nginx real_ip_header ve X-Forwarded-For yanlış görünüyor

HTTP başlığının wikipedia açıklaması X-Forwarded-For:

X-Yönlendirilmiş İçin: müşteri1, proxy1, proxy2, ...

Direktifin nginx belgeleri real_ip_header, kısmen şöyledir:

Bu yönerge, değiştirilen IP adresini aktarmak için kullanılan başlığın adını belirler.
X-Forward-For durumunda, bu modül , X-Forwarded-For başlığındaki son ipi değiştirmek için kullanır. [Vurgu madeni]

Bu iki açıklama birbiriyle çelişkili görünmektedir. Senaryomuzda, X-Forwarded-Forbaşlık tam olarak tanımlandığı gibidir - müşterinin "gerçek" IP adresi en soldaki giriştir. Aynı şekilde, nginx davranışı kullanmaktır sağ , açıkça, sadece bizim proxy sunucuları biridir - -En değer.

Benim anlayışım X-Real-IPolmasıdır sözde belirlemek için kullanılacak gerçek - istemci IP adresi değil vekil. Bir şey mi eksik veya bu nginx'te bir hata mı?

Ve bunun ötesinde, X-Real-IPbaşlığın tanımı ile gösterildiği gibi başlığın en soldaki değeri göstermesini sağlayacak herhangi bir önerisi olan var X-Forwarded-Formı?

Birden fazla IP zincirlendiğinde X-Forward-For sıkıntılarını çözmenin anahtarının yeni tanıtılan yapılandırma seçeneği olduğuna inanıyorum real_ip_recursive(nginx 1.2.1 ve 1.3.0'da eklendi). Gönderen nginx realip docs :

Özyinelemeli arama etkinse, güvenilen adreslerden biriyle eşleşen özgün bir müşteri adresi, istek başlığı alanında gönderilen son güvenilmeyen adresle değiştirilir.

nginx, varsayılan olarak zincirdeki son IP adresini alıyordu, çünkü güvenilen kabul edilen tek kişi oydu. Ancak, yeni real_ip_recursiveetkin ve çoklu set_real_ip_fromseçeneklerle, birden çok güvenilir proxy tanımlayabilirsiniz ve bu güvenilir olmayan son IP'yi alır.

Örneğin, bu yapılandırma ile:

set_real_ip_from 127.0.0.1;
set_real_ip_from 192.168.2.1;
real_ip_header X-Forwarded-For;
real_ip_recursive on;

Ve bir X-Forwarded-For başlığıyla sonuçlandı:

X-Forwarded-For: 123.123.123.123, 192.168.2.1, 127.0.0.1

nginx şimdi 123.123.123.123 müşterinin IP adresi olarak seçecektir.

Nginx'in yalnızca en soldaki IP adresini seçmemesi ve güvenilir proxy'leri açıkça tanımlamanızı gerektirdiği için, IP sahtekarlığının kolay şekilde engellenmesi gerekir.

Diyelim ki müşterinin gerçek IP adresi 123.123.123.123. Diyelim ki müşterinin yararı yok ve IP adreslerini taklit etmeye çalışıyorlar 11.11.11.11. Sunucuya bu başlığın zaten bulunduğu bir istek gönderir:

X-Forwarded-For: 11.11.11.11

Ters proxy'ler bu X-Forwarded-For zincirine sadece IP ekler, diyelim ki, nginx bunu elde edince, bunun böyle göründüğünü söyler:

X-Forwarded-For: 11.11.11.11, 123.123.123.123, 192.168.2.1, 127.0.0.1

Yalnızca en soldaki adresi aldıysanız, istemcinin IP adresini kolayca taklit etmesine olanak tanır. Ancak yukarıdaki örnek nginx config ile, nginx yalnızca son iki adrese vekil olarak güvenir. Bu, nginx'in 123.123.123.123IP adresi olarak doğru seçileceği anlamına gelir ; bu sahte IP gerçekte en solda olmasına rağmen.

X-Forwarded-ForÜstbilginin ayrıştırılması gerçekten nginx real_ip modülünde hatalı.

len = r->headers_in.x_forwarded_for->value.len;
ip = r->headers_in.x_forwarded_for->value.data;

for (p = ip + len - 1; p > ip; p--) {
  if (*p == ' ' || *p == ',') {
    p++;
    len -= p - ip;
    ip = p;
    break;
  }
}

Başlık dizesinin en sağında başlar ve bir boşluk veya virgül görür görmez, IP değişkeni içindeki boşluğu veya virgülün sağ tarafına bakmayı ve yapışmayı durdurur. Bu nedenle, en son proxy adresini orijinal müşteri adresi olarak ele alıyor.

Spesifikasyona göre hoş oynamıyor; bu, bir RFC'de acı verici şekilde açık bir şekilde dile getirilmemesi tehlikesidir.

Bir yana: Başlangıçta Squid tarafından tanımlanmış olan formatta iyi bir birincil kaynak bulmak bile zor - belgelerini kazmak siparişi doğrular; en soldaki orijinal müşteri, en son eklenen. Bu wikipedia sayfasına bir [kaynak belirtilmeli] eklemeye çok cazip davranıyorum. Bir anonim düzenlemek konuyla ilgili internet kullanıcısının otorite gibi görünüyor.

Mümkünse, ara proxy'lerinizi başlığın sonuna eklemeyi bırakıp yalnızca gerçek müşteri adresiyle bırakmayı bırakabilir misiniz?

X-Real-IP, sunucunun konuştuğu asıl istemcinin (sunucunun "gerçek" istemcisi) IP adresidir; bu, proxy bağlantısı olması durumunda proxy sunucusudur. Bu yüzden X-Real-IP, X-Forwarded-For başlığındaki son IP'yi içerecektir.