nginx real_ip_header 및 X-Forwarded-For가 잘못된 것 같습니다

HTTP 헤더의 위키 백과 설명 X-Forwarded-For은 다음과 같습니다.

X-Forwarded-For : client1, proxy1, proxy2, ...

지시문에 대한 nginx 문서는 real_ip_header다음과 같습니다.

이 지시문은 대체 IP 주소를 전송하는 데 사용되는 헤더 이름을 설정합니다.
X-Forwarded-For의 경우,이 모듈은 X-Forwarded-For 헤더 의 마지막 ip를 대체 용으로 사용합니다. [엠파 시스 광산]

이 두 가지 설명은 서로 상충되는 것 같습니다. 이 시나리오에서 X-Forwarded-For헤더는 정확히 설명 된대로 클라이언트의 "실제"IP 주소가 가장 왼쪽에있는 항목입니다. 마찬가지로 nginx의 동작은 가장 올바른 값 을 사용하는 것입니다. 이는 분명히 프록시 서버 중 하나 일뿐입니다.

나의 이해 X-Real-IP가되는 것입니다 가정 결정하는 데 사용되는 실제 - 클라이언트 IP 주소 하지 프록시를. 내가 누락되었거나 nginx의 버그입니까?

그리고 그 너머로 ? 의 정의에 표시된 것처럼 X-Real-IP헤더를 가장 왼쪽 값으로 표시하는 방법에 대한 제안 이 X-Forwarded-For있습니까?

여러 IP가 연결될 때 X-Forwarded-For 문제를 해결하는 열쇠는 최근에 도입 된 구성 옵션입니다 real_ip_recursive(nginx 1.2.1 및 1.3.0에 추가됨). 로부터 의 nginx의 realip 워드 프로세서 :

재귀 검색을 사용하는 경우 신뢰할 수있는 주소 중 하나와 일치하는 원래 클라이언트 주소가 요청 헤더 필드에 전송 된 신뢰할 수없는 마지막 주소로 바뀝니다.

nginx는 기본적으로 체인에서 마지막 IP 주소를 가져 왔습니다. 그것이 신뢰할 수있는 유일한 주소이기 때문입니다. 그러나 새로운 real_ip_recursive기능을 사용하고 여러 set_real_ip_from옵션을 사용하면 여러 개의 신뢰할 수있는 프록시를 정의 할 수 있으며 마지막으로 신뢰할 수없는 IP를 가져옵니다.

예를 들어이 구성을 사용하면

set_real_ip_from 127.0.0.1;
set_real_ip_from 192.168.2.1;
real_ip_header X-Forwarded-For;
real_ip_recursive on;

그리고 X-Forwarded-For 헤더는 다음과 같습니다.

X-Forwarded-For: 123.123.123.123, 192.168.2.1, 127.0.0.1

nginx는 이제 클라이언트의 IP 주소로 123.123.123.123을 선택합니다.

nginx가 가장 왼쪽의 IP 주소를 선택하지 않고 신뢰할 수있는 프록시를 명시 적으로 정의해야하는 이유는 쉬운 IP 스푸핑을 방지하기위한 것입니다.

클라이언트의 실제 IP 주소는 123.123.123.123입니다. 또한 클라이언트가 좋지 않다고 말하고 IP 주소를 스푸핑하려고합니다 11.11.11.11. 이 헤더가 이미있는 서버로 요청을 보냅니다.

X-Forwarded-For: 11.11.11.11

리버스 프록시는 단순히이 X-Forwarded-For 체인에 IP를 추가하기 때문에 nginx에 도달하면 다음과 같이 표시됩니다.

X-Forwarded-For: 11.11.11.11, 123.123.123.123, 192.168.2.1, 127.0.0.1

가장 왼쪽에있는 주소를 잡았다면 클라이언트가 자신의 IP 주소를 쉽게 스푸핑 할 수 있습니다. 그러나 위의 예제 nginx 설정을 사용하면 nginx는 마지막 두 주소 만 프록시로 신뢰합니다. 즉 123.123.123.123, 스푸핑 된 IP가 실제로 가장 왼쪽에 있지만 nginx가 IP 주소로 올바르게 선택 됩니다.

X-Forwarded-For헤더 의 파싱 은 실제로 nginx real_ip 모듈에 결함이 있습니다.

len = r->headers_in.x_forwarded_for->value.len;
ip = r->headers_in.x_forwarded_for->value.data;

for (p = ip + len - 1; p > ip; p--) {
  if (*p == ' ' || *p == ',') {
    p++;
    len -= p - ip;
    ip = p;
    break;
  }
}

헤더 문자열의 맨 오른쪽에서 시작하고 공백이나 쉼표가 보이면 IP 변수에서 공백이나 쉼표의 오른쪽 부분을 찾고 중지합니다. 따라서 가장 최근의 프록시 주소를 원래 클라이언트 주소로 취급합니다.

사양에 따라 잘 재생되지 않습니다. 이것은 RFC에서 명백히 명백한 용어로 설명하지 않을 위험이 있습니다.

따로 : Squid가 원래 정의한 형식에서 좋은 기본 소스를 찾기조차 어렵습니다. 문서를 살펴보면 순서가 확인됩니다. 가장 왼쪽은 원래 클라이언트이고 가장 오른쪽은 가장 최근의 추가입니다. 위키 백과 페이지에 [citation needed] 을 ( 를) 추가하고 싶은 마음이 듭니다 . 하나의 익명 편집 은 해당 주제에 대한 인터넷의 권한 인 것으로 보입니다.

가능하면 중간 프록시가 헤더 끝에 자신을 추가하지 않고 실제 클라이언트 주소로만 남겨 두도록 할 수 있습니까?

X-Real-IP는 서버가 대화하는 실제 클라이언트 (서버의 "실제"클라이언트)의 IP 주소이며 프록시 연결의 경우 프록시 서버입니다. 이것이 X-Real-IP가 X-Forwarded-For 헤더의 마지막 IP를 포함하는 이유입니다.