Server Load Balancer:CLB レイヤー 7 リスナーを使用したクライアント IP アドレスの取得

Nginx サーバー

環境例：CentOS 7.9 と Nginx 1.20.1。お使いの環境は異なる場合があります。

1. nginx -V | grep http_realip_module を実行して、http_realip_module がインストールされているか確認します。Nginx はこのモジュールを使用して X-Forwarded-For レコードを解析します。

   出力に --with-http_realip_module が含まれている場合、モジュールはインストール済みです。次のステップに進んでください。

   ngx_http_realip_module がインストールされている場合の出力例

   nginx version: nginx/1.20.1
   built by gcc 4.8.5 20150623 (Red Hat 4.8.5-44) (GCC) 
   built with OpenSSL 1.1.1k  FIPS 25 Mar 2021
   TLS SNI support enabled
   configure arguments: --prefix=/usr/share/nginx --sbin-path=/usr/sbin/nginx --modules-path=/usr/lib64/nginx/modules --conf-path=/etc/nginx/nginx.conf --error-log-path=/var/log/nginx/error.log --http-log-path=/var/log/nginx/access.log --http-client-body-temp-path=/var/lib/nginx/tmp/client_body --http-proxy-temp-path=/var/lib/nginx/tmp/proxy --http-fastcgi-temp-path=/var/lib/nginx/tmp/fastcgi --http-uwsgi-temp-path=/var/lib/nginx/tmp/uwsgi --http-scgi-temp-path=/var/lib/nginx/tmp/scgi --pid-path=/run/nginx.pid --lock-path=/run/lock/subsys/nginx --user=nginx --group=nginx --with-compat --with-debug --with-file-aio --with-google_perftools_module --with-http_addition_module --with-http_auth_request_module --with-http_dav_module --with-http_degradation_module --with-http_flv_module --with-http_gunzip_module --with-http_gzip_static_module --with-http_image_filter_module=dynamic --with-http_mp4_module --with-http_perl_module=dynamic --with-http_random_index_module --with-http_realip_module --with-http_secure_link_module --with-http_slice_module --with-http_ssl_module --with-http_stub_status_module --with-http_sub_module --with-http_v2_module --with-http_xslt_module=dynamic --with-mail=dynamic --with-mail_ssl_module --with-pcre --with-pcre-jit --with-stream=dynamic --with-stream_ssl_module --with-stream_ssl_preread_module --with-threads --with-cc-opt='-O2 -g -pipe -Wall -Wp,-D_FORTIFY_SOURCE=2 -fexceptions -fstack-protector-strong --param=ssp-buffer-size=4 -grecord-gcc-switches -specs=/usr/lib/rpm/redhat/redhat-hardened-cc1 -m64 -mtune=generic' --with-ld-opt='-Wl,-z,relro -specs=/usr/lib/rpm/redhat/redhat-hardened-ld -Wl,-E'
   

   ngx_http_realip_module は Nginx 1.0.4 (2011年) 以降で利用可能です。古いバージョンを使用している場合は、設定をバックアップしてから Nginx をアップグレードしてください。

   ngx_http_realip_module がインストールされていない場合は、モジュールを含めて Nginx を再コンパイルするか、yum などのパッケージマネージャーを使用して Nginx を再インストールしてください。

2. Nginx 設定ファイルを編集します。ファイルパスを検索するには、nginx -t を実行します。デフォルトは /etc/nginx/nginx.conf です。

   http {
     # log_format に $http_x_forwarded_for が含まれていることを確認します。この変数は X-Forwarded-For の値を記録します。
     log_format  main  '$remote_addr - $remote_user [$time_local] "$request" '
                         '$status $body_bytes_sent "$http_referer" '
                         '"$http_user_agent" "$http_x_forwarded_for"';
     
     # ...
   }
   

3. sudo nginx -s reload コマンドを実行して Nginx の設定をリロードします。

Apache サーバー

環境例：CentOS 7.9 と Apache 2.4.6。お使いの環境は異なる場合があります。

1. httpd -M | grep remoteip_module を実行して remoteip_module がインストールされているかどうかを確認します。Apache はこのモジュールを使用して X-Forwarded-For レコードを解析します。

   出力に remoteip_module (shared) が含まれている場合、モジュールはインストールされています。次のステップに進んでください。

   remoteip_module は Apache 2.4.0 (2012年) 以降で利用可能です。古いバージョンを使用している場合は、設定をバックアップしてから Apache をアップグレードしてください。

   remoteip_module がインストールされていない場合は、モジュールを含めて Apache を再コンパイルするか、yum などのパッケージマネージャーを使用して Apache を再インストールしてください。

2. Apache 設定ファイルを編集します。デフォルトのパスは /etc/httpd/conf/httpd.conf です。

   # ...
   <IfModule log_config_module>
   	# %{X-Forwarded-For}i を追加して X-Forwarded-For 情報を記録します。
     LogFormat "%{X-Forwarded-For}i %h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\"" combined
     LogFormat "%{X-Forwarded-For}i %h %l %u %t \"%r\" %>s %b" common
   	#...
   </IfModule>
   # ...

