为Web业务部署DDoS防护后，您可以参照本文介绍的方法，获取客户端真实IP。
四层接入（非网站防护）
按照以下不同的部署配置场景，选择适合您的源站获取客户端IP方式。
- 高防 > 阿里云ECS通过TCP端口转发流量的情况，您无需做任何改动。源站服务器上看到的客户端IP就是真实的客户端IP。同时，ECS的安全组配置对象也可以针对真实的客户端IP进行设置。
说明 如使用UDP端口转发，源站ECS将无法获取真实客户端IP。
- 高防 > SLB > ECS
默认支持获取客户端真实IP。
通过TCP端口转发流量的情况，您无需做任何改动。源站服务器上看到的客户端IP就是真实的客户端IP。说明<ul id="ul-ekp-rqp-fgb"><li>负载均衡SLB访问控制设置白名单中必须添加<a href="https://help.aliyun.com/document_detail/35175.html#concept-35175-zh" rel="nofollow">高防回源IP段</a>。</li> <li>如使用UDP端口转发，源站ECS将无法获取真实客户端IP。</li> </ul><strong>注意</strong> <ul id="ul-l4g-sqp-fgb"><li>2018年10月后创建的ECS实例，默认支持获取客户端真实IP，即在源站ECS服务器上看到的客户端IP就是真实访问源IP。</li> <li>2018年10月前创建的ECS实例，默认情况下无法获取客户端真实IP，您需提交工单申请开通相关配置。</li> </ul></li> <li>高防 > 阿里云外服务器 <p>部分情况下支持获取客户端真实IP，具体方法参考<a href="https://help.aliyun.com/document_detail/52477.html#concept-52477-zh" rel="nofollow">高防如何支持云外主机获取客户端IP</a>。</p> </li>
七层接入（网站防护）
当一个七层代理服务器（如高防IP）把用户的访问请求转到后端服务器时，源站默认看到的是这个七层代理服务器（如高防IP）的回源IP。而真实的客户端IP会被七层代理服务器放在HTTP头部的X-Forwareded-For字段，格式如下：X-Forwarded-For: 用户真实IP, 高防代理IP。
如果中间经过不止一个代理服务器（如经过了WAF、CDN等等代理服务器），此时HTTP头部的X-Forwarded-For字段的格式如下：X-Forwarded-For: 用户真实IP, 代理服务器1-IP, 代理服务器2-IP, 代理服务器3-IP, …。
经过多层代理服务器，请求用户的真实IP处于第一个位置，而后面包含所有经过的中间代理服务器的IP。因此，只要获取HTTP头部的X-Forwarded-For字段的内容即可。
常用的获取X-Forwarded-For字段内容方式
- ASP
<pre class="has" name="code"><code class="hljs css"><span class="hljs-selector-tag">Request</span><span class="hljs-selector-class">.ServerVariables</span>(“<span class="hljs-selector-tag">HTTP_X_FORWARDED_FOR</span>”)
- ASP.NET(C#)
-
<pre class="has" name="code"><code class="hljs css"><span class="hljs-selector-tag">Request</span><span class="hljs-selector-class">.ServerVariables</span><span class="hljs-selector-attr">[“HTTP_X_FORWARDED_FOR”]</span>
- PHP
-
<pre class="has" name="code"><code class="hljs php">`$_SERVER[“HTTP_X_FORWARDED_FOR”]
- JSP
-
<pre class="has" name="code"><code class="hljs css"><span class="hljs-selector-tag">request</span><span class="hljs-selector-class">.getHeader</span>(“<span class="hljs-selector-tag">HTTP_X_FORWARDED_FOR</span>”)
获取到HTTP头部的X-Forwarded-For字段的相关内容后，以“,”作为区分符，截取其中的第一个IP地址即可获取客户端真实IP。
附录：常见Web服务器获取真实IP的方法
Nginx配置方案
- 确认 http_realip_module 模块已安装。Nginx作为负载均衡获取真实IP是使用http_realip_module模块。
说明 通过一键安装包安装的Nginx默认不安装此模块，可以使用
# nginx -V | grep http_realip_module查看此模块有无安装。<p>如果 http_realip_module 模块未安装，需要重新编译Nginx并加装此模块。</p> <p><a href="https://api.aliyun.com/new#/tutorial?id=40535" rel="nofollow">试用</a></p> <pre class="has" name="code"><code class="hljs javascript"><ol class="hljs-ln" style="width:1473px"><li><div class="hljs-ln-numbers"><div class="hljs-ln-line hljs-ln-n" data-line-number="1"></div></div><div class="hljs-ln-code"><div class="hljs-ln-line">wget http:<span class="hljs-comment">//soft.phpwind.me/top/nginx-1.0.12.tar.gz</span></div></div></li><li><div class="hljs-ln-numbers"><div class="hljs-ln-line hljs-ln-n" data-line-number="2"></div></div><div class="hljs-ln-code"><div class="hljs-ln-line">tar zxvf nginx<span class="hljs-number">-1.0</span><span class="hljs-number">.12</span>.tar.gz</div></div></li><li><div class="hljs-ln-numbers"><div class="hljs-ln-line hljs-ln-n" data-line-number="3"></div></div><div class="hljs-ln-code"><div class="hljs-ln-line">cd