Server Load Balancer:Récupérer l'adresse IP du client sur un serveur backend

Serveur Nginx

Cette rubrique utilise un serveur Nginx exécutant Alibaba Cloud Linux 3.2104 et nginx/1.20.1 à titre d'exemple. La configuration réelle peut varier selon votre environnement.

Nginx utilise le module http_realip_module pour analyser l'en-tête X-Forwarded-For et récupérer l'adresse IP réelle du client.

1. Vérifiez que le module est installé : sur le serveur, exécutez la commande nginx -V 2>&1 | grep --color=auto http_realip_module. Si la sortie contient --with-http_realip_module, le module est installé.

   

   Pour les distributions Linux courantes, Nginx installé via un gestionnaire de packages tel que yum ou apt inclut généralement ce module par défaut. Si le module n'est pas installé, nous vous recommandons d'installer ou de mettre à niveau Nginx à l'aide d'un gestionnaire de packages.

2. Modifiez le fichier de configuration Nginx : exécutez sudo nginx -t pour trouver le chemin d'accès au fichier de configuration. Le chemin par défaut est généralement /etc/nginx/nginx.conf.

   http {
       # Ensure the log format includes $http_x_forwarded_for to record the value of the X-Forwarded-For header.
       log_format main '$remote_addr - $remote_user [$time_local] "$request" '
                     '$status $body_bytes_sent "$http_referer" '
                     '"$http_user_agent" "$http_x_forwarded_for"';    
       # Ensure the access log uses the preceding log format.             
       access_log  /var/log/nginx/access.log  main;
       #  ...
   }

3. Rechargez la configuration : exécutez sudo nginx -t pour vérifier la syntaxe de la configuration. Si la syntaxe est correcte, exécutez sudo nginx -s reload pour appliquer les modifications.

Serveur Apache

Cette rubrique utilise un serveur Apache exécutant Alibaba Cloud Linux 3.2104 et Apache/2.4.37 à titre d'exemple. La configuration réelle peut varier selon votre environnement.

Apache utilise le module mod_remoteip pour analyser l'en-tête X-Forwarded-For et récupérer l'adresse IP réelle du client.

1. Vérifiez que le module est installé : sur le serveur, exécutez la commande httpd -M | grep remoteip_module. Si la sortie contient remoteip_module (shared), le module est installé.

   

   Pour les distributions Linux courantes, Apache installé via un gestionnaire de packages tel que yum ou apt inclut généralement ce module par défaut. Si le module n'est pas installé, nous vous recommandons d'installer ou de mettre à niveau Apache à l'aide d'un gestionnaire de packages.

2. Modifiez le fichier de configuration Apache : exécutez httpd -V pour trouver le chemin d'accès au fichier de configuration. Le chemin par défaut est généralement /etc/httpd/conf/httpd.conf.

   # ...
   <IfModule log_config_module>
   # ...
   # Ensure the log format includes %{X-Forwarded-For}i to record the value of the X-Forwarded-For header.
   LogFormat "%h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\" %{X-Forwarded-For}i" combined
   # ...
   # Ensure the access log uses the preceding log format.
   CustomLog "logs/access_log" combined
   </IfModule>
   # ...

3. Rechargez la configuration : exécutez sudo systemctl restart httpd pour appliquer les modifications.

Serveur IIS

Cette rubrique utilise un serveur IIS exécutant Windows Server 2022 21H2 et IIS 10.0 à titre d'exemple. La configuration réelle peut varier selon votre environnement.

1. Dans le volet Connections d'IIS Manager, sélectionnez le serveur cible. Dans le volet principal, double-cliquez sur Logging.

   

2. Dans la section Log File, cliquez sur Select Fields.

   

3. Dans la boîte de dialogue W3C Logging Fields, cliquez sur Add Field. Dans la boîte de dialogue Add Custom Field, configurez les informations du champ, puis cliquez sur OK.

   • Field Name : saisissez X-Forwarded-For.

   • Source Type : conservez la valeur par défaut, Request Header.

   • Source : saisissez X-Forwarded-For.