3. sudo systemctl restart httpd コマンドを実行して、Apache サービスを再起動します。

IIS サーバー

環境例：Windows Server 2016。お使いの環境は異なる場合があります。

1. F5XForwardedFor ファイルをダウンロードして解凍します。

2. OS アーキテクチャに基づいて、x86\ または x64\ ディレクトリから F5XFFHttpModule.dll と F5XFFHttpModule.ini を IIS の読み取り権限がある場所にコピーします。

3. [サーバー マネージャー] で、[IIS マネージャー] を開きます。

4. サーバーを選択し、[モジュール] をダブルクリックします。

   

5. [ネイティブ モジュールの構成] をクリックし、次に [登録] をクリックします。

   

6. ダウンロードした .dll ファイルを追加します。

   1. ファイル名を入力し、パスを選択して [OK] をクリックします。

   2. システムは新しく登録されたモジュールを自動的に選択します。[OK] をクリックします。

7. サーバーのホームページに戻り、[ログ記録] モジュールをダブルクリックします。X-Forwarded-For フィールドを記録するように、ログ形式を設定します。

   1. [フィールドの選択] をクリックします。

      

   2. 左下隅にある [フィールドの追加] をクリックし、ログ フィールドを追加して、[OK] をクリックします。

      

   3. 右上隅にある [適用] をクリックして変更を保存します。

8. IIS サーバーを再起動して、設定を有効にします。

Nginx サーバー

Nginx のアクセスログをチェックして、クライアント IP の取得を確認します。

Nginx アクセスログのデフォルトのパスは /var/log/nginx/access.log です。

$http_x_forwarded_for フィールドの一番左の IP がクライアント IP アドレスです。

Apache サーバー

Apache のアクセスログをチェックして、クライアント IP の取得を確認します。

Apache アクセスログのデフォルトパスは /var/log/httpd/access_log です。

%{X-Forwarded-For}i フィールドの左端の IP がクライアント IP アドレスです。

IIS サーバー

IIS のログをチェックして、クライアント IP の取得を確認します。

ロギングモジュールでログファイルのパスを確認します。

X-Forwarded-For フィールドの左端の IP がクライアント IP アドレスです。

Nginx

デフォルトでは、Nginx のログの $remote_addr は CLB の内部転送 IP (100.64.0.0/10 の範囲) を記録します。これを実際のクライアント IP に置き換えて、既存のログ形式、アクセス制御、およびレート制限ルールを変更なしで機能させるには、ngx_http_realip_module モジュールを使用します。

1. nginx -V | grep http_realip_module を実行して、モジュールがインストールされていることを確認します。

2. 設定ファイル (デフォルト: /etc/nginx/nginx.conf) の http ブロックに以下を追加します:

   set_real_ip_from  100.64.0.0/10;
   real_ip_header    X-Forwarded-For;
   real_ip_recursive on;

3. sudo nginx -t を実行して設定を検証し、次に sudo nginx -s reload を実行してリロードします。

設定が有効になったら、アクセスログ (デフォルト: /var/log/nginx/access.log) で $remote_addr が実際のクライアント IP を表示するようになったことを確認してください。

トラフィックが WAF や CDN などの複数のプロキシを通過する場合、各プロキシレイヤーの送信元 IP 範囲を set_real_ip_from に追加します。

X-Forwarded-For を含まない HEAD ヘルスチェックリクエストの場合、$remote_addr は引き続き 100.64.0.0/10 と表示されます。これは想定どおりの動作です。

Apache

デフォルトでは、Apache ログの %h は CLB 内部転送 IP を記録します。これを実際のクライアント IP に置き換えて、既存のログ形式と Require ip アクセス制御ルールが変更なしで機能するようにするには、Apache 2.4 の組み込み mod_remoteip モジュールを使用します:

1. httpd -M | grep remoteip_module を実行して、モジュールがインストールされていることを確認します。

2. 設定ファイル (デフォルト: /etc/httpd/conf/httpd.conf) に以下を追加します。

   RemoteIPHeader       X-Forwarded-For
   RemoteIPTrustedProxy 100.64.0.0/10

3. sudo systemctl restart httpd を実行して Apache サービスを再起動します。

設定が有効になったら、アクセスログ (デフォルト: /var/log/httpd/access_log) で %h に実際のクライアント IP が表示されることを確認してください。

トラフィックが WAF や CDN などの複数のプロキシを通過する場合、各プロキシ層の送信元 IP 範囲を RemoteIPTrustedProxy に追加します。

ヘルスチェックリクエスト (HEAD で、X-Forwarded-For がない場合) でも、%h は 100.64.0.0/10 と表示され、これは想定内の動作です。