nginx<span class="hljs-number">-1.0</span><span class="hljs-number">.12</span></div></div></li><li><div class="hljs-ln-numbers"><div class="hljs-ln-line hljs-ln-n" data-line-number="4"></div></div><div class="hljs-ln-code"><div class="hljs-ln-line">./configure --user=www --group=www --prefix=<span class="hljs-regexp">/alidata/</span>server/nginx --<span class="hljs-keyword">with</span>-http_stub_status_module --without-http-cache --<span class="hljs-keyword">with</span>-http_ssl_module --<span class="hljs-keyword">with</span>-http_realip_module</div></div></li><li><div class="hljs-ln-numbers"><div class="hljs-ln-line hljs-ln-n" data-line-number="5"></div></div><div class="hljs-ln-code"><div class="hljs-ln-line">make</div></div></li><li><div class="hljs-ln-numbers"><div class="hljs-ln-line hljs-ln-n" data-line-number="6"></div></div><div class="hljs-ln-code"><div class="hljs-ln-line">make install</div></div></li><li><div class="hljs-ln-numbers"><div class="hljs-ln-line hljs-ln-n" data-line-number="7"></div></div><div class="hljs-ln-code"><div class="hljs-ln-line">kill -USR2 <span class="hljs-string">`cat /alidata/server/nginx/logs/nginx.pid`</span></div></div></li><li><div class="hljs-ln-numbers"><div class="hljs-ln-line hljs-ln-n" data-line-number="8"></div></div><div class="hljs-ln-code"><div class="hljs-ln-line">kill -QUIT <span class="hljs-string">`cat /alidata/server/nginx/logs/ nginx.pid.oldbin`</span></div></div></li></ol></code><div class="hljs-button {2}" data-title="复制" onclick="hljs.copyCode(event)"></div></pre> </li> <li>修改Nginx对应server的配置。 在<code>location / {}</code>中添加以下内容。 <p><a href="https://api.aliyun.com/new#/tutorial?id=40535" rel="nofollow">试用</a></p> <pre class="has" name="code"><code class="hljs vbscript"><ol class="hljs-ln"><li><div class="hljs-ln-numbers"><div class="hljs-ln-line hljs-ln-n" data-line-number="1"></div></div><div class="hljs-ln-code"><div class="hljs-ln-line">set_real_ip_from ip_range1;</div></div></li><li><div class="hljs-ln-numbers"><div class="hljs-ln-line hljs-ln-n" data-line-number="2"></div></div><div class="hljs-ln-code"><div class="hljs-ln-line">set_real_ip_from ip_range2;</div></div></li><li><div class="hljs-ln-numbers"><div class="hljs-ln-line hljs-ln-n" data-line-number="3"></div></div><div class="hljs-ln-code"><div class="hljs-ln-line">...</div></div></li><li><div class="hljs-ln-numbers"><div class="hljs-ln-line hljs-ln-n" data-line-number="4"></div></div><div class="hljs-ln-code"><div class="hljs-ln-line">set_real_ip_from ip_rangex;</div></div></li><li><div class="hljs-ln-numbers"><div class="hljs-ln-line hljs-ln-n" data-line-number="5"></div></div><div class="hljs-ln-code"><div class="hljs-ln-line">real_ip_header X-Forwarded-<span class="hljs-keyword">For</span>;</div></div></li></ol></code><div class="hljs-button {2}" data-title="复制" onclick="hljs.copyCode(event)"></div></pre> <p><strong>说明</strong> 这里的 <code>ip_range1,2,...</code> 指的是高防IP的回源IP地址，需要添加多条。如果高防IP后还有WAF、CDN，则需要写WAF、CDN的回源IP地址，即需要写离源站最近的一层七层代理的回源IP段。</p> </li> <li>修改日志记录格式 log_format。