通过NLB获取客户端真实IP

通过服务器组客户端地址保持功能配置

前提条件

• 您已经创建可用的NLB服务器组并添加了后端服务器。本文以创建了服务器类型的服务器组、后端协议为TCP、后端服务器为ECS、后端部署的应用端口为80举例说明，具体操作，请参见创建和管理服务器组。

• 您已经创建NLB实例并为该实例添加了监听。本文以TCP监听、监听端口为80举例说明，具体操作，请参见创建和管理NLB实例、添加TCP监听。

步骤一：检查服务器组已开启客户端地址保持功能

1. 登录网络型负载均衡NLB控制台。

2. 在顶部菜单栏，选择实例所属的地域。

3. 在服务器组页面，找到目标服务器组，单击服务器组ID。

4. 在服务器组详情页面，查看到开启客户端地址保持字段为已开启。如果是未开启，可单击编辑基本信息在配置页面中开启该功能。

步骤二：验证后端服务器可获取客户端真实IP

当Nginx作为后端服务器时，您可以通过检查Nginx日志来判断是否成功获取到了客户端的真实IP地址。

Nginx日志字段默认配置示例如下：

http {
  # 默认配置
  log_format  main  '$remote_addr- $remote_user [$time_local] "$request" '
                      '$status $body_bytes_sent "$http_referer" '
                      '"$http_user_agent" "$http_x_forwarded_for"';
	#...
}

Nginx日志文件默认路径为：/var/log/nginx/access.log

每行日志中第一个IP地址即为客户端真实IP地址。

通过Proxy Protocol功能配置

前提条件

• 您已经创建可用的NLB服务器组并添加了后端服务器。本文以创建了服务器类型的服务器组、后端协议为TCP、后端服务器为ECS、后端部署的应用端口为80举例说明，具体操作，请参见创建和管理服务器组。

• 您已经创建NLB实例并为该实例添加了监听。本文以TCP监听、监听端口为80举例说明，具体操作，请参见创建和管理NLB实例。

  说明

  • 启用Proxy Protocol之前，请确保您的后端服务器支持Proxy Protocol v2版本，否则会导致新建连接失败。

  • 如果实例的多个NLB监听挂载同一组后端服务器，必须将所有实例的监听都开启Proxy Protocol功能。

  • Nginx Plus R16及以后版本或者开源Nginx 1.13.11及以后版本支持Proxy Protocol v2版本。

步骤一：为监听开启Proxy Protocol

1. 登录网络型负载均衡NLB控制台。

2. 在顶部菜单栏，选择实例所属的地域。

3. 在实例页面，找到目标实例，单击实例ID。

4. 在实例详情页面，单击监听页签，找到目标监听，单击监听ID。

5. 在监听详情页面，查看到开启ProxyProtocol字段为已开启。如果未开启，可单击编辑监听在弹出的对话框中开启该功能。

步骤二：为后端服务器开启Proxy Protocol

此处以CentOS 7.9操作系统、Nginx 1.20.1 版本配置为例介绍。具体请以您实际使用的环境为准。

1. 登录后端服务器，执行nginx -t命令查看配置文件所在路径。默认通常为 /etc/nginx/nginx.conf，具体请以实际环境为准。

2. 修改配置文件中的Proxy Protocol内容并保存，修改点可参考下方说明。

   http {
     # 确保设置$proxy_protocol_addr，该变量用于记录客户端真实IP
     log_format  main  '$proxy_protocol_addr - $remote_addr- $remote_user [$time_local] "$request" '
                         '$status $body_bytes_sent "$http_referer" '
                         '"$http_user_agent" "$http_x_forwarded_for"';
     # 以80监听端口为例，增加proxy_protocol字段
     server {
       listen 80   proxy_protocol;
       #...
     }
   }
   

3. 执行sudo nginx -s reload命令，重新加载Nginx配置文件。

步骤三：验证后端服务器可获取客户端真实IP

当Nginx作为后端服务器时，您可以通过检查Nginx日志来判断是否成功获取到了客户端的真实IP地址。

Nginx日志文件默认路径为：/var/log/nginx/access.log

每行日志中，$proxy_protocol_addr变量对应的IP地址即为客户端真实IP地址。

Proxy Protocol v2报文参考

如您未使用上述示例中的服务器，您可参考Proxy Protocol v2报文结构及The PROXY protocol进行自定义解析，具体请参考您所使用的服务器的官方资料。

• 携带客户端IPv4地址的Proxy Protocol v2二进制头格式如下所示：

• 携带客户端IPv6地址的Proxy Protocol v2二进制头格式如下所示：