Global Accelerator:Pertahankan IP sumber klien

Metode

Untuk pendengar HTTP dan HTTPS, Global Accelerator (GA) menggunakan fitur Preserve Client IP untuk mendapatkan alamat IP klien asal. Fitur ini diaktifkan secara default.

GA menyimpan alamat IP klien asal dalam bidang X-Forwarded-For header permintaan HTTP. Anda dapat mengonfigurasi server backend Anda untuk mengambil alamat IP ini. Alamat IP pertama dalam bidang tersebut adalah alamat IP klien asal.

X-Forwarded-For: <IP klien asal, IP server proxy 1, IP server proxy 2, ...>

Prosedur

Prosedur ini menggunakan server Nginx 1.20.1 yang berjalan di Alibaba Cloud Linux 3 sebagai contoh. Langkah-langkahnya dapat berbeda tergantung lingkungan Anda.

1. Jalankan nginx -V | grep http_realip_module untuk memeriksa apakah modul http_realip_module telah terinstal. Nginx menggunakan modul ini untuk mengurai catatan X-Forwarded-For.

   Jika output mencakup --with-http_realip_module, berarti modul tersebut telah terinstal. Lanjutkan ke langkah berikutnya.

   Contoh output jika modul http_realip_module telah terinstal

   nginx version: nginx/1.20.1
   built by gcc 4.8.5 20150623 (Red Hat 4.8.5-44) (GCC) 
   built with OpenSSL 1.1.1k  FIPS 25 Mar 2021
   TLS SNI support enabled
   configure arguments: --prefix=/usr/share/nginx --sbin-path=/usr/sbin/nginx --modules-path=/usr/lib64/nginx/modules --conf-path=/etc/nginx/nginx.conf --error-log-path=/var/log/nginx/error.log --http-log-path=/var/log/nginx/access.log --http-client-body-temp-path=/var/lib/nginx/tmp/client_body --http-proxy-temp-path=/var/lib/nginx/tmp/proxy --http-fastcgi-temp-path=/var/lib/nginx/tmp/fastcgi --http-uwsgi-temp-path=/var/lib/nginx/tmp/uwsgi --http-scgi-temp-path=/var/lib/nginx/tmp/scgi --pid-path=/run/nginx.pid --lock-path=/run/lock/subsys/nginx --user=nginx --group=nginx --with-compat --with-debug --with-file-aio --with-google_perftools_module --with-http_addition_module --with-http_auth_request_module --with-http_dav_module --with-http_degradation_module --with-http_flv_module --with-http_gunzip_module --with-http_gzip_static_module --with-http_image_filter_module=dynamic --with-http_mp4_module --with-http_perl_module=dynamic --with-http_random_index_module --with-http_realip_module --with-http_secure_link_module --with-http_slice_module --with-http_ssl_module --with-http_stub_status_module --with-http_sub_module --with-http_v2_module --with-http_xslt_module=dynamic --with-mail=dynamic --with-mail_ssl_module --with-pcre --with-pcre-jit --with-stream=dynamic --with-stream_ssl_module --with-stream_ssl_preread_module --with-threads --with-cc-opt='-O2 -g -pipe -Wall -Wp,-D_FORTIFY_SOURCE=2 -fexceptions -fstack-protector-strong --param=ssp-buffer-size=4 -grecord-gcc-switches -specs=/usr/lib/rpm/redhat/redhat-hardened-cc1 -m64 -mtune=generic' --with-ld-opt='-Wl,-z,relro -specs=/usr/lib/rpm/redhat/redhat-hardened-ld -Wl,-E'
   

   Catatan

   • Modul http_realip_module tersedia sejak Nginx 1.0.4 (2011). Jika Anda menggunakan versi yang lebih lama, backup konfigurasi Anda dan lakukan upgrade Nginx.

   • Jika modul http_realip_module belum terinstal, kompilasi ulang Nginx dengan modul tersebut atau instal ulang Nginx menggunakan manajer paket seperti yum.

2. Edit file konfigurasi Nginx. Jalankan nginx -t untuk menemukan path file tersebut. Path default biasanya /etc/nginx/nginx.conf.

   http {
     # Pastikan log_format mencakup $http_x_forwarded_for. Variabel ini mencatat nilai X-Forwarded-For.
     log_format  main  '$remote_addr - $remote_user [$time_local] "$request" '
                         '$status $body_bytes_sent "$http_referer" '
                         '"$http_user_agent" "$http_x_forwarded_for"';
     
     # ...
   }
   

3. Jalankan perintah sudo nginx -s reload untuk memuat ulang konfigurasi Nginx.

4. Ambil alamat IP klien asal.

   Anda dapat memeriksa log akses Nginx untuk memverifikasi bahwa alamat IP klien asal berhasil diambil.

   Jalankan perintah tail -n <jumlah_baris> <path_log>. Dalam entri log yang dikembalikan, periksa bidang yang sesuai dengan variabel $http_x_forwarded_for. Alamat IP pertama adalah alamat IP klien asal.

   Dalam contoh ini, path file log Nginx default adalah /var/log/nginx/access.log.

