Global Accelerator：Mempertahankan alamat IP klien

Metode

Gunakan fitur Preserve Client IP, yang diaktifkan secara default.

GA menyimpan alamat IP asal klien di bidang X-Forwarded-For dari header permintaan HTTP. Setelah mengonfigurasi server backend, server tersebut dapat mengambil alamat ini. Alamat IP pertama di bidang tersebut adalah alamat IP asal klien.

X-Forwarded-For: <Alamat IP asal klien, Alamat IP server proxy 1, Alamat IP server proxy 2, ...>

Prosedur

Topik ini menggunakan server backend yang menjalankan Alibaba Cloud Linux 3 dan Nginx 1.20.1 sebagai contoh. Konfigurasi mungkin berbeda tergantung pada lingkungan Anda.

1. Jalankan perintah nginx -V | grep http_realip_module di server NGINX untuk memeriksa apakah modul http_realip_module terinstal. Server NGINX menggunakan modul ini untuk mengurai nilai X-Forwarded-For.

   Jika --with-http_realip_module termasuk dalam keluaran, itu menunjukkan bahwa http_realip_module terinstal dan Anda dapat melanjutkan ke langkah berikutnya.

   Keluaran sampel yang menunjukkan bahwa http_realip_module terinstal

   nginx version: nginx/1.20.1
   built by gcc 4.8.5 20150623 (Red Hat 4.8.5-44) (GCC) 
   built with OpenSSL 1.1.1k  FIPS 25 Mar 2021
   TLS SNI support enabled
   configure arguments: --prefix=/usr/share/nginx --sbin-path=/usr/sbin/nginx --modules-path=/usr/lib64/nginx/modules --conf-path=/etc/nginx/nginx.conf --error-log-path=/var/log/nginx/error.log --http-log-path=/var/log/nginx/access.log --http-client-body-temp-path=/var/lib/nginx/tmp/client_body --http-proxy-temp-path=/var/lib/nginx/tmp/proxy --http-fastcgi-temp-path=/var/lib/nginx/tmp/fastcgi --http-uwsgi-temp-path=/var/lib/nginx/tmp/uwsgi --http-scgi-temp-path=/var/lib/nginx/tmp/scgi --pid-path=/run/nginx.pid --lock-path=/run/lock/subsys/nginx --user=nginx --group=nginx --with-compat --with-debug --with-file-aio --with-google_perftools_module --with-http_addition_module --with-http_auth_request_module --with-http_dav_module --with-http_degradation_module --with-http_flv_module --with-http_gunzip_module --with-http_gzip_static_module --with-http_image_filter_module=dynamic --with-http_mp4_module --with-http_perl_module=dynamic --with-http_random_index_module --with-http_realip_module --with-http_secure_link_module --with-http_slice_module --with-http_ssl_module --with-http_stub_status_module --with-http_sub_module --with-http_v2_module --with-http_xslt_module=dynamic --with-mail=dynamic --with-mail_ssl_module --with-pcre --with-pcre-jit --with-stream=dynamic --with-stream_ssl_module --with-stream_ssl_preread_module --with-threads --with-cc-opt='-O2 -g -pipe -Wall -Wp,-D_FORTIFY_SOURCE=2 -fexceptions -fstack-protector-strong --param=ssp-buffer-size=4 -grecord-gcc-switches -specs=/usr/lib/rpm/redhat/redhat-hardened-cc1 -m64 -mtune=generic' --with-ld-opt='-Wl,-z,relro -specs=/usr/lib/rpm/redhat/redhat-hardened-ld -Wl,-E'
   

   Catatan

   • NGINX 1.0.4, yang dirilis pada tahun 2011, dan versi setelahnya mendukung modul http_realip_module. Jika versi NGINX Anda lebih lama dari 1.0.4, kami sarankan mencadangkan data dan meningkatkan ke versi yang lebih baru.

   • Jika modul http_realip_module tidak terinstal di server NGINX, kompilasi ulang dan instal NGINX dengan modul ini. Kami sarankan menggunakan manajer paket seperti YUM untuk menginstal dan mengelola NGINX. Manajer paket menyederhanakan proses ini.

2. Ubah dan simpan file konfigurasi NGINX. Blok kode berikut menunjukkan sebuah contoh. Jalankan perintah nginx -t untuk menanyakan jalur file konfigurasi, yang secara default adalah /etc/nginx/nginx.conf. Jalur tersebut mungkin bervariasi berdasarkan lingkungan yang digunakan.

   http {
     # Tetapkan variabel $http_x_forwarded_for, yang digunakan untuk merekam nilai X-Forwarded-For.
     log_format  main  '$remote_addr- $remote_user [$time_local] "$request" '
                         '$status $body_bytes_sent "$http_referer" '
                         '"$http_user_agent" "$http_x_forwarded_for"';
     
     # ...
   }
   

3. Jalankan perintah sudo nginx -s reload untuk memuat ulang file konfigurasi NGINX.

4. Dapatkan alamat IP asal klien.

   Periksa log Nginx untuk memverifikasi bahwa alamat IP asal klien diperoleh.

