Server Load Balancer:Retrieve the client IP on a backend server

Servidor Nginx

Este tópico usa como exemplo um servidor Nginx executando Alibaba Cloud Linux 3.2104 e nginx/1.20.1. A configuração real pode variar conforme o ambiente.

O Nginx usa o módulo http_realip_module para analisar o cabeçalho X-Forwarded-For e obter o IP real do cliente.

1. Verifique se o módulo está instalado: No servidor, execute o comando nginx -V 2>&1 | grep --color=auto http_realip_module. Se a saída contiver --with-http_realip_module, o módulo já está instalado.

   

   Nas principais distribuições Linux, o Nginx instalado via gerenciador de pacotes, como yum ou apt, geralmente inclui esse módulo por padrão. Se ele não estiver instalado, recomendamos instalar ou atualizar o Nginx usando um gerenciador de pacotes.

2. Modifique o arquivo de configuração do Nginx: Execute sudo nginx -t para localizar o caminho do arquivo de configuração. Normalmente, o caminho padrão é /etc/nginx/nginx.conf.

   http {
       # Ensure the log format includes $http_x_forwarded_for to record the value of the X-Forwarded-For header.
       log_format main '$remote_addr - $remote_user [$time_local] "$request" '
                     '$status $body_bytes_sent "$http_referer" '
                     '"$http_user_agent" "$http_x_forwarded_for"';    
       # Ensure the access log uses the preceding log format.             
       access_log  /var/log/nginx/access.log  main;
       #  ...
   }

3. Recarregue a configuração: Execute sudo nginx -t para verificar a sintaxe da configuração. Se a sintaxe estiver correta, execute sudo nginx -s reload para aplicar as alterações.

Servidor Apache

Este tópico usa como exemplo um servidor Apache executando Alibaba Cloud Linux 3.2104 e Apache/2.4.37. A configuração real pode variar conforme o ambiente.

O Apache usa o módulo mod_remoteip para analisar o cabeçalho X-Forwarded-For e obter o IP real do cliente.

1. Verifique se o módulo está instalado: No servidor, execute o comando httpd -M | grep remoteip_module. Se a saída contiver remoteip_module (shared), o módulo já está instalado.

   

   Nas principais distribuições Linux, o Apache instalado via gerenciador de pacotes, como yum ou apt, geralmente inclui esse módulo por padrão. Se ele não estiver instalado, recomendamos instalar ou atualizar o Apache usando um gerenciador de pacotes.

2. Modifique o arquivo de configuração do Apache: Execute httpd -V para localizar o caminho do arquivo de configuração. Normalmente, o caminho padrão é /etc/httpd/conf/httpd.conf.

   # ...
   <IfModule log_config_module>
   # ...
   # Ensure the log format includes %{X-Forwarded-For}i to record the value of the X-Forwarded-For header.
   LogFormat "%h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\" %{X-Forwarded-For}i" combined
   # ...
   # Ensure the access log uses the preceding log format.
   CustomLog "logs/access_log" combined
   </IfModule>
   # ...

3. Recarregue a configuração: Execute sudo systemctl restart httpd para aplicar as alterações.

Servidor IIS

Este tópico usa como exemplo um servidor IIS executando Windows Server 2022 21H2 e IIS 10.0. A configuração real pode variar conforme o ambiente.

1. No painel Connections do IIS Manager, selecione o servidor desejado. No painel principal, clique duas vezes em Logging.

   

2. Na seção Log File, clique em Select Fields.

   

3. Na caixa de diálogo W3C Logging Fields, clique em Add Field. Na caixa de diálogo Add Custom Field, configure as informações do campo e clique em OK.

   • Field Name: Insira X-Forwarded-For.

   • Source Type: Mantenha o valor padrão, Request Header.

   • source: Insira X-Forwarded-For.

   

4. Confirme a adição do campo personalizado e clique em OK.

   

5. No painel Actions à direita, clique em Apply para salvar as alterações.

   

Servidor Nginx

O caminho padrão do log de acesso do Nginx é /var/log/nginx/access.log.

Em cada entrada de log, o valor da variável $http_x_forwarded_for corresponde ao IP real do cliente.

Servidor Apache

O caminho padrão do log de acesso do Apache é /var/log/httpd/access_log.

Em cada entrada de log, o valor da variável %{X-Forwarded-For}i corresponde ao IP real do cliente.

Servidor IIS

O caminho padrão do log de acesso do IIS é %SystemDrive%\inetpub\logs\LogFiles.

Em cada entrada de log, o valor no último campo X-Forwarded-For corresponde ao IP real do cliente.

Nginx

Por padrão, $remote_addr nos logs do Nginx registra o IP de encaminhamento do ALB (IP local). Para substituí-lo pelo IP real do cliente e garantir que logs e regras de controle de acesso existentes funcionem sem modificações, use o módulo ngx_http_realip_module:

1. Execute nginx -V | grep http_realip_module para verificar se o módulo está instalado.

2. No arquivo de configuração (padrão: /etc/nginx/nginx.conf), adicione o seguinte ao bloco http:

   set_real_ip_from  <vSwitch CIDR block of the instance>;
   real_ip_header    X-Forwarded-For;
   real_ip_recursive on;

   Se você usar uma instância do ALB não atualizada, defina set_real_ip_from como 100.64.0.0/10 .

3. Execute sudo nginx -t para verificar a sintaxe e, em seguida, execute sudo nginx -s reload para recarregar a configuração.

Após a configuração entrar em vigor, verifique o log de acesso (padrão: /var/log/nginx/access.log ) para confirmar que $remote_addr agora exibe o IP real do cliente.

Se o tráfego passar por múltiplos proxies, como WAF ou CDN, adicione os intervalos de IP de origem de cada camada de proxy em set_real_ip_from .

As requisições de verificação de integridade não carregam o cabeçalho X-Forwarded-For , portanto, $remote_addr para essas requisições ainda exibirá o bloco CIDR do vSwitch da instância do ALB (ou 100.64.0.0/10 para instâncias não atualizadas). Esse comportamento é esperado.

Apache

Por padrão, %h nos logs do Apache registra o IP de encaminhamento do ALB (IP local). Para substituí-lo pelo IP real do cliente e garantir que logs e regras de controle de acesso Require ip existentes funcionem sem modificações, use o módulo nativo mod_remoteip do Apache 2.4:

1. Execute httpd -M | grep remoteip_module para verificar se o módulo está instalado.

2. No arquivo de configuração (padrão: /etc/httpd/conf/httpd.conf), adicione o seguinte:

   RemoteIPHeader       X-Forwarded-For
   RemoteIPTrustedProxy <vSwitch CIDR block of the instance>

   Se você usar uma instância do ALB não atualizada, defina RemoteIPTrustedProxy como 100.64.0.0/10 .

3. Execute sudo systemctl restart httpd para reiniciar o Apache.

Após a configuração entrar em vigor, verifique o log de acesso (padrão: /var/log/httpd/access_log ) para confirmar que %h agora exibe o IP real do cliente.

Se o tráfego passar por múltiplos proxies, como WAF ou CDN, adicione os intervalos de IP de origem de cada camada de proxy em RemoteIPTrustedProxy .

As requisições de verificação de integridade não carregam o cabeçalho X-Forwarded-For , portanto, %h para essas requisições ainda exibirá o bloco CIDR do vSwitch da instância do ALB (ou 100.64.0.0/10 para instâncias não atualizadas). Esse comportamento é esperado.