Server Load Balancer:バックエンドサーバーでのクライアント IP の取得

Nginx サーバー

このトピックでは、Alibaba Cloud Linux 3.2104 および nginx/1.20.1 を実行している Nginx サーバーを例に説明します。実際の設定は、お使いの環境によって異なる場合があります。

Nginx は http_realip_module モジュールを使用して X-Forwarded-For ヘッダーを解析し、実際のクライアント IP を取得します。

1. モジュールのインストールの確認：サーバーで nginx -V 2>&1 | grep --color=auto http_realip_module コマンドを実行します。出力に --with-http_realip_module が含まれている場合、モジュールはインストールされています。

   

   主要な Linux ディストリビューションでは、yum や apt などのパッケージマネージャーを介してインストールされた Nginx には、通常、このモジュールがデフォルトで含まれています。モジュールがインストールされていない場合は、パッケージマネージャーを使用して Nginx をインストールまたはアップグレードすることを推奨します。

2. Nginx 設定ファイルの変更：sudo nginx -t を実行して設定ファイルのパスを確認します。デフォルトのパスは通常 /etc/nginx/nginx.conf です。

   http {
       # X-Forwarded-For ヘッダーの値を記録するため、ログ形式に $http_x_forwarded_for を含めます。
       log_format main '$remote_addr - $remote_user [$time_local] "$request" '
                     '$status $body_bytes_sent "$http_referer" '
                     '"$http_user_agent" "$http_x_forwarded_for"';    
       # アクセスログで上記のログ形式を使用します。
       access_log  /var/log/nginx/access.log  main;
       #  ...
   }

3. 設定のリロード：sudo nginx -t を実行して設定構文を確認します。構文が正しい場合は、sudo nginx -s reload を実行して変更を適用します。

Apache サーバー

このトピックでは、Alibaba Cloud Linux 3.2104 および Apache/2.4.37 を実行している Apache サーバーを例に説明します。実際の設定は、お使いの環境によって異なる場合があります。

Apache は mod_remoteip モジュールを使用して X-Forwarded-For ヘッダーを解析し、実際のクライアント IP を取得します。

1. モジュールのインストールの確認：サーバーで httpd -M | grep remoteip_module コマンドを実行します。出力に remoteip_module (shared) が含まれている場合、モジュールはインストールされています。

   

   主要な Linux ディストリビューションでは、yum や apt などのパッケージマネージャーを介してインストールされた Apache には、通常、このモジュールがデフォルトで含まれています。モジュールがインストールされていない場合は、パッケージマネージャーを使用して Apache をインストールまたはアップグレードすることを推奨します。

2. Apache 設定ファイルの変更：httpd -V を実行して設定ファイルのパスを確認します。デフォルトのパスは通常 /etc/httpd/conf/httpd.conf です。

   # ...
   <IfModule log_config_module>
   # ...
   # X-Forwarded-For ヘッダーの値を記録するため、ログ形式に %{X-Forwarded-For}i を含めます。
   LogFormat "%h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\" %{X-Forwarded-For}i" combined
   # ...
   # アクセスログで上記のログ形式を使用します。
   CustomLog "logs/access_log" combined
   </IfModule>
   # ...

3. 設定のリロード：sudo systemctl restart httpd を実行して変更を適用します。

IIS サーバー

このトピックでは、Windows Server 2022 21H2 および IIS 10.0 を実行している IIS サーバーを例に説明します。実際の設定は、お使いの環境によって異なる場合があります。

1. IIS マネージャーの [接続] ペインで、対象のサーバーを選択します。メインペインで、[ログ] をダブルクリックします。

   

2. [ログ ファイル] セクションで、[フィールドの選択] をクリックします。

   

3. [W3C ログ フィールド] ダイアログボックスで、[フィールドの追加] をクリックします。[カスタム フィールドの追加] ダイアログボックスで、フィールド情報を設定し、[OK] をクリックします。

   • [フィールド名]：X-Forwarded-For と入力します。

   • [ソースの種類]：デフォルト値の 要求ヘッダー のままにします。

   • [ソース]：X-Forwarded-For と入力します。

   