   Jalankan perintah tail -n <Jumlah entri log untuk dikembalikan> <Jalur log>. Di keluaran log, lihat bidang yang sesuai dengan variabel $http_x_forwarded_for. Alamat IP pertama adalah alamat IP asal klien.

   Dalam topik ini, jalur default file log Nginx digunakan: /var/log/nginx/access.log.

   

   Catatan

   Jika Anda mengaktifkan pemeriksaan kesehatan untuk Global Accelerator, Anda mungkin perlu melihat beberapa entri log atau sementara waktu meningkatkan interval pemeriksaan kesehatan. Ini mencegah log pemeriksaan kesehatan menimpa entri log yang berisi alamat IP asal klien.

Metode

Aktifkan fitur Preserve Client IP. Kemudian, pilih metode untuk mendapatkan alamat IP asal klien.

Metode yang didukung bervariasi tergantung pada jenis layanan backend.

• Mengambil Otomatis IP Klien: Alamat IP asal klien diteruskan langsung ke server backend.

• Proxy Protocol: Server backend harus mendukung Proxy Protocol untuk mendapatkan alamat IP asal klien.

  Apa itu Proxy Protocol?

  Proxy Protocol adalah protokol komunikasi yang meneruskan informasi koneksi jaringan asli klien dari server proxy ke server backend.

  Biasanya, ketika server proxy meneruskan permintaan klien ke server backend, ia menulis ulang header permintaan. Alamat IP sumber dan port klien diganti dengan informasi server proxy. Ini mencegah server backend mendapatkan informasi koneksi jaringan asli klien.

  Dengan Proxy Protocol, server proxy mengenkapsulasi informasi koneksi jaringan asli klien di header permintaan dan mengirimkannya ke server backend. Server backend kemudian dapat mengurai header Proxy Protocol untuk mendapatkan informasi koneksi jaringan asli klien, termasuk alamat IP sumber, port sumber, dan protokol komunikasi.

  Dengan menggunakan Proxy Protocol, server backend dapat secara akurat mendapatkan informasi koneksi jaringan asli klien untuk pencatatan yang lebih tepat, kontrol akses, dan pemantauan lalu lintas.

  Penting

  • Proxy Protocol hanya bekerja jika baik server proxy maupun server backend mendukungnya. Jika server backend tidak dapat mengurai header Proxy Protocol, mengaktifkan fitur ini dapat menyebabkan kesalahan penguraian dan memengaruhi ketersediaan layanan.

  • GA pendengar mendukung Proxy Protocol untuk meneruskan informasi koneksi asli, seperti IP sumber, IP tujuan, port sumber, dan port tujuan. Informasi ini ditambahkan ke header data TCP tanpa membuang atau menimpa data yang ada.

  • GA hanya mendukung Proxy Protocol v1. Proxy Protocol v1 hanya mendukung protokol TCP. Untuk informasi lebih lanjut, lihat The PROXY protocol.

Prosedur

Topik ini menggunakan server backend yang menjalankan Alibaba Cloud Linux 3 dan Nginx 1.20.1 sebagai contoh. Konfigurasi mungkin berbeda tergantung pada lingkungan Anda.

Metode

Gunakan fitur Preserve Client IP. Setelah Anda mengaktifkan fitur ini, hanya metode Automatically Retrieve Client IP yang didukung secara default. GA meneruskan alamat IP asal klien langsung ke server backend.

Batasan berikut berlaku saat Anda mengaktifkan Preserve Client IP untuk pendengar UDP:

• Fitur ini hanya didukung untuk instansiasi GA bayar sesuai penggunaan.

  Jika instansiasi GA bayar sesuai penggunaan Anda tidak mendukung Preserve Client Source IP untuk pendengar UDP, instans tersebut mungkin merupakan versi lama. Hubungi manajer akun Anda untuk meningkatkan instans GA Anda.

• Backend Service Type hanya bisa ECS, ENI, atau NLB. Untuk layanan backend jenis NLB, fitur Client IP Preservation tidak diaktifkan secara default. Untuk menggunakan fitur ini, hubungi manajer akun Anda.

• Hanya server backend IPv4 yang dapat memperoleh alamat IP asal klien IPv4, dan hanya server backend IPv6 yang dapat memperoleh alamat IP asal klien IPv6.

Prosedur

Topik ini menggunakan server backend yang menjalankan Alibaba Cloud Linux 3 dan Nginx 1.20.1 sebagai contoh. Konfigurasi mungkin berbeda tergantung pada lingkungan Anda.

