.catalina.valves.AccessLogValve" directory="logs"
          prefix="localhost_access_log." suffix=".txt"
          pattern="%{X-FORWARDED-FOR}i %l %u %t %r %s %b %D %q %{User-Agent}i %T"
          resolveHosts="false"/>

Configuración de contenedores Kubernetes

Cuando su servidor de origen se ejecuta en Kubernetes, el controlador Ingress almacena la dirección IP de origen del cliente en X-Original-Forwarded-For y las direcciones IP de retorno al origen de WAF en X-Forwarded-For. Para restaurar la dirección IP de origen en X-Forwarded-For, actualice la configuración del controlador Ingress.

1. Edite el ConfigMap kube-system/nginx-configuration:

   kubectl -n kube-system edit cm nginx-configuration

2. Agregue las siguientes claves:

   compute-full-forwarded-for: "true"
   forwarded-for-header: "X-Forwarded-For"
   use-forwarded-headers: "true"

3. Guarde el archivo. Los cambios surten efecto de inmediato; no es necesario reiniciar.

4. Actualice su aplicación para que lea la dirección IP de origen del cliente desde el encabezado X-Original-Forwarded-For en lugar de X-Forwarded-For.

Pasos siguientes

• Allow access from the back-to-origin CIDR blocks of WAF