Web Application Firewall:Récupérer les adresses IP d'origine des clients

Fonctionnement

Avant de transmettre la requête à votre serveur d'origine, WAF insère l'adresse IP du client dans l'en-tête de requête X-Forwarded-For :

X-Forwarded-For: <client IP>

Lorsque les requêtes transitent par plusieurs proxys, tels que WAF, Anti-DDoS Pro ou Anti-DDoS Premium, et Alibaba Cloud CDN, chaque proxy ajoute sa propre adresse. L'en-tête enregistre ainsi une chaîne séparée par des virgules :

X-Forwarded-For: <client IP>, <proxy 1 IP>, <proxy 2 IP>, <proxy 3 IP>, ...

La valeur la plus à gauche correspond toujours à l'adresse IP d'origine du client.

Prérequis

Avant de commencer, assurez-vous de disposer des éléments suivants :

• Un site web ajouté à WAF

• Les blocs CIDR de retour vers l'origine de WAF pour votre région. Consultez la rubrique Autoriser l'accès depuis les blocs CIDR de retour vers l'origine de WAF

• Des sauvegardes de l'environnement de votre serveur d'origine, y compris les snapshots d'instances Elastic Compute Service (ECS) et les fichiers de configuration du serveur web

Configuration des serveurs NGINX

NGINX utilise le module http_realip_module pour lire l'adresse IP réelle du client à partir de l'en-tête X-Forwarded-For.

nginx -V | grep http_realip_module

wget http://nginx.org/download/nginx-1.12.2.tar.gz
tar zxvf nginx-1.12.2.tar.gz
cd nginx-1.12.2
./configure --user=www --group=www --prefix=/alidata/server/nginx \
  --with-http_stub_status_module \
  --without-http-cache \
  --with-http_ssl_module \
  --with-http_realip_module
make
make install
kill -USR2 `cat /alidata/server/nginx/logs/nginx.pid`
kill -QUIT `cat /alidata/server/nginx/logs/nginx.pid.oldbin`

nginx -s reload

Configuration des serveurs IIS 6

IIS 6 utilise le module F5XForwardedFor pour récupérer l'adresse IP d'origine du client.

1. Copiez le fichier F5XForwardedFor.dll depuis le répertoire x86\Release ou x64\Release vers un répertoire personnalisé, tel que C:\ISAPIFilters\x86 ou C:\ISAPIFilters\x64.

   - Assurez-vous que le processus Internet Information Services (IIS) dispose des permissions de lecture et d'écriture sur le répertoire. - Si le fichier ne se trouve pas dans le répertoire de publication, téléchargez F5XForwardedFor.dll et copiez-le dans le répertoire.

2. Ouvrez le Gestionnaire IIS, cliquez avec le bouton droit sur votre site web, puis sélectionnez Properties.

3. Dans l'onglet ISAPI Filters, cliquez sur Add et définissez les paramètres suivants (exemple pour un système d'exploitation 32 bits) :

   Parameter	Value
   Filter name	x_forwarded_for_x86
   Executable	Chemin complet vers F5XForwardedFor.dll, par exemple C:\ISAPIFilters\x86\F5XForwardedFor.dll

4. Cliquez sur OK, puis redémarrez le serveur IIS 6 pour que les modifications prennent effet.

Configuration des serveurs IIS 7

IIS 7 utilise le module F5XForwardedFor pour récupérer l'adresse IP d'origine du client.

1. Copiez les fichiers F5XFFHttpModule.dll et F5XFFHttpModule.ini depuis le répertoire x86\Release ou x64\Release vers un répertoire personnalisé, tel que C:\x_forwarded_for\x86 ou C:\x_forwarded_for\x64.

   - Assurez-vous que le processus IIS dispose des permissions de lecture et d'écriture sur le répertoire. - Si les fichiers ne se trouvent pas dans le répertoire de publication, téléchargez F5XForwardedFor et copiez-les dans le répertoire.

2. Dans le Gestionnaire IIS, double-cliquez sur Modules.

3. Dans le panneau Actions, cliquez sur Configure Local Module, puis sur Register.

4. Enregistrez le module avec les paramètres suivants (exemple pour un système d'exploitation 32 bits) :

   Parameter	Value
   Name	x_forwarded_for_x86
   Path	Chemin complet vers F5XFFHttpModule.dll, par exemple C:\x_forwarded_for\x86\F5XFFHttpModule.dll

5. Dans la boîte de dialogue Configure Local Module, sélectionnez le module nouvellement enregistré, puis cliquez sur OK.

6. Dans la section ISAPI and CGI Restrictions, ajoutez la DLL enregistrée et définissez Restriction sur Allow.

7. Redémarrez le serveur IIS 7 pour que les modifications prennent effet.

Configuration des serveurs Apache

Configuration des serveurs Tomcat

Tomcat lit l'adresse IP du client à partir de l'en-tête X-Forwarded-For via son composant AccessLogValve.

1. Ouvrez le fichier tomcat/conf/server.xml.

2. Mettez à jour l'entrée AccessLogValve pour journaliser %{X-FORWARDED-FOR}i au lieu de l'hôte distant par défaut :

   <Valve className="org.apache.catalina.valves.AccessLogValve" directory="logs"
          prefix="localhost_access_log." suffix=".txt"
          pattern="%{X-FORWARDED-FOR}i %l %u %t %r %s %b %D %q %{User-Agent}i %T"
          resolveHosts="false"/>

Configuration des conteneurs Kubernetes

Lorsque votre serveur d'origine s'exécute dans Kubernetes, le contrôleur Ingress stocke l'adresse IP d'origine du client dans l'en-tête X-Original-Forwarded-For et les adresses IP de retour vers l'origine de WAF dans l'en-tête X-Forwarded-For. Pour restaurer l'adresse IP d'origine dans l'en-tête X-Forwarded-For, mettez à jour la configuration du contrôleur Ingress.

1. Modifiez la ConfigMap kube-system/nginx-configuration :

   kubectl -n kube-system edit cm nginx-configuration

2. Ajoutez les clés suivantes :

   compute-full-forwarded-for: "true"
   forwarded-for-header: "X-Forwarded-For"
   use-forwarded-headers: "true"

3. Enregistrez le fichier. Les modifications prennent effet immédiatement ; aucun redémarrage n'est nécessaire.

4. Mettez à jour votre application pour qu'elle lise l'adresse IP d'origine du client à partir de l'en-tête X-Original-Forwarded-For au lieu de X-Forwarded-For.

Étapes suivantes

• Autoriser l'accès depuis les blocs CIDR de retour vers l'origine de WAF