:レイヤー4リスナーを有効にしてクライアントIPアドレスを保持する

クライアントIPアドレスを直接取得する

このシナリオでは、バックエンドサーバーはクライアントIPアドレスを直接取得できます。

NGINXアプリケーションがバックエンドサーバーにデプロイされている場合は、NGINXログをチェックして、バックエンドサーバーがクライアントIPアドレスを取得できるかどうかを判断できます。

次のコードブロックは、NGINXログのフィールドのデフォルト設定を示しています。

http {
  # Default configurations
  log_format  main  '$remote_addr- $remote_user [$time_local] "$request" '
                      '$status $body_bytes_sent "$http_referer" '
                      '"$http_user_agent" "$http_x_forwarded_for"';
	#...
}

NGINXログのデフォルトパスは /var/log/nginx/access.logです。

各ログエントリの最初のIPアドレスはクライアントIPアドレスです。

プロキシプロトコルの有効化

前提条件

• CLBインスタンスが作成され、リスナーが作成されます。 この例では、ポート80でリッスンするTCPリスナーが作成されます。 詳細については、「CLBインスタンスの作成と管理」および「TCPリスナーの追加」をご参照ください。

• CLBインスタンスのサーバーグループが作成され、バックエンドサーバーがサーバーグループに追加されます。 この例では、バックエンドプロトコルとしてTCPを使用するvServerグループが作成されます。 ポート80を使用してリクエストを受信するElastic Compute Service (ECS) インスタンスがvServerグループに追加されます。 詳細については、「vServerグループの作成と管理」をご参照ください。

  説明

  • Proxyプロトコルを有効にする前に、バックエンドサーバーがProxyプロトコルv2をサポートしていることを確認してください。

  • NGINX Plus R16以降のバージョンおよびオープンソースNGINX 1.13.11以降のバージョンは、Proxyプロトコルv2をサポートしています。

  • バックエンドサーバーグループ内のバックエンドサーバーがCLBインスタンスの複数のリスナーに接続されている場合、これらすべてのリスナーに対してプロキシプロトコルを有効にする必要があります。

手順1: リスナーのプロキシプロトコルの有効化

1. CLB コンソールにログインします。

2. 上部のナビゲーションバーで、CLBインスタンスがデプロイされているリージョンを選択します。

3. [インスタンス] ページで、管理するCLBインスタンスのIDをクリックします。

4. インスタンスの詳細ページで、[リスナー] タブをクリックし、レイヤー4リスナーを見つけて、そのIDをクリックします。

5. リスナーの詳細ページで、[プロキシプロトコル] パラメーターは [プロキシプロトコルを使用してクライアントIPアドレスをバックエンドサーバーに渡す] に設定されています。 パラメーターが表示されない場合は、[リスナーの変更] をクリックしてプロキシプロトコルを有効にします。

   重要

   この機能はシームレスな移行をサポートしていません。 プロキシプロトコルを有効にするには、CLBはビジネスを一時停止および更新する必要があります。 作業は慎重に行ってください。

手順2: バックエンドサーバーでプロキシプロトコルを有効にする

この例では、CentOS 7.9オペレーティングシステムとNGINX 1.20.1が使用されています。 使用する環境に基づいて設定を調整します。

1. バックエンドサーバーにログインし、nginx -tコマンドを実行して設定ファイルのパスを照会します。 デフォルトのパスは /etc/nginx/nginx.confで、使用する環境によって異なります。

2. Proxyプロトコルの設定を変更し、変更を保存します。 次のコードブロックに例を示します。

   http {
     # Make sure that $proxy_protocol_addr is configured.
     log_format  main  '$proxy_protocol_addr - $remote_addr- $remote_user [$time_local] "$request" '
                         '$status $body_bytes_sent "$http_referer" '
                         '"$http_user_agent" "$http_x_forwarded_for"';
     # Specify port 80 as the listener port and add the proxy_protocol.
     server {
       listen 80   proxy_protocol;
       #...
     }
   }
   

3. sudo nginx -s reloadコマンドを実行し、NGINX設定ファイルをリロードします。

手順3: バックエンドサーバーがクライアントIPアドレスを取得できることを確認

NGINXアプリケーションがバックエンドサーバーにデプロイされている場合は、NGINXログをチェックして、バックエンドサーバーがクライアントIPアドレスを取得できるかどうかを判断できます。

NGINXログのデフォルトパスは /var/log/nginx/access.logです。

各ログエントリでは、$proxy_protocol_addr変数のIPアドレスはクライアントIPアドレスです。

プロキシプロトコルv2ヘッダー形式

使用するバックエンドサーバーが上記の例と異なる場合は、サーバープロバイダーのマニュアルと「PROXYプロトコル」を参照して、Proxyプロトコルv2で定義されたヘッダー形式に基づいて構文解析構成をカスタマイズできます。

• 次の例は、IPv4クライアントIPアドレスがバイナリ形式のProxy Protocol v2ヘッダーに保持される方法を示しています。

• 次の例は、IPv6クライアントIPアドレスをバイナリ形式のProxy Protocol v2ヘッダーに保持する方法を示しています。