   

4. Confirmez que le champ personnalisé a été ajouté et cliquez sur OK.

   

5. Dans le volet Actions à droite, cliquez sur Apply pour enregistrer les modifications.

   

Serveur Nginx

Le chemin par défaut du journal d'accès Nginx est /var/log/nginx/access.log.

Dans chaque entrée de journal, la valeur de la variable $http_x_forwarded_for correspond à l'adresse IP réelle du client.

Serveur Apache

Le chemin par défaut du journal d'accès Apache est /var/log/httpd/access_log.

Dans chaque entrée de journal, la valeur de la variable %{X-Forwarded-For}i correspond à l'adresse IP réelle du client.

Serveur IIS

Le chemin par défaut du journal d'accès IIS est %SystemDrive%\inetpub\logs\LogFiles.

Dans chaque entrée de journal, la valeur du dernier champ X-Forwarded-For correspond à l'adresse IP réelle du client.

Nginx

Par défaut, $remote_addr dans les journaux Nginx enregistre l'adresse IP de transfert ALB (adresse IP locale). Pour la remplacer par l'adresse IP réelle du client (afin que la journalisation existante et les règles de contrôle d'accès fonctionnent sans modification), utilisez le module ngx_http_realip_module :

1. Exécutez nginx -V | grep http_realip_module pour vérifier que le module est installé.

2. Dans le fichier de configuration (par défaut : /etc/nginx/nginx.conf), ajoutez les éléments suivants au bloc http :

   set_real_ip_from  <vSwitch CIDR block of the instance>;
   real_ip_header    X-Forwarded-For;
   real_ip_recursive on;

   Si vous utilisez une instance ALB non mise à niveau, définissez set_real_ip_from sur 100.64.0.0/10 .

3. Exécutez sudo nginx -t pour vérifier la syntaxe, puis exécutez sudo nginx -s reload pour recharger la configuration.

Une fois la configuration effective, consultez le journal d'accès (par défaut : /var/log/nginx/access.log ) pour vérifier que $remote_addr affiche désormais l'adresse IP réelle du client.

Si le trafic traverse plusieurs proxys tels que WAF ou CDN, ajoutez les plages d'adresses IP d'origine de chaque couche de proxy à set_real_ip_from .

Les requêtes de contrôle d'intégrité ne contiennent pas l'en-tête X-Forwarded-For , donc $remote_addr pour ces requêtes affiche toujours le bloc CIDR du vSwitch de l'instance ALB (ou 100.64.0.0/10 pour les instances non mises à niveau). Il s'agit d'un comportement attendu.

Apache

Par défaut, %h dans les journaux Apache enregistre l'adresse IP de transfert ALB (adresse IP locale). Pour la remplacer par l'adresse IP réelle du client (afin que la journalisation existante et les règles de contrôle d'accès Require ip fonctionnent sans modification), utilisez le module intégré mod_remoteip d'Apache 2.4 :

1. Exécutez httpd -M | grep remoteip_module pour vérifier que le module est installé.

2. Dans le fichier de configuration (par défaut : /etc/httpd/conf/httpd.conf), ajoutez les éléments suivants :

   RemoteIPHeader       X-Forwarded-For
   RemoteIPTrustedProxy <vSwitch CIDR block of the instance>

   Si vous utilisez une instance ALB non mise à niveau, définissez RemoteIPTrustedProxy sur 100.64.0.0/10 .

3. Exécutez sudo systemctl restart httpd pour redémarrer Apache.

Une fois la configuration effective, consultez le journal d'accès (par défaut : /var/log/httpd/access_log ) pour vérifier que %h affiche désormais l'adresse IP réelle du client.

Si le trafic traverse plusieurs proxys tels que WAF ou CDN, ajoutez les plages d'adresses IP d'origine de chaque couche de proxy à RemoteIPTrustedProxy .

Les requêtes de contrôle d'intégrité ne contiennent pas l'en-tête X-Forwarded-For , donc %h pour ces requêtes affiche toujours le bloc CIDR du vSwitch de l'instance ALB (ou 100.64.0.0/10 pour les instances non mises à niveau). Il s'agit d'un comportement attendu.