1. Aktifkan pelestarian IP klien.

   1. Masuk ke Konsol Global Accelerator.

   2. Di halaman Instances, temukan instansiasi Global Accelerator target, dan klik Configure Listener di kolom Actions.

   3. Di tab Listeners, temukan pendengar UDP target, dan klik Mod Lsnr di kolom Actions.

   4. Di langkah Configure Listener & Protocol, klik Next.

   5. Di langkah Configure Endpoint Group, pilih Preserve dari tab Preserve Client IP dan klik Next.

      Dalam kasus ini, Method To Obtain Client's Originating IP diatur ke Automatically Retrieve Client IP secara default.

      

   6. Di langkah Configuration Review, konfirmasi konfigurasi dan klik Submit.

2. Lihat file konfigurasi layanan Nginx.

   Anda dapat menjalankan perintah nginx -t untuk melihat jalur file konfigurasi. Secara default, jalurnya adalah /etc/nginx/nginx.conf. Jalur sebenarnya mungkin berbeda tergantung pada lingkungan Anda.

   Catatan

   Untuk memproses lalu lintas UDP, server Nginx pada layanan backend harus mendukung modul stream{}.

   Modul stream{} ditambahkan di NGINX 1.9.0 dan seterusnya. Namun, modul ini tidak diinstal secara default. Anda harus mengkompilasi dan menginstal modul stream{}.

   #...
   
   # Proses lalu lintas UDP (pastikan untuk menyertakan modul ini)
   stream {
       log_format main_stream '$remote_addr - [$time_local] '
                           '"$protocol" $status $bytes_sent $bytes_received '
                           '"$session_time"';
   
       access_log  /var/log/nginx/stream_access.log  main_stream;
   # Gunakan port pendengar UDP 4000 sebagai contoh
       server {
           listen 4000 udp;
           #...
       }
   }

3. Dapatkan alamat IP asal klien.

   • Metode 1: Periksa log Nginx untuk memverifikasi bahwa alamat IP asal klien diperoleh.

     Jalankan perintah tail -n <Jumlah entri log untuk dikembalikan> <Jalur log>. Di keluaran log, periksa alamat IP pertama (bidang yang sesuai dengan variabel $remote_addr). Ini adalah alamat IP asal klien.

     Dalam skenario ini, jalur file log adalah /var/log/nginx/stream_access.log.

     

   • Metode 2: Tangkap paket untuk memverifikasi bahwa alamat IP asal klien diperoleh.

     Jalankan perintah tcpdump udp port [Port pendengar] -n -X -s 0 untuk melihat alamat IP asal klien dalam paket yang ditangkap.

     

Mengapa fitur pelestarian IP klien tidak bekerja setelah diaktifkan?

• Jika Anda menggunakan pendengar HTTP atau HTTPS dan server backend tidak dapat mencatat atau memproses header X-Forwarded-For, pelestarian alamat IP klien tidak akan berfungsi.

• Jika Anda menggunakan pendengar TCP:

  • Jika layanan backend ditempatkan di Alibaba Cloud tetapi server backend tidak ditempatkan di virtual private cloud (VPC) atau alamat IP elastis (EIP) tidak terkait dengan instance tipe VPC, server backend tidak dapat melestarikan alamat IP klien.

  • Jika layanan backend ditempatkan di luar Alibaba Cloud, server backend harus mendukung Proxy Protocol agar mereka dapat melestarikan alamat IP klien.

    Ini karena GA menggunakan Proxy Protocol untuk melestarikan alamat IP klien setelah Anda mengaktifkan pelestarian alamat IP klien. Oleh karena itu, Anda harus memastikan bahwa server backend mendukung Proxy Protocol. Jika tidak, server backend tidak dapat mengurai header Proxy Protocol.

  • Jika klien menggunakan alamat IPv6 untuk mengakses layanan backend IPv4, server backend harus mendukung Proxy Protocol. Jika tidak, server backend tidak dapat melestarikan alamat IP klien.

• Jika Anda menggunakan pendengar UDP dan klien menggunakan alamat IPv6 untuk mengakses layanan backend IPv4, pelestarian alamat IP klien tidak akan berfungsi.

Bagaimana cara menonaktifkan pelestarian alamat IP klien?

Untuk pendengar HTTP dan HTTPS, pelestarian alamat IP klien diaktifkan secara otomatis dan tidak dapat dinonaktifkan.

Bagaimana cara mendapatkan alamat IP asal klien ketika GA menangani lalu lintas dari klien IPv6 ke layanan IPv4?

• Pendengar HTTP dan HTTPS mendapatkan alamat IP klien IPv6 dan IPv4 menggunakan header HTTP X-Forwarded-For.

• Pendengar TCP mendapatkan alamat IP klien IPv6 menggunakan Proxy Protocol. Metode ini memerlukan agar server backend mendukung Proxy Protocol. Jika tidak, akses mungkin gagal.

• Pendengar UDP tidak dapat mendapatkan alamat IP klien IPv6.