Apache 模块 mod_remoteip

Summary

此模块用于将发起请求的用户代理视为 httpd 标识的发起用户代理，以进行授权和记录，即使该用户代理位于负载均衡器，前端服务器或代理服务器之后。

该模块使用在使用RemoteIPHeader指令配置的请求 Headers 中报告的用户代理 IP 地址覆盖连接的 Client 端 IP 地址。

此外，使用RemoteIPProxyProtocol指令时，此模块可实现 HAProxy PROXY Protocol的服务器端。

按照指示进行替换后，此覆盖的用户代理 IP 地址将用于mod_authz_host Require ip功能，由mod_status报告，并由mod_log_config %a和core %a格式字符串记录。 %{c}a格式字符串中提供了连接的基础 Client 端 IP。

远程 IP 处理

默认情况下，Apache 用连接的 client_ip 值标识 useragent，并且连接 remote_host 和 remote_logname 从该值派生。这些字段在身份验证，授权和日志记录以及其他可加载模块的其他用途中发挥作用。

在请求期间，mod_remoteip 会使用由代理或负载平衡器提供的广告用户代理 IP 覆盖连接的 Client 端 IP。负载均衡器可能会与服务器构建长期的 Keepalive 连接，并且即使负载均衡器的基础 Client 端 IP 地址保持不变，每个请求也将具有正确的用户代理 IP。

Headers 值中列出多个逗号分隔的用户代理 IP 地址时，将按从右到左的 Sequences 处理它们。当不信任给定的用户代理 IP 地址来显示先前的 IP 地址时，处理将暂停。Headers 字段将更新为该剩余的未确认 IP 地址列表，或者如果所有 IP 地址都受信任，则此 Headers 将从请求中完全删除。

在覆盖 Client 端 IP 时，模块将中间主机列表存储在 remoteip-proxy-ip-list Comments 中，该 Commentsmod_log_config可以使用%{remoteip-proxy-ip-list}n格式令牌进行记录。如果 Management 员需要将此存储为其他标题，则也可以使用指令RemoteIPProxiesHeader将相同的值记录为标题。

RemoteIPHeader Directive

RemoteIPHeader指令触发mod_remoteip将指定的 Headers 字段 Headers 的值当作 useragent IP 地址或中间 useragent IP 地址列表，视RemoteIPInternalProxy和RemoteIPTrustedProxy指令的进一步配置而定。除非使用这些其他指令，否则mod_remoteip将信任所有提供RemoteIPHeader IP 值的主机。

内部(负载均衡器)示例

RemoteIPHeader X-Client-IP

Proxy Example

RemoteIPHeader X-Forwarded-For

RemoteIPInternalProxy Directive

RemoteIPInternalProxy伪指令添加一个或多个地址(或地址块)以表示用户代理 IP 的有效 RemoteIPHeader 值来信任。与RemoteIPTrustedProxy指令不同，从这些代理服务器传递时，此 Headers 中提供的任何 IP 地址(包括专用 Intranet 地址)都是受信任的。

内部(负载均衡器)示例

RemoteIPHeader X-Client-IP
RemoteIPInternalProxy 10.0.2.0/24
RemoteIPInternalProxy gateway.localdomain

RemoteIPInternalProxyList Directive

RemoteIPInternalProxyList指令指定在启动时解析的文件，并构建一个地址(或地址块)列表，以在呈现用户代理 IP 的有效 RemoteIPHeader 值时信任该列表。

“ #”哈希字符表示 Comments 行，否则，每个空格或换行符分隔的条目都与RemoteIPInternalProxy指令相同地处理。

内部(负载均衡器)示例

RemoteIPHeader X-Client-IP
RemoteIPInternalProxyList conf/trusted-proxies.lst

conf/trusted-proxies.lst contents

# Our internally trusted proxies;
10.0.2.0/24         #Everyone in the testing group
gateway.localdomain #The front end balancer

