Server Load Balancer:Enable NLB to preserve client IP addresses and pass them to backend servers

前提条件

• NLB サーバーグループが作成され、バックエンドサーバーがサーバーグループに追加されます。この例では、サーバータイプのサーバーグループが作成されます。バックエンドプロトコルは TCP、Elastic Compute Service（ECS）インスタンスはバックエンドサーバーとして使用され、ポート 80 はバックエンドアプリケーションによって使用されます。詳細については、「サーバーグループを作成および管理する」をご参照ください。

• NLB インスタンスが作成され、NLB インスタンスのリスナーが作成されます。この例では、ポート 80 を使用する TCP リスナーが使用されます。詳細については、「NLB インスタンスを作成および管理する」および「TCP リスナーを追加する」をご参照ください。

手順 1：サーバーグループでクライアント IP アドレスの保持が有効になっているかどうかを確認する

1. NLB コンソール にログインします。

2. 上部のナビゲーションバーで、NLB インスタンスがデプロイされているリージョンを選択します。

3. [サーバーグループ] ページで、管理するサーバーグループの ID をクリックします。

4. サーバーグループの詳細ページで、[クライアント IP の保持] のステータスが [有効] であることを確認します。ステータスが [無効] の場合は、[基本情報の変更] をクリックして機能を有効にします。

手順 2：バックエンドサーバーがクライアント IP アドレスを保持できるかどうかを確認する

バックエンドサーバーに NGINX アプリケーションがデプロイされている場合は、NGINX ログを確認して、バックエンドサーバーがクライアント IP アドレスを保持できるかどうかを判断できます。

次のコードブロックは、NGINX ログのフィールドのデフォルト構成を示しています。

http {
  # デフォルト構成
  log_format  main  '$remote_addr- $remote_user [$time_local] "$request" '
                      '$status $body_bytes_sent "$http_referer" '
                      '"$http_user_agent" "$http_x_forwarded_for"';
	#...
}

NGINX ログのデフォルトパスは、/var/log/nginx/access.log です。

各ログエントリの最初の IP アドレスは、クライアント IP アドレスです。

前提条件

• NLB サーバーグループが作成され、バックエンドサーバーがサーバーグループに追加されます。この例では、サーバータイプのサーバーグループが作成されます。バックエンドプロトコルは TCP、ECS インスタンスはバックエンドサーバーとして使用され、ポート 80 はバックエンドアプリケーションによって使用されます。詳細については、「サーバーグループを作成および管理する」をご参照ください。

• NLB インスタンスが作成され、NLB インスタンスのリスナーが作成されます。この例では、ポート 80 を使用する TCP リスナーが使用されます。詳細については、「NLB インスタンスを作成および管理する」をご参照ください。

  説明

  • Proxy プロトコルを有効にする前に、バックエンドサーバーが Proxy protocol v2 をサポートしていることを確認してください。

  • 複数のリスナーが同じバックエンドサーバーグループに関連付けられている場合は、すべてのリスナーで Proxy プロトコルを有効にする必要があります。

  • NGINX Plus R16 以降のバージョンとオープンソース NGINX 1.13.11 以降のバージョンは、Proxy protocol v2 をサポートしています。

手順 1：リスナーの Proxy プロトコルを有効にする

1. NLB コンソール にログインします。

2. 上部のナビゲーションバーで、NLB インスタンスがデプロイされているリージョンを選択します。

3. [インスタンス] ページで、管理するインスタンスの ID をクリックします。

4. インスタンスの詳細ページで、[リスナー] タブをクリックし、管理するリスナーの ID をクリックします。

5. リスナーの詳細ページで、[proxy プロトコルの有効化] のステータスが [有効] であることを確認します。Proxy プロトコルが無効になっている場合は、[リスナーの変更] をクリックして Proxy プロトコルを有効にします。

手順 2：バックエンドサーバーの Proxy プロトコルを有効にする

この例では、CentOS 7.9 オペレーティングシステムと NGINX 1.20.1 が使用されています。使用する環境に基づいて構成を調整してください。

1. バックエンドサーバーにログインし、nginx -t コマンドを実行して、構成ファイルのパスをクエリします。デフォルトのパスは /etc/nginx/nginx.conf ですが、使用する環境によって異なる場合があります。

2. Proxy プロトコルの構成を変更し、変更を保存します。次のコードブロックは例を示しています。

   http {
     # クライアント IP アドレスを記録するために使用される変数 $proxy_protocol_addr を設定します。
     log_format  main  '$proxy_protocol_addr - $remote_addr- $remote_user [$time_local] "$request" '
                         '$status $body_bytes_sent "$http_referer" '
                         '"$http_user_agent" "$http_x_forwarded_for"';
     # リスナーがポート 80 を使用することを指定し、proxy_protocol を追加します。
     server {
       listen 80   proxy_protocol;
       #...
     }
   }
   

3. sudo nginx -s reload コマンドを実行して、NGINX 構成ファイルを再読み込みします。

手順 3：バックエンドサーバーがクライアント IP アドレスを保持できるかどうかをテストする

バックエンドサーバーに NGINX アプリケーションがデプロイされている場合は、NGINX ログを確認して、バックエンドサーバーがクライアント IP アドレスを保持できるかどうかを判断できます。

NGINX ログのデフォルトパスは /var/log/nginx/access.log です。

各ログエントリで、変数 $proxy_protocol_addr の IP アドレスはクライアント IP アドレスです。

Proxy protocol v2 で送信されるサンプルパケット

使用しているバックエンドサーバーが前の例のものと異なる場合は、サーバープロバイダーのマニュアルと The PROXY protocol を参照して、Proxy protocol v2 で定義されているパケット構造に基づいて解析構成をカスタマイズできます。

• 次の例は、バイナリ形式の Proxy protocol v2 ヘッダーで IPv4 クライアント IP アドレスがどのように保持されるかを示しています。

• 次の例は、バイナリ形式の Proxy protocol v2 ヘッダーで IPv6 クライアント IP アドレスがどのように保持されるかを示しています。