Server Load Balancer:Retrieve the client IP on a backend server

Nginx sunucusu

Bu konuda Alibaba Cloud Linux 3.2104 ve nginx/1.20.1 sürümlerini çalıştıran bir Nginx sunucusu örnek olarak kullanılmıştır. Gerçek yapılandırma ortamınıza bağlı olarak değişiklik gösterebilir.

Nginx, http_realip_module modülünü kullanarak X-Forwarded-For başlığını ayrıştırır ve gerçek istemci IP'sini alır.

1. Modülün yüklü olduğunu doğrulayın: Sunucuda nginx -V 2>&1 | grep --color=auto http_realip_module komutunu çalıştırın. Çıktıda --with-http_realip_module ifadesi varsa modül yüklüdür.

   

   Yaygın Linux dağıtımlarında yum veya apt gibi bir paket yöneticisi aracılığıyla yüklenen Nginx genellikle bu modülü varsayılan olarak içerir. Modül yüklü değilse Nginx'i bir paket yöneticisi kullanarak yüklemeniz veya yükseltmeniz önerilir.

2. Nginx yapılandırma dosyasını değiştirin: Yapılandırma dosyasının yolunu bulmak için sudo nginx -t komutunu çalıştırın. Varsayılan yol genellikle /etc/nginx/nginx.conf olur.

   http {
       # Ensure the log format includes $http_x_forwarded_for to record the value of the X-Forwarded-For header.
       log_format main '$remote_addr - $remote_user [$time_local] "$request" '
                     '$status $body_bytes_sent "$http_referer" '
                     '"$http_user_agent" "$http_x_forwarded_for"';    
       # Ensure the access log uses the preceding log format.             
       access_log  /var/log/nginx/access.log  main;
       #  ...
   }

3. Yapılandırmayı yeniden yükleyin: Yapılandırma sözdizimini denetlemek için sudo nginx -t komutunu çalıştırın. Sözdizimi doğruysa değişiklikleri uygulamak üzere sudo nginx -s reload komutunu çalıştırın.

Apache sunucusu

Bu konuda Alibaba Cloud Linux 3.2104 ve Apache/2.4.37 sürümlerini çalıştıran bir Apache sunucusu örnek olarak kullanılmıştır. Gerçek yapılandırma ortamınıza bağlı olarak değişiklik gösterebilir.

Apache, mod_remoteip modülünü kullanarak X-Forwarded-For başlığını ayrıştırır ve gerçek istemci IP'sini alır.

1. Modülün yüklü olduğunu doğrulayın: Sunucuda httpd -M | grep remoteip_module komutunu çalıştırın. Çıktıda remoteip_module (shared) ifadesi varsa modül yüklüdür.

   

   Yaygın Linux dağıtımlarında yum veya apt gibi bir paket yöneticisi aracılığıyla yüklenen Apache genellikle bu modülü varsayılan olarak içerir. Modül yüklü değilse Apache'yi bir paket yöneticisi kullanarak yüklemeniz veya yükseltmeniz önerilir.

2. Apache yapılandırma dosyasını değiştirin: Yapılandırma dosyasının yolunu bulmak için httpd -V komutunu çalıştırın. Varsayılan yol genellikle /etc/httpd/conf/httpd.conf olur.

   # ...
   <IfModule log_config_module>
   # ...
   # Ensure the log format includes %{X-Forwarded-For}i to record the value of the X-Forwarded-For header.
   LogFormat "%h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\" %{X-Forwarded-For}i" combined
   # ...
   # Ensure the access log uses the preceding log format.
   CustomLog "logs/access_log" combined
   </IfModule>
   # ...

3. Yapılandırmayı yeniden yükleyin: Değişiklikleri uygulamak için sudo systemctl restart httpd komutunu çalıştırın.

IIS sunucusu

Bu konuda Windows Server 2022 21H2 ve IIS 10.0 sürümlerini çalıştıran bir IIS sunucusu örnek olarak kullanılmıştır. Gerçek yapılandırma ortamınıza bağlı olarak değişiklik gösterebilir.

1. IIS Yöneticisi'nin Connections bölmesinde hedef sunucuyu seçin. Ana bölmede Logging öğesine çift tıklayın.

   

2. Log File bölümünde Select Fields seçeneğine tıklayın.

   

3. W3C Logging Fields iletişim kutusunda Add Field seçeneğine tıklayın. Add Custom Field iletişim kutusunda alan bilgilerini yapılandırın ve OK seçeneğine tıklayın.

   • Field Name: X-Forwarded-For girin.

   • Source Type: Varsayılan değeri olan Request Header değerini koruyun.

