| 如何获取来访者的真实IP？ | 您所在的位置：网站首页 › tomcat最新安装地址 › 如何获取来访者的真实IP？ |
如何获取来访者的真实IP？
|
当客户端通过ELB访问后端服务器时，客户端真实的IP地址会被ELB转换，后端服务器获取到的往往是ELB转换后的客户端IP地址。如果需要获取到客户端的真实IP，可以按如下方法操作。 七层服务（HTTP/HTTPS协议）：需要对应用服务器进行配置，然后使用X-Forwarded-For的方式获取来访者的真实IP地址，详见下文内容。 四层服务（TCP/UDP协议）：开启监听器的“获取客户端IP”功能，详见下文内容。 约束与限制 如果IP经过NAT，则只能获取到NAT转化后的IP地址，无法获取到NAT转化前的IP地址。 如果客户端为容器，只能获取到容器所在主机的IP地址，无法获取容器的IP。 四层监听器（TCP/UDP）开启“获取客户端IP”功能之后，不支持同一台服务器既作为后端服务器又作为客户端的场景。 独享型负载均衡的四层监听器（TCP/UDP）默认开启源地址透传功能，无需手动开启，且不支持关闭。说明： 如果客户端经过WAF+ELB访问服务器，则还可以通过WAF直接获取客户端真实IP。 七层服务针对七层服务（HTTP/HTTPS协议），需要对应用服务器进行配置，然后使用X-Forwarded-For的方式获取来访者的真实IP地址。 实的来访者IP会被负载均衡放在HTTP头部的X-Forwarded-For字段，格式如下： X-Forwarded-For: 来访者真实IP, 代理服务器1-IP, 代理服务器2-IP, ... 当使用此方式获取来访者真实IP时，获取的第一个地址就是来访者真实IP。 配置Apache服务器 安装Apache 2.4。例如在CentOS 7.5环境下，可以执行如下命令执行安装： yum install httpd 修改Apache的配置文件/etc/httpd/conf/httpd.conf，在最末尾添加以下配置信息。 LoadModule remoteip_module modules/mod_remoteip.so RemoteIPHeader X-Forwarded-For RemoteIPInternalProxy 100.125.0.0/16
说明： 将代理服务器的网段添加到** RemoteIPInternalProxy 。 共享型负载均衡需要添加的IP地址段为 100.125.0.0/16（100.125.0.0/16 是负载均衡服务保留地址，其他用户无法分配到该网段内，不会存在安全风险）和高防IP地址段。多个IP地址段用逗号分隔。 独享型负载均衡需要添加ELB实例关联的VPC子网网段。 修改Apache的配置文件/etc/httpd/conf/httpd.conf，将日志输出格式修改为如下所示（%a代表源IP地址）： LogFormat "%a %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\"" combined 重启Apache。 systemctl restart httpd 查看httpd的访问日志，您可以获取真实的来访者IP。 配置Nginx服务器例如在CentOS 7.5环境下，可以执行如下命令执行安装： 运行以下命令安装http_realip_module。 yum -y install gcc pcre pcre-devel zlib zlib-devel openssl openssl-devel wget http://nginx.org/download/nginx-1.17.0.tar.gz tar zxvf nginx-1.17.0.tar.gz cd nginx-1.17.0 ./configure --prefix=/path/server/nginx --with-http_stub_status_module --without-http-cache --with-http_ssl_module --with-http_realip_module make make install 打开nginx.conf文件。 vi /path/server/nginx/conf/nginx.conf 在以下配置信息后添加新的配置字段和信息。在http或者server处，需要添加的配置字段和信息： set_real_ip_from 100.125.0.0/16; real_ip_header X-Forwarded-For;
说明： 将代理服务器的网段添加到 set_real_ip_from 。 共享型负载均衡的IP地址段 100.125.0.0/16（100.125.0.0/16是负载均衡服务保留地址，其他用户无法分配到该网段内，不会存在安全风险）和高防IP地址段。多个IP地址段用逗号分隔。 独享型负载均衡需要添加ELB实例关联的VPC子网网段。 启动Nginx。 /path/server/nginx/sbin/nginx 查看Nginx的访问日志，您可以获取真实的来访者IP。 cat /path/server/nginx/logs/access.log 配置Tomcat服务器本教程中的Tomcat的安装路径为“/usr/tomcat/tomcat8/”。 登录已安装Tomcat的服务器。 执行如下命令，确定Tomcat已经正常运行。 ps -ef|grep tomcat netstat -anpt|grep java
其中“/usr/tomcat/tomcat8/”为Tomcat安装路径，请根据实际情况替换。
如图中红框所示获取到的非100.125网段的IP地址，即为获取到的源IP地址。 cd /usr/tomcat/tomcat8/logs/ cat localhost_access_log..2021-11-29.txt其中“localhost_access_log..2021-11-29.txt”为当天日志路径，请根据实际情况替换。
本教程以Windows Server 2012配置IIS7为例介绍，其他版本操作可能略有不同。 下载并安装IIS。 从第三方网站下载F5XForwardedFor.dll插件，并获取x86和x64目录下的F5XForwardedFor.dll插件拷贝到IIS服务具有访问权限的目录下，例如C:\F5XForwardedFor2008。 打开IIS管理器，选择“模块 > 配置本机模块”注册拷贝的2个插件。
图 配置本机模块
图 注册插件
针对四层服务（TCP/UDP协议）：开启监听器的“获取客户端IP”功能。 注意： 开启此功能后，执行后端服务器迁移任务时，可能出现流量中断（例如单向下载、推送类型的流量）。所以后端服务器迁移完成后，需要通过报文重传来恢复流量。 监听器开启此功能后，后端服务器不能作为客户端访问此监听器。 如果监听器之前已经添加了后端服务器、并且开启了健康检查功能，开启“获取客户端IP”功能会重新上线后端服务器，新建流量会有1-2个健康检查间隔的中断。 1、 1）开启监听器的“获取客户端IP”功能。 2）登录管理控制台。在管理控制台左上角选择区域和项目。 3）在页面中选择“网络 > 弹性负载均衡”。 4）在“负载均衡器”界面，单击需要操作的负载均衡名称。 5）切换到“监听器”页签。 新增场景：单击“添加监听器”。 修改场景：在需要修改的监听器名称右侧所在行的操作列，单击“编辑”。6）开启“获取客户端IP”开关。 7）设置后端服务器的安全组、网络ACL、操作系统和软件的安全规则，使客户端的IP地址能够访问后端服务器。 说明： 2、 开启“获取客户端IP”之后，不支持同一台服务器既作为后端服务器又作为客户端的场景。如果后端服务器和客户端使用同一台服务器，且开启“获取客户端IP”，则后端服务器会根据报文源IP为本地IP判定该报文为本机发出的报文，无法将应答报文返回给ELB，最终导致回程流量不通。 |
【本文地址】