Server Load Balancer：通過NLB擷取用戶端真實IP

通過伺服器組用戶端地址保持功能配置

前提條件

• 您已經建立可用的NLB伺服器組並添加了後端伺服器。本文以建立了伺服器類型的伺服器組、後端協議為TCP、後端伺服器為ECS、後端部署的應用連接埠為80舉例說明，具體操作，請參見建立和管理伺服器組。

• 您已經建立NLB執行個體並為該執行個體添加了監聽。本文以TCP監聽、監聽連接埠為80舉例說明，具體操作，請參見建立和管理NLB執行個體、添加TCP監聽。

步驟一：檢查伺服器組已開啟用戶端地址保持功能

1. 登入網路型負載平衡NLB控制台。

2. 在頂部功能表列，選擇執行個體所屬的地區。

3. 在伺服器組頁面，找到目標伺服器組，單擊伺服器組ID。

4. 在伺服器組詳情頁面，查看到開啟用戶端地址保持欄位為已開啟。如果是未開啟，可單擊編輯基本資料在配置頁面中開啟該功能。

步驟二：驗證後端伺服器可擷取用戶端真實IP

當Nginx作為後端伺服器時，您可以通過檢查Nginx日誌來判斷是否成功擷取到了用戶端的真實IP地址。

Nginx日誌欄位預設配置樣本如下：

http {
  # 預設配置
  log_format  main  '$remote_addr- $remote_user [$time_local] "$request" '
                      '$status $body_bytes_sent "$http_referer" '
                      '"$http_user_agent" "$http_x_forwarded_for"';
	#...
}

Nginx記錄檔預設路徑為：/var/log/nginx/access.log

每行日誌中第一個IP地址即為用戶端真實IP地址。

通過Proxy Protocol功能配置

前提條件

• 您已經建立可用的NLB伺服器組並添加了後端伺服器。本文以建立了伺服器類型的伺服器組、後端協議為TCP、後端伺服器為ECS、後端部署的應用連接埠為80舉例說明，具體操作，請參見建立和管理伺服器組。

• 您已經建立NLB執行個體並為該執行個體添加了監聽。本文以TCP監聽、監聽連接埠為80舉例說明，具體操作，請參見建立和管理NLB執行個體。

  說明

  • 啟用Proxy Protocol之前，請確保您的後端伺服器支援Proxy Protocol v2版本，否則會導致建立串連失敗。

  • 如果執行個體的多個NLB監聽掛載同一組後端伺服器，必須將所有執行個體的監聽都開啟Proxy Protocol功能。

  • Nginx Plus R16及以後版本或者開源Nginx 1.13.11及以後版本支援Proxy Protocol v2版本。

步驟一：為監聽開啟Proxy Protocol

1. 登入網路型負載平衡NLB控制台。

2. 在頂部功能表列，選擇執行個體所屬的地區。

3. 在執行個體頁面，找到目標執行個體，單擊執行個體ID。

4. 在執行個體詳情頁面，單擊監聽頁簽，找到目標監聽，單擊監聽ID。

5. 在監聽詳情頁面，查看到開啟ProxyProtocol欄位為已開啟。如果未開啟，可單擊編輯監聽在彈出的對話方塊中開啟該功能。

步驟二：為後端伺服器開啟Proxy Protocol

此處以CentOS 7.9作業系統、Nginx 1.20.1 版本配置為例介紹。具體請以您實際使用的環境為準。

1. 登入後端伺服器，執行nginx -t命令查看設定檔所在路徑。預設通常為 /etc/nginx/nginx.conf，具體請以實際環境為準。

2. 修改設定檔中的Proxy Protocol內容並儲存，修改點可參考下方說明。

   http {
     # 確保設定$proxy_protocol_addr，該變數用於記錄用戶端真實IP
     log_format  main  '$proxy_protocol_addr - $remote_addr- $remote_user [$time_local] "$request" '
                         '$status $body_bytes_sent "$http_referer" '
                         '"$http_user_agent" "$http_x_forwarded_for"';
     # 以80監聽連接埠為例，增加proxy_protocol欄位
     server {
       listen 80   proxy_protocol;
       #...
     }
   }
   

3. 執行sudo nginx -s reload命令，重新載入Nginx設定檔。

步驟三：驗證後端伺服器可擷取用戶端真實IP

當Nginx作為後端伺服器時，您可以通過檢查Nginx日誌來判斷是否成功擷取到了用戶端的真實IP地址。

Nginx記錄檔預設路徑為：/var/log/nginx/access.log

每行日誌中，$proxy_protocol_addr變數對應的IP地址即為用戶端真實IP地址。

Proxy Protocol v2報文參考

如您未使用上述樣本中的伺服器，您可參考Proxy Protocol v2報文結構及The PROXY protocol進行自訂解析，具體請參考您所使用的伺服器的官方資料。

• 攜帶用戶端IPv4地址的Proxy Protocol v2二進位頭格式如下所示：

• 攜帶用戶端IPv6地址的Proxy Protocol v2二進位頭格式如下所示：