4. カスタムフィールドが追加されたことを確認し、[OK] をクリックします。

   

5. 右側の [操作] ペインで、[適用] をクリックして変更を保存します。

   

Nginx サーバー

Nginx アクセスログのデフォルトパスは /var/log/nginx/access.log です。

各ログエントリにおいて、$http_x_forwarded_for 変数の値が実際のクライアント IP です。

Apache サーバー

Apache アクセスログのデフォルトパスは /var/log/httpd/access_log です。

各ログエントリにおいて、%{X-Forwarded-For}i 変数の値が実際のクライアント IP です。

IIS サーバー

IIS アクセスログのデフォルトパスは %SystemDrive%\inetpub\logs\LogFiles です。

各ログエントリにおいて、最後の X-Forwarded-For フィールドの値が実際のクライアント IP です。

Nginx

デフォルトでは、Nginx ログの $remote_addr は ALB の転送 IP (ローカル IP) を記録します。これを実際のクライアント IP に置き換えるには (これにより、既存のロギングおよびアクセス制御ルールが変更なしで機能するようになります)、ngx_http_realip_module モジュールを使用します：

1. nginx -V 2>&1 | grep --color=auto http_realip_module を実行して、モジュールがインストールされていることを確認します。

2. 設定ファイル (デフォルト： /etc/nginx/nginx.conf) の http ブロックに以下を追加します：

   set_real_ip_from  <インスタンスの vSwitch CIDR ブロック>;
   real_ip_header    X-Forwarded-For;
   real_ip_recursive on;

   アップグレードされていない ALB インスタンスを使用する場合、set_real_ip_from を 100.64.0.0/10 に設定します。

3. sudo nginx -t を実行して構文を確認した後、sudo nginx -s reload を実行して設定をリロードします。

設定が有効になった後、アクセスログ (デフォルト： /var/log/nginx/access.log) を確認し、$remote_addr が実際のクライアント IP を表示するようになったことを確認します。

トラフィックが WAF や CDN などの複数のプロキシを通過する場合は、各プロキシレイヤーのオリジン IP 範囲を set_real_ip_from に追加します。

ヘルスチェックリクエストには X-Forwarded-For ヘッダーが含まれないため、これらのリクエストに対する $remote_addr は、引き続き ALB インスタンスの vSwitch CIDR ブロック (またはアップグレードされていないインスタンスの場合は 100.64.0.0/10) を表示します。これは想定される動作です。

Apache

デフォルトでは、Apache ログの %h は ALB の転送 IP (ローカル IP) を記録します。これを実際のクライアント IP に置き換えるには (これにより、既存のロギングおよび Require ip アクセス制御ルールが変更なしで機能するようになります)、Apache 2.4 に組み込まれている mod_remoteip モジュールを使用します：

1. httpd -M | grep remoteip_module を実行して、モジュールがインストールされていることを確認します。

2. 設定ファイル (デフォルト： /etc/httpd/conf/httpd.conf) に以下を追加します：

   RemoteIPHeader       X-Forwarded-For
   RemoteIPTrustedProxy <インスタンスの vSwitch CIDR ブロック>

   アップグレードされていない ALB インスタンスを使用する場合、RemoteIPTrustedProxy を 100.64.0.0/10 に設定します。

3. sudo systemctl restart httpd を実行して Apache を再起動します。

設定が有効になった後、アクセスログ (デフォルト： /var/log/httpd/access_log) を確認し、%h が実際のクライアント IP を表示するようになったことを確認します。

トラフィックが WAF や CDN などの複数のプロキシを通過する場合は、各プロキシレイヤーのオリジン IP 範囲を RemoteIPTrustedProxy に追加します。

ヘルスチェックリクエストには X-Forwarded-For ヘッダーが含まれないため、これらのリクエストに対する %h は、引き続き ALB インスタンスの vSwitch CIDR ブロック (またはアップグレードされていないインスタンスの場合は 100.64.0.0/10) を表示します。これは想定される動作です。