Server Load Balancer:NLBを有効にしてクライアントIPアドレスを保持する

クライアントIP保存機能の有効化

前提条件

• NLBサーバーグループが作成され、バックエンドサーバーがサーバーグループに追加されます。 この例では、サーバータイプのサーバーグループが作成されます。 バックエンドプロトコルはTCPで、ECS (Elastic Compute Service) インスタンスはバックエンドサーバーとして使用され、ポート80はバックエンドアプリケーションによって使用されます。 詳細については、「サーバーグループの作成と管理」をご参照ください。

• NLBインスタンスが作成され、NLBインスタンスのリスナーが作成されます。 この例では、ポート80を使用するTCPリスナーが使用されます。 詳細については、「NLBインスタンスの作成と管理」および「TCPリスナーの追加」をご参照ください。

手順1: サーバーグループのクライアントIP保存が有効かどうかを確認する

1. NLBコンソールにログインします。

2. 上部のナビゲーションバーで、NLBインスタンスがデプロイされているリージョンを選択します。

3. [サーバーグループ] ページで、管理するサーバーグループのIDをクリックします。

4. サーバーグループの詳細ページで、クライアントIP保存のステータスが有効かどうかを確認します。 ステータスが [無効] の場合、[基本情報の変更] をクリックして機能を有効にします。

手順2: バックエンドサーバーがクライアントIPアドレスを保持できるかどうかを確認する

NGINXアプリケーションがバックエンドサーバーにデプロイされている場合は、NGINXログをチェックして、バックエンドサーバーがクライアントIPアドレスを保持できるかどうかを判断できます。

次のコードブロックは、NGINXログのフィールドのデフォルト設定を示しています。

http {
  # Default configurations
  log_format  main  '$remote_addr- $remote_user [$time_local] "$request" '
                      '$status $body_bytes_sent "$http_referer" '
                      '"$http_user_agent" "$http_x_forwarded_for"';
	#...
}

NGINXログのデフォルトパスは /var/log/nginx/access.logです。

各ログエントリの最初のIPアドレスはクライアントIPアドレスです。

プロキシプロトコルの有効化

前提条件

• NLBサーバーグループが作成され、バックエンドサーバーがサーバーグループに追加されます。 この例では、サーバータイプのサーバーグループが作成されます。 バックエンドプロトコルはTCPで、ECSインスタンスはバックエンドサーバーとして使用され、ポート80はバックエンドアプリケーションによって使用されます。 詳細については、「サーバーグループの作成と管理」をご参照ください。

• NLBインスタンスが作成され、NLBインスタンスのリスナーが作成されます。 この例では、ポート80を使用するTCPリスナーが使用されます。 詳細については、「NLBインスタンスの作成と管理」をご参照ください。

  説明

  • Proxyプロトコルを有効にする前に、バックエンドサーバーがProxyプロトコルv2をサポートしていることを確認してください。

  • 複数のリスナーが同じバックエンドサーバーグループに関連付けられている場合、すべてのリスナーでプロキシプロトコルを有効にする必要があります。

  • NGINX Plus R16以降のバージョンおよびオープンソースNGINX 1.13.11以降のバージョンは、Proxyプロトコルv2をサポートしています。

手順1: リスナーのプロキシプロトコルの有効化

1. NLBコンソールにログインします。

2. 上部のナビゲーションバーで、NLBインスタンスがデプロイされているリージョンを選択します。

3. [インスタンス] ページで、管理するインスタンスのIDをクリックします。

4. インスタンスの詳細ページで、[リスナー] タブをクリックし、管理するリスナーのIDをクリックします。

5. リスナーの詳細ページで、プロキシプロトコルの有効化のステータスが有効かどうかを確認します。 プロキシプロトコルが無効になっている場合は、[リスナーの変更] をクリックしてプロキシプロトコルを有効にします。

手順2: バックエンドサーバーのプロキシプロトコルの有効化

この例では、CentOS 7.9オペレーティングシステムとNGINX 1.20.1が使用されています。 使用する環境に基づいて設定を調整します。

1. バックエンドサーバーにログインし、nginx -tコマンドを実行して設定ファイルのパスを照会します。 デフォルトのパスは /etc/nginx/nginx.confで、使用する環境によって異なります。

2. Proxyプロトコルの設定を変更し、変更を保存します。 次のコードブロックは、例を示しています。

   http {
     # Set the variable $proxy_protocol_addr, which is used to record client IP addresses.
     log_format  main  '$proxy_protocol_addr - $remote_addr- $remote_user [$time_local] "$request" '
                         '$status $body_bytes_sent "$http_referer" '
                         '"$http_user_agent" "$http_x_forwarded_for"';
     # Specify that the listener uses port 80, and add the proxy_protocol.
     server {
       listen 80   proxy_protocol;
       #...
     }
   }
   

3. sudo nginx -s reloadコマンドを実行し、NGINX設定ファイルをリロードします。

手順3: バックエンドサーバーがクライアントIPアドレスを保持できるかどうかのテスト

NGINXアプリケーションがバックエンドサーバーにデプロイされている場合は、NGINXログをチェックして、バックエンドサーバーがクライアントIPアドレスを保持できるかどうかを判断できます。

NGINXログのデフォルトパスは /var/log/nginx/access.logです。

各ログエントリでは、変数 $proxy_protocol_addrのIPアドレスはクライアントIPアドレスです。

Proxyプロトコルv2で送信されるサンプルパケット

使用するバックエンドサーバーは上記の例とは異なります。サーバープロバイダーのマニュアルと [PROXYプロトコル] を参照して、Proxyプロトコルv2で定義されたパケット構造に基づいて構成の解析をカスタマイズできます。

• 次の例は、IPv4クライアントIPアドレスがバイナリ形式のProxyプロトコルv2ヘッダーに保持される方法を示しています。

• 次の例は、IPv6クライアントIPアドレスがバイナリ形式のProxyプロトコルv2ヘッダーに保持される方法を示しています。