   [root@izxxx ~]# tail -n 1 /var/log/nginx/access.log
   172.20xxx - - [17/Oct/2024:17:46:49 +0800] "GET / HTTP/1.1" 304 0 "-" "Mozilla/5.0" "47.243.xxx"

   Catatan

   Untuk mencegah log pemeriksaan kesehatan menimpa entri yang berisi alamat IP klien asal, tampilkan beberapa entri log sekaligus atau sementara tingkatkan interval pemeriksaan kesehatan.

Metode

Untuk mendapatkan alamat IP klien asal, aktifkan fitur Preserve Client IP dan pilih metode pengambilan.

Metode yang didukung bervariasi tergantung jenis layanan backend.

• Otomatis: GA meneruskan alamat IP klien asal langsung ke layanan backend. Alamat IP klien yang diterima oleh server backend adalah alamat IP klien asal.

• Proxy Protocol: Server backend harus mendukung Proxy Protocol untuk mendapatkan alamat IP klien asal.

  Apa itu Proxy Protocol?

  Proxy Protocol adalah protokol untuk meneruskan informasi koneksi jaringan asli klien dari server proxy ke server backend.

  Umumnya, saat server proxy meneruskan permintaan klien, ia menulis ulang header permintaan dan mengganti alamat IP serta port asli klien dengan miliknya sendiri. Hal ini mencegah server backend mendapatkan informasi jaringan asli klien.

  Dengan Proxy Protocol, server proxy membungkus informasi koneksi asli klien dalam header Proxy Protocol dan menambahkannya di awal data yang diteruskan ke server backend. Server backend kemudian dapat mengurai header ini untuk mendapatkan informasi asli, seperti alamat IP sumber, port sumber, dan protokol.

  Hal ini memungkinkan server backend melakukan pencatatan log, kontrol akses, dan pemantauan trafik yang lebih akurat.

  Penting

  • Proxy Protocol memerlukan dukungan dari server proxy dan server backend agar berfungsi dengan benar. Jika server backend Anda tidak dapat mengurai Proxy Protocol, mengaktifkan fitur ini kemungkinan besar akan menyebabkan error parsing dan memengaruhi ketersediaan layanan.

  • GA menggunakan Proxy Protocol untuk mengirimkan informasi koneksi asli (seperti IP sumber, IP tujuan, port sumber, dan port tujuan) dengan menambahkannya di awal aliran data TCP. Proses ini tidak membuang atau menimpa data yang sudah ada.

  • GA hanya mendukung Proxy Protocol v1, yang hanya mendukung protokol TCP. Untuk informasi selengkapnya, lihat The PROXY protocol.

Prosedur

Prosedur ini menggunakan server Nginx 1.20.1 yang berjalan di Alibaba Cloud Linux 3 sebagai contoh. Langkah-langkahnya dapat berbeda tergantung lingkungan Anda.

Metode

Untuk mengambil alamat IP klien asal, aktifkan fitur Preserve Client IP. Pada pendengar UDP, fitur ini hanya mendukung metode Automatically Retrieve Client IP, di mana GA meneruskan alamat IP klien asal langsung ke layanan backend.

Saat Anda mengaktifkan Preserve Client IP untuk pendengar UDP, batasan berikut berlaku:

• Hanya instans GA bayar sesuai penggunaan yang didukung.

  Jika instans GA bayar sesuai penggunaan Anda tidak mendukung pengaktifan client IP preservation untuk pendengar UDP, kemungkinan versi instans tersebut belum mendukung fitur ini. Untuk menggunakan fitur ini, hubungi manajer akun Anda untuk meminta peningkatan instans.

• Fitur ini hanya didukung ketika Backend Service Type adalah ECS , ENI , atau NLB . Untuk layanan backend tipe NLB, fitur Preserve Client IP tidak diaktifkan secara default. Untuk menggunakan fitur ini, hubungi manajer akun Anda.

• Server backend hanya dapat mengambil alamat IP asal dari klien dengan versi IP yang sama (IPv4 ke IPv4 dan IPv6 ke IPv6).

Prosedur

Prosedur ini menggunakan server Nginx 1.20.1 yang berjalan di Alibaba Cloud Linux 3 sebagai contoh. Langkah-langkahnya dapat berbeda tergantung lingkungan Anda.

1. Aktifkan pelestarian IP klien.

   1. Masuk ke Konsol Global Accelerator (GA).

   2. Pada halaman Instances, temukan instans GA target, lalu klik Configure Listener di kolom Actions.

   3. Pada tab Listener, temukan pendengar UDP target, lalu klik Edit Listener di kolom Actions.

   4. Pada halaman Configure Listener & Protocol, klik Next.

   5. Pada halaman Configure Endpoint Group, pilih Maintain dari daftar drop-down Preserve Client IP, lalu klik Next.

      Retrieve Client IP Address diatur ke Automatic secara default.

   6. Pada halaman Configuration Review, konfirmasi konfigurasi lalu klik Submit.

2. Periksa file konfigurasi Nginx.

   Jalankan perintah nginx -t untuk menemukan path file konfigurasi. Path default biasanya /etc/nginx/nginx.conf.

