Web Application Firewall:Obter os endereços IP de origem dos clientes

Como funciona

O WAF insere o IP do cliente no cabeçalho de requisição X-Forwarded-For antes de encaminhar a requisição ao servidor de origem:

X-Forwarded-For: <client IP>

Quando as requisições passam por múltiplos proxies — como WAF, Anti-DDoS Pro ou Anti-DDoS Premium e Alibaba Cloud CDN — cada proxy adiciona seu próprio endereço. O cabeçalho registra uma cadeia separada por vírgulas:

X-Forwarded-For: <client IP>, <proxy 1 IP>, <proxy 2 IP>, <proxy 3 IP>, ...

O valor mais à esquerda é sempre o IP de origem do cliente.

Pré-requisitos

Antes de começar, verifique se você possui:

• Um site adicionado ao WAF

• Os blocos CIDR de back-to-origin do WAF para sua região. Consulte Permitir acesso dos blocos CIDR de back-to-origin do WAF

• Backups do ambiente do servidor de origem, incluindo snapshots de instâncias do Elastic Compute Service (ECS) e arquivos de configuração do servidor web

Configurar servidores NGINX

O NGINX usa o módulo http_realip_module para ler o IP real do cliente no cabeçalho X-Forwarded-For.

nginx -V | grep http_realip_module

wget http://nginx.org/download/nginx-1.12.2.tar.gz
tar zxvf nginx-1.12.2.tar.gz
cd nginx-1.12.2
./configure --user=www --group=www --prefix=/alidata/server/nginx \
  --with-http_stub_status_module \
  --without-http-cache \
  --with-http_ssl_module \
  --with-http_realip_module
make
make install
kill -USR2 `cat /alidata/server/nginx/logs/nginx.pid`
kill -QUIT `cat /alidata/server/nginx/logs/nginx.pid.oldbin`

nginx -s reload

Configurar servidores IIS 6

O IIS 6 usa o módulo F5XForwardedFor para obter o IP de origem do cliente.

1. Copie o arquivo F5XForwardedFor.dll do diretório x86\Release ou x64\Release para um diretório personalizado, como C:\ISAPIFilters\x86 ou C:\ISAPIFilters\x64.

   - Certifique-se de que o processo do Internet Information Services (IIS) tenha permissões de leitura e gravação no diretório. - Se o arquivo não estiver no diretório release, baixe o F5XForwardedFor.dll e copie-o para o diretório.

2. Abra o Gerenciador do IIS, clique em com o botão direito no site e selecione Properties.

3. Na guia ISAPI Filters, clique em Add e defina os seguintes parâmetros (exemplo para SO de 32 bits):

   Parâmetro	Valor
   Filter name	x_forwarded_for_x86
   Executable	Caminho completo para F5XForwardedFor.dll, por exemplo C:\ISAPIFilters\x86\F5XForwardedFor.dll

4. Clique em OK e reinicie o servidor IIS 6 para aplicar as alterações.

Configurar servidores IIS 7

O IIS 7 usa o módulo F5XForwardedFor para obter o IP de origem do cliente.

1. Copie os arquivos F5XFFHttpModule.dll e F5XFFHttpModule.ini do diretório x86\Release ou x64\Release para um diretório personalizado, como C:\x_forwarded_for\x86 ou C:\x_forwarded_for\x64.

   - Certifique-se de que o processo do IIS tenha permissões de leitura e gravação no diretório. - Se os arquivos não estiverem no diretório release, baixe o F5XForwardedFor e copie-os para o diretório.

2. No Gerenciador do IIS, clique em duas vezes em Modules.

3. No painel Actions, clique em Configure Local Module e depois em Register.

4. Registre o módulo com os seguintes parâmetros (exemplo para SO de 32 bits):

   Parâmetro	Valor
   Name	x_forwarded_for_x86
   Path	Caminho completo para F5XFFHttpModule.dll, por exemplo C:\x_forwarded_for\x86\F5XFFHttpModule.dll

5. Na caixa de diálogo Configure Local Module, selecione o módulo recém-registrado e clique em OK.

6. Na seção ISAPI and CGI Restrictions, adicione a DLL registrada e defina Restriction como Allow.

7. Reinicie o servidor IIS 7 para aplicar as alterações.

Configurar servidores Apache

Configurar servidores Tomcat

O Tomcat lê o IP do cliente no cabeçalho X-Forwarded-For por meio da classe AccessLogValve.

1. Abra o arquivo tomcat/conf/server.xml.

2. Atualize a entrada AccessLogValve para registrar %{X-FORWARDED-FOR}i em vez do host remoto padrão:

   <Valve className="org.apache.catalina.valves.AccessLogValve" directory="logs"
          prefix="localhost_access_log." suffix=".txt"
          pattern="%{X-FORWARDED-FOR}i %l %u %t %r %s %b %D %q %{User-Agent}i %T"
          resolveHosts="false"/>

Configurar contêineres Kubernetes

Quando o servidor de origem roda no Kubernetes, o controlador Ingress armazena o IP de origem do cliente em X-Original-Forwarded-For e os IPs de back-to-origin do WAF em X-Forwarded-For. Para restaurar o IP de origem em X-Forwarded-For, atualize a configuração do controlador Ingress.

1. Edite o ConfigMap kube-system/nginx-configuration:

   kubectl -n kube-system edit cm nginx-configuration

2. Adicione as seguintes chaves:

   compute-full-forwarded-for: "true"
   forwarded-for-header: "X-Forwarded-For"
   use-forwarded-headers: "true"

3. Salve o arquivo. As alterações entram em vigor imediatamente, sem necessidade de reinicialização.

4. Atualize sua aplicação para ler o IP de origem do cliente no cabeçalho X-Original-Forwarded-For em vez de X-Forwarded-For.

Próximos passos

• Permitir acesso dos blocos CIDR de back-to-origin do WAF