Server Load Balancer:Obtenir les adresses IP des clients via une instance NLB

Préservation de l'adresse IP client

Prérequis

• Vous avez créé un groupe de serveurs NLB et y avez ajouté des serveurs principaux. Cette rubrique utilise un groupe de serveurs de type ECS comme exemple. Le protocole principal est TCP, les instances ECS sont utilisées comme serveurs principaux et l'application sur les serveurs principaux utilise le port 80. Pour plus d'informations, consultez la section Groupes de serveurs NLB.

• Vous avez créé une instance NLB et y avez ajouté un écouteur. Cette rubrique utilise un écouteur TCP sur le port 80 comme exemple. Pour plus d'informations, consultez les sections Créer et gérer des instances NLB et Ajouter un écouteur TCP.

Étape 1 : Vérifier la préservation de l'adresse IP client

1. Connectez-vous à la console Network Load Balancer.

2. Dans la barre de navigation supérieure, sélectionnez la région où l'instance est déployée.

3. Sur la page Server Groups, recherchez le groupe de serveurs cible et cliquez sur son ID.

4. Sur la page des détails du groupe de serveurs, vérifiez que le champ Client IP Preservation est défini sur Enabled. S'il est défini sur Disabled, cliquez sur Modify Basic Information et activez la fonctionnalité.

Étape 2 : Vérifier la récupération de l'adresse IP client

Si NGINX est utilisé comme serveur principal, consultez les journaux NGINX pour vérifier que l'adresse IP du client est obtenue.

L'exemple suivant montre la configuration par défaut des champs de journal dans NGINX :

http {
  # Default configuration
  log_format  main  '$remote_addr- $remote_user [$time_local] "$request" '
                      '$status $body_bytes_sent "$http_referer" '
                      '"$http_user_agent" "$http_x_forwarded_for"';
	#...
}

Le chemin par défaut du fichier journal NGINX est /var/log/nginx/access.log.

La première adresse IP de chaque entrée de journal est l'adresse IP du client.

140.205.1xxx -- [xxx] xxx xxx xxx xxx xxx xxx
xxx xxx xxx xxx xxx xxx xxx xxx xxx xxx
140.205.xx.29 -- [27/xxx] xxx xxx xxx xxx xxx xxx 527 xxx
xxx xxx xxx xxx xxx xxx xxx xxx xxx
140.205.xx.29 -- [2xxx] xxx xxx 304 xxx xxx xxx xxx xxx

Proxy Protocol

Prérequis

• Vous avez créé un groupe de serveurs NLB et y avez ajouté des serveurs principaux. Cette rubrique utilise un groupe de serveurs de type ECS comme exemple. Le protocole principal est TCP, les instances ECS sont utilisées comme serveurs principaux et l'application sur les serveurs principaux utilise le port 80. Pour plus d'informations, consultez la section Groupes de serveurs NLB.

• Vous avez créé une instance NLB et y avez ajouté un écouteur. Cette rubrique utilise un écouteur TCP sur le port 80 comme exemple. Pour plus d'informations, consultez la section Créer et gérer des instances NLB.

  Remarque

  • Avant d'activer le protocole Proxy Protocol, assurez-vous que vos serveurs principaux prennent en charge la version 2 du protocole Proxy Protocol. Sinon, les nouvelles connexions échoueront.

  • Si plusieurs écouteurs d'une instance sont associés au même groupe de serveurs, vous devez activer le protocole Proxy Protocol pour tous.

  • NGINX Plus R16 ou version ultérieure et NGINX open source 1.13.11 ou version ultérieure prennent en charge la version 2 du protocole Proxy Protocol.

Étape 1 : Activer le protocole Proxy Protocol sur l'écouteur

1. Connectez-vous à la console Network Load Balancer.

2. Dans la barre de navigation supérieure, sélectionnez la région où l'instance est déployée.

3. Sur la page Instances, recherchez l'instance cible et cliquez sur son ID.

4. Sur la page Instance Details, cliquez sur l'onglet Listener, recherchez l'écouteur cible et cliquez sur l'ID de l'écouteur.

5. Sur la page Listener Details, vérifiez que le champ Enable Proxy Protocol est défini sur Enabled. S'il n'est pas activé, cliquez sur Modify Listener et activez la fonctionnalité.

Étape 2 : Activer le protocole Proxy Protocol sur le serveur principal

Cette section utilise CentOS 7.9 et NGINX 1.20.1 comme exemples. Votre configuration peut varier.

1. Connectez-vous au serveur principal et exécutez la commande nginx -t pour trouver le chemin du fichier de configuration. Le chemin par défaut est généralement /etc/nginx/nginx.conf, mais le chemin réel peut varier.

2. Modifiez et enregistrez le fichier de configuration pour activer le protocole Proxy Protocol, comme indiqué dans l'exemple suivant.

   http {
     # Make sure to set $proxy_protocol_addr. This variable is used to record the client IP address.
     log_format  main  '$proxy_protocol_addr - $remote_addr- $remote_user [$time_local] "$request" '
                         '$status $body_bytes_sent "$http_referer" '
                         '"$http_user_agent" "$http_x_forwarded_for"';
     # For a listener on port 80, add the proxy_protocol parameter.
     server {
       listen 80   proxy_protocol;
       #...
     }
   }
               

3. Exécutez la commande sudo nginx -s reload pour recharger le fichier de configuration NGINX.

Étape 3 : Vérifier la récupération de l'adresse IP client

Si NGINX est utilisé comme serveur principal, consultez les journaux NGINX pour vérifier que l'adresse IP du client est obtenue.

Le chemin par défaut du fichier journal NGINX est /var/log/nginx/access.log.

Dans chaque entrée de journal, l'adresse IP de la variable $proxy_protocol_addr correspond à l'adresse IP du client.

140.205.1xxx -- [xxx]
xxx
140.205.xx.29 -- [27/xxx] xxx xxx xxx
xxx
140.205.xx.29 -- [2xxx] 304 xxx xxx xxx
xxx

Référence de l'en-tête Proxy Protocol v2

Si vous n'utilisez pas NGINX, reportez-vous à la structure de l'en-tête Proxy Protocol v2 ci-dessous et à la documentation The PROXY protocol pour implémenter une analyse personnalisée. Consultez la documentation officielle de votre serveur pour plus de détails.

• La figure suivante montre le format d'en-tête binaire pour Proxy Protocol v2 lors du transport d'une adresse client IPv4 :

• La figure suivante montre le format d'en-tête binaire pour Proxy Protocol v2 lors du transport d'une adresse client IPv6 :