   Catatan

   Untuk memproses trafik UDP, server Nginx harus mendukung modul stream{}.

   Modul stream{} ditambahkan pada Nginx 1.9.0 dan tidak diinstal secara default. Anda harus mengompilasi dan menginstalnya untuk menggunakan modul stream{}.

   #...
   # Proses trafik UDP (pastikan modul ini disertakan)
   stream {
       log_format main_stream '$remote_addr - [$time_local] '
                           '"$protocol" $status $bytes_sent $bytes_received '
                           '"$session_time"';
       access_log  /var/log/nginx/stream_access.log  main_stream;
   # Contoh: pendengar UDP pada port 4000
       server {
           listen 4000 udp;
           #...
       }
   }

3. Ambil alamat IP klien asal.

   • Metode 1: Periksa log Nginx untuk memverifikasi alamat IP klien asal.

     Jalankan perintah tail -n <jumlah_baris> <path_log>. Dalam entri log yang dikembalikan, alamat IP pertama, yang sesuai dengan variabel $remote_addr, adalah alamat IP klien asal.

     Dalam contoh ini, path file log adalah /var/log/nginx/stream_access.log.

     [root@iZ2zxxx          ~]# tail -n 5 /var/log/nginx/stream_access.log
     47.251.xxx.xxx - [24/Jan/2025:13:37:43 +0800] "UDP" 200 0 12 "600.099"
     47.251.xxx.xxx - [24/Jan/2025:13:39:11 +0800] "UDP" 200 0 12 "600.088"
     47.251.xxx.xxx - [24/Jan/2025:13:39:28 +0800] "UDP" 200 0 14 "600.012"
     47.251.xxx.xxx - [24/Jan/2025:13:39:37 +0800] "UDP" 200 0 14 "600.009"
     47.251.xxx.xxx - [24/Jan/2025:13:41:04 +0800] "UDP" 200 0 14 "600.086"

   • Metode 2: Tangkap paket data untuk memverifikasi alamat IP klien asal.

     Jalankan perintah tcpdump udp port [port_pendengar] -n -X -s 0 untuk memeriksa paket data guna menemukan alamat IP klien asal.

     [root@iz2xxx ~]# tcpdump udp port 4000 -n -X -s 0
     dropped privs to tcpdump
     tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
     listening on eth0, link-type EN10MB (Ethernet), capture size 262144 bytes
     14:04:06.047337 IP 47.251.xxx.xxx 55491 > 10.5.120.213.terabase: UDP, length 14
     0x0000: 4500 002a 6e1e 4000 4011 a221 2ffb 77ae  E..*n.@.@..!/w.
     0x0010: 0a05 78d5 d8c3 0fa0 0016 12fb 4865 6c6c  ..x.........Hell
     0x0020: 6f2c 2055 4450 3032 210a                  o, UDP02!.

Pemecahan masalah pelestarian IP klien

• Untuk pendengar HTTP atau HTTPS, pelestarian alamat IP klien tidak berfungsi jika server backend tidak dapat mencatat atau memproses header X-Forwarded-For.

• Untuk pendengar TCP:

  • Jika layanan backend Anda ditempatkan di Alibaba Cloud, pelestarian alamat IP klien tidak berfungsi jika instans backend, atau instans yang terkait dengan Elastic IP Address (EIP), tidak berada dalam VPC.

  • Jika layanan backend Anda ditempatkan di luar Alibaba Cloud, server backend harus mendukung Proxy Protocol untuk mendapatkan alamat IP klien. Jika tidak, fitur ini tidak berfungsi.

    Saat pelestarian alamat IP klien diaktifkan, Global Accelerator menggunakan Proxy Protocol untuk meneruskan alamat IP klien. Jika server backend Anda tidak mendukung Proxy Protocol, server tersebut tidak dapat mengurai trafik yang dipercepat dengan benar.

  • Jika klien IPv6 mengakses layanan backend IPv4, server backend harus mendukung Proxy Protocol untuk mendapatkan alamat IP klien. Jika tidak, fitur ini tidak berfungsi.

• Untuk pendengar UDP, pelestarian alamat IP klien tidak berfungsi jika klien IPv6 mengakses layanan backend IPv4.

Nonaktifkan pelestarian IP klien

Untuk pendengar HTTP dan HTTPS, pelestarian alamat IP klien diaktifkan secara default dan tidak dapat dinonaktifkan.

Mengambil IP klien dalam terjemahan IPv6-ke-IPv4

• Untuk pendengar HTTP atau HTTPS, alamat IP klien baik untuk klien IPv4 maupun IPv6 hanya tersedia dalam bidang X-Forwarded-For header permintaan HTTP.

• Untuk pendengar TCP, hanya Proxy Protocol yang didukung untuk mendapatkan alamat IP klien IPv6. Dengan metode ini, server backend harus mendukung Proxy Protocol untuk mendapatkan alamat IP klien. Jika tidak, akses dapat gagal.

• Untuk pendengar UDP, pengambilan alamat IP klien IPv6 tidak didukung.