   • Source: X-Forwarded-For girin.

   

4. Özel alanın eklendiğini onaylayın ve OK seçeneğine tıklayın.

   

5. Sağ taraftaki Actions bölmesinde değişiklikleri kaydetmek için Apply seçeneğine tıklayın.

   

Nginx sunucusu

Nginx erişim günlüğünün varsayılan yolu /var/log/nginx/access.log konumudur.

Her günlük girdisinde $http_x_forwarded_for değişkeninin değeri gerçek istemci IP'sidir.

Apache sunucusu

Apache erişim günlüğünün varsayılan yolu /var/log/httpd/access_log konumudur.

Her günlük girdisinde %{X-Forwarded-For}i değişkeninin değeri gerçek istemci IP'sidir.

IIS sunucusu

IIS erişim günlüğünün varsayılan yolu %SystemDrive%\inetpub\logs\LogFiles konumudur.

Her günlük girdisinde son X-Forwarded-For alanındaki değer gerçek istemci IP'sidir.

Nginx

Varsayılan olarak Nginx günlüklerindeki $remote_addr ALB yönlendirme IP'sini (yerel IP) kaydeder. Mevcut günlük tutma ve erişim kontrolü kurallarının değiştirilmeden çalışması için bunu gerçek istemci IP'si ile değiştirmek üzere ngx_http_realip_module modülünü kullanın:

1. Modülün yüklü olduğunu doğrulamak için nginx -V | grep http_realip_module komutunu çalıştırın.

2. Yapılandırma dosyasında (varsayılan: /etc/nginx/nginx.conf) http bloğuna aşağıdakileri ekleyin:

   set_real_ip_from  <vSwitch CIDR block of the instance>;
   real_ip_header    X-Forwarded-For;
   real_ip_recursive on;

   Yükseltilmemiş bir ALB örneği kullanıyorsanız set_real_ip_from değerini 100.64.0.0/10 olarak ayarlayın.

3. Sözdizimini doğrulamak için sudo nginx -t komutunu çalıştırın ardından yapılandırmayı yeniden yüklemek için sudo nginx -s reload komutunu çalıştırın.

Yapılandırma etkili olduktan sonra erişim günlüğünü (varsayılan: /var/log/nginx/access.log ) denetleyerek $remote_addr değerinin artık gerçek istemci IP'sini gösterdiğini doğrulayın.

Trafik WAF veya CDN gibi birden çok ara sunucudan geçiyorsa her ara sunucu katmanının kaynak IP aralıklarını set_real_ip_from değerine ekleyin.

Durum denetimi istekleri X-Forwarded-For başlığını taşımaz bu nedenle bu istekler için $remote_addr değeri hâlâ ALB örneğinin vSwitch CIDR bloğunu (veya yükseltilmemiş örnekler için 100.64.0.0/10 ) gösterir. Bu beklenen bir davranıştır.

Apache

Varsayılan olarak Apache günlüklerindeki %h ALB yönlendirme IP'sini (yerel IP) kaydeder. Mevcut günlük tutma ve Require ip erişim kontrolü kurallarının değiştirilmeden çalışması için bunu gerçek istemci IP'si ile değiştirmek üzere Apache 2.4'teki yerleşik mod_remoteip modülünü kullanın:

1. Modülün yüklü olduğunu doğrulamak için httpd -M | grep remoteip_module komutunu çalıştırın.

2. Yapılandırma dosyasında (varsayılan: /etc/httpd/conf/httpd.conf) aşağıdakileri ekleyin:

   RemoteIPHeader       X-Forwarded-For
   RemoteIPTrustedProxy <vSwitch CIDR block of the instance>

   Yükseltilmemiş bir ALB örneği kullanıyorsanız RemoteIPTrustedProxy değerini 100.64.0.0/10 olarak ayarlayın.

3. Apache'yi yeniden başlatmak için sudo systemctl restart httpd komutunu çalıştırın.

Yapılandırma etkili olduktan sonra erişim günlüğünü (varsayılan: /var/log/httpd/access_log ) denetleyerek %h değerinin artık gerçek istemci IP'sini gösterdiğini doğrulayın.

Trafik WAF veya CDN gibi birden çok ara sunucudan geçiyorsa her ara sunucu katmanının kaynak IP aralıklarını RemoteIPTrustedProxy değerine ekleyin.

Durum denetimi istekleri X-Forwarded-For başlığını taşımaz bu nedenle bu istekler için %h değeri hâlâ ALB örneğinin vSwitch CIDR bloğunu (veya yükseltilmemiş örnekler için 100.64.0.0/10 ) gösterir. Bu beklenen bir davranıştır.