RemoteIPProxiesHeader Directive

RemoteIPProxiesHeader指令指定一个 Headers，mod_remoteip将在该 Headers 中收集所有可信任的中间 Client 端 IP 地址的列表，以解析请求的用户代理 IP。请注意，中间RemoteIPTrustedProxy地址记录在此 Headers 中，而任何中间RemoteIPInternalProxy地址都将被丢弃。

Example

RemoteIPHeader X-Forwarded-For
RemoteIPProxiesHeader X-Forwarded-By

RemoteIPProxyProtocol Directive

RemoteIPProxyProtocol伪指令启用或禁用对 PROXY 协议连接头的读取和处理。如果启用了On标志，则上游 Client 端必须在每次打开连接时都发送 Headers，否则该连接将被中止，除非它在RemoteIPProxyProtocolExceptions指令提供的禁用主机列表中。

尽管可以在任何虚拟主机中指定此指令，但重要的是要了解，因为 PROXY 协议基于连接并且与协议无关，所以启用和禁用实际上是基于 IP 地址和端口的。这意味着，如果同一主机和端口具有多个基于名称的虚拟主机，并且为其中任何一个启用了虚拟主机，则将对所有这些主机(具有该主机和端口)启用虚拟主机。这也意味着，如果您尝试在其中一个启用 PROXY 协议而在另一个禁用该协议，则将无效。在这种情况下，最后一个获胜，并会记录一条通知，指出哪个设置已被覆盖。

Listen 80
<VirtualHost *:80>
    ServerName www.example.com
    RemoteIPProxyProtocol On

    #Requests to this virtual host must have a PROXY protocol
    # header provided. If it is missing, the connection will
    # be aborted
</VirtualHost>

Listen 8080
<VirtualHost *:8080>
    ServerName www.example.com
    RemoteIPProxyProtocol On
    RemoteIPProxyProtocolExceptions 127.0.0.1 10.0.0.0/8

    #Requests to this virtual host must have a PROXY protocol
    # header provided. If it is missing, the connection will
    # be aborted except when coming from localhost or the
    # 10.x.x.x RFC1918 range
</VirtualHost>

RemoteIPProxyProtocolExceptions Directive

RemoteIPProxyProtocol指令启用或禁用 PROXY 协议连接头的读取和处理。有时需要要求 Client 端提供 PROXY Headers，但允许其他 Client 端在没有它的情况下进行连接。该指令允许服务器 Management 员配置单个主机或 CIDR 范围内的主机。通常，这对于监视和 Management 直接到上游负载均衡器后面的服务器的虚拟主机的通信非常有用。

RemoteIPTrustedProxy Directive

RemoteIPTrustedProxy伪指令添加一个或多个地址(或地址块)以表示用户代理 IP 的有效 RemoteIPHeader 值来信任。与RemoteIPInternalProxy指令不同，此类代理报告的任何 Intranet 或私有 IP 地址，包括 10/8、172.16/12、192.168/16、169.254/16 和 127/8 块(或在 IPv6 公用 2000 ::/3 之外)不被信任为用户代理 IP，而是保留在RemoteIPHeaderHeaders 的值中。

可信(负载均衡器)示例

RemoteIPHeader X-Forwarded-For
RemoteIPTrustedProxy 10.0.2.16/28
RemoteIPTrustedProxy proxy.example.com

RemoteIPTrustedProxyList Directive

RemoteIPTrustedProxyList指令指定在启动时解析的文件，并构建一个地址(或地址块)列表，以在呈现用户代理 IP 的有效 RemoteIPHeader 值时信任该列表。

“ #”哈希字符表示 Comments 行，否则，每个空格或换行符分隔的条目都与RemoteIPTrustedProxy指令相同地处理。

可信(负载均衡器)示例

RemoteIPHeader X-Forwarded-For
RemoteIPTrustedProxyList conf/trusted-proxies.lst

conf/trusted-proxies.lst contents

# Identified external proxies; 192.0.2.16/28 #wap phone group of proxies proxy.isp.example.com #some well known ISP