Server Load Balancer：通過CLB四層監聽擷取用戶端真實IP

直接擷取

直接擷取的情境下，可直接在後端伺服器中擷取用戶端真實IP資訊。

當Nginx作為後端伺服器時，您可以通過檢查Nginx日誌來判斷是否成功擷取到了用戶端的真實IP地址。

Nginx日誌欄位預設配置樣本如下：

http {
  # 預設配置
  log_format  main  '$remote_addr- $remote_user [$time_local] "$request" '
                      '$status $body_bytes_sent "$http_referer" '
                      '"$http_user_agent" "$http_x_forwarded_for"';
	#...
}

Nginx記錄檔預設路徑為：/var/log/nginx/access.log

每行日誌中第一個IP地址即為用戶端真實IP地址。

通過Proxy Protocol功能配置

前提條件

• 您已經建立CLB執行個體並為該執行個體添加了監聽。本文以TCP監聽、監聽連接埠為80舉例說明，具體操作，請參見建立和管理CLB執行個體、添加TCP監聽。

• 您已經建立可用的CLB伺服器組並添加了後端伺服器。本文以建立了虛擬伺服器組、後端協議為TCP、後端伺服器為ECS、後端部署的應用連接埠為80舉例說明，具體操作，請參見建立和管理CLB虛擬伺服器組。

  說明

  • 啟用Proxy Protocol之前，請確保您的後端伺服器支援Proxy Protocol v2版本，否則會導致建立串連失敗。

  • Nginx Plus R16及以後版本或者開源Nginx 1.13.11及以後版本支援Proxy Protocol v2版本。

  • 如果執行個體的多個CLB監聽掛載同一組後端伺服器，必須將所有執行個體的監聽都開啟Proxy Protocol功能。

步驟一：為監聽開啟Proxy Protocol

1. 登入傳統型負載平衡CLB控制台。

2. 在頂部功能表列，選擇執行個體所屬的地區。

3. 在執行個體管理頁面，找到目標執行個體，單擊執行個體ID。

4. 在執行個體詳情頁面，單擊監聽頁簽，找到目標四層監聽，單擊監聽ID。

5. 在監聽詳情頁面，查看到ProxyProtocol配置欄位為通過ProxyProtocol協議攜帶用戶端源地址到後端伺服器。如果未顯示該欄位，可單擊編輯監聽在配置頁面中開啟該功能。

   重要

   該功能不支援線上平滑遷移，切換到Proxy Protocol需要業務停服升級，請謹慎配置。

步驟二：後端伺服器開啟Proxy Protocol

此處以CentOS 7.9作業系統、Nginx 1.20.1 版本配置為例介紹。具體請以您實際使用的環境為準。

1. 登入後端伺服器，執行nginx -t命令查看設定檔所在路徑。預設通常為 /etc/nginx/nginx.conf，具體請以實際環境為準。

2. 修改設定檔中的Proxy Protocol內容並儲存，修改點可參考下方說明。

   http {
     # 確保設定$proxy_protocol_addr
     log_format  main  '$proxy_protocol_addr - $remote_addr- $remote_user [$time_local] "$request" '
                         '$status $body_bytes_sent "$http_referer" '
                         '"$http_user_agent" "$http_x_forwarded_for"';
     # 以80監聽連接埠為例，增加proxy_protocol欄位
     server {
       listen 80   proxy_protocol;
       #...
     }
   }
   

3. 執行sudo nginx -s reload命令，重新載入Nginx設定檔。

步驟三：驗證後端伺服器擷取用戶端真實IP

當Nginx作為後端伺服器時，您可以通過檢查Nginx日誌來判斷是否成功擷取到了用戶端的真實IP地址。

Nginx記錄檔預設路徑為：/var/log/nginx/access.log

每行日誌中，$proxy_protocol_addr變數對應的IP地址即為用戶端真實IP地址。

Proxy Protocol v2報文結構參考

如您未使用上述樣本中的伺服器，您可參考Proxy Protocol v2報文結構及The PROXY protocol進行自訂解析，具體請參考您所使用的伺服器的官方資料。

• 攜帶用戶端IPv4地址的Proxy Protocol v2二進位頭格式如下所示：

• 攜帶用戶端IPv6地址的Proxy Protocol v2二進位頭格式如下所示：