log_format一般在nginx.conf中的HTTP配置中： <p><a href="https://api.aliyun.com/new#/tutorial?id=40535" rel="nofollow">试用</a></p> <pre class="has" name="code"><code class="hljs java">log_format main <span class="hljs-string">'$http_x_forwarded_for - $remote_user [$time_local] "$request" '</span> <span class="hljs-string">'$status $body_bytes_sent "$http_referer" '</span> <span class="hljs-string">'"$http_user_agent" '</span>;
<p>添加x-forwarded-for字段，替换原本的remote-address。<br><a href="http://static-aliyun-doc.oss-cn-hangzhou.aliyuncs.com/assets/img/79579/154605087235035_zh-CN.png" rel="nofollow"><img alt="" class="has" id="image-fxw-dtp-fgb" src="http://static-aliyun-doc.oss-cn-hangzhou.aliyuncs.com/assets/img/79579/154605087235035_zh-CN.png"></a></p> </li> <li>重启Nginx使配置生效 <code>nginx -s reload</code>。</li>IIS 6 配置方案
IIS 6通过日志可获取来访者真实IP。
- 安装F5XForwardedFor.dll 插件。
- 根据您服务器的操作系统版本将x86\Release或者x64\Release目录下的F5XForwardedFor.dll拷贝到本地目录（例如C:\ISAPIFilters）。同时，确保IIS进程对该目录有读取权限。
- 打开IIS管理器，选择当前开启的网站右键，单击属性。
- 在属性对话框，单击ISAPI筛选器，单击添加。
- 在添加对话框中，在筛选器名称处填写“F5XForwardedFor”，在可执行文件处填写F5XForwardedFor.dll的完整路径，单击确定。
- 重启IIS服务器，配置生效。
IIS 7 配置方案
IIS 7可通过F5XForwardedFor模块获取来访者真实IP。
- 下载并安装 F5XForwardedFor 插件模块。
- 根据您服务器的操作系统版本将x86\Release 或者x64\Release目录下的F5XFFHttpModule.dll 和 F5XFFHttpModule.ini文件拷贝到本地目录（例如 C:\F5XForwardedFor\）。同时，确保对IIS进程对该目录有读取权限。
- 打开IIS管理器，选择IIS服务器选项。
- 双击打开模块功能，单击配置本机模块。
- 在配置本机模块对话框中，单击注册。
- 添加已下载的 F5XFFHttpModule.dll 文件。
- 添加完成后，选中刚才注册的模块，单击确定。
- 在API 和CGI限制窗口添加 F5XFFHttpModule.dll 文件，并设置为允许。
- 重启IIS服务器，配置生效。
Apache配置方案
Windows操作系统
在Apache 2.4及以上版本的安装包中已自带remoteip_module模块文件（mod_remoteip.so），您可以通过该模块获取访问者真实IP地址。
- 在Apache的extra配置文件夹（conf/extra/）中，新建httpd-remoteip.conf配置文件。
说明 为减少直接修改httpd.conf配置文件的次数，避免因操作失误而导致的业务异常，通过引入remoteip.conf配置文件的方式加载相关配置。
- 在httpd-remoteip.conf配置文件中，添加以下访问者真实IP的获取规则。
<pre class="has" name="code"><code class="hljs vbscript"><ol class="hljs-ln" style="width:1710px"><li><div class="hljs-ln-numbers"><div class="hljs-ln-line hljs-ln-n" data-line-number="1"></div></div><div class="hljs-ln-code"><div class="hljs-ln-line">＃加载mod_remoteip.so模块</div></div></li><li><div class="hljs-ln-numbers"><div class="hljs-ln-line hljs-ln-n" data-line-number="2"></div></div><div class="hljs-ln-code"><div class="hljs-ln-line">LoadModule remoteip_module modules/mod_remoteip.so</div></div></li><li><div class="hljs-ln-numbers"><div class="hljs-ln-line hljs-ln-n" data-line-number="3"></div></div><div class="hljs-ln-code"><div class="hljs-ln-line">＃设置RemoteIPHeader头部</div></div></li><li><div class="hljs-ln-numbers"><div class="hljs-ln-line hljs-ln-n" data-line-number="4"></div></div><div class="hljs-ln-code"><div class="hljs-ln-line">RemoteIPHeader X-Forwarded-<span class="hljs-keyword">For</span></div></div></li><li><div class="hljs-ln-numbers"><div class="hljs-ln-line hljs-ln-n" data-line-number="5"></div></div><div class="hljs-ln-code"><div class="hljs-ln-line">＃设置回源IP段</div></div></li><li><div class="hljs-ln-numbers"><div class="hljs-ln-line hljs-ln-n" data-line-number="6"></div></div><div class="hljs-ln-code"><div class="hljs-ln-line">RemoteIPInternalProxy <span class="hljs-number">112.124</span><span class="hljs-number">.159</span><span class="hljs-number">.0</span>/<span class="hljs-number">24</span> <span class="hljs-number">118.178</span><span class="hljs-number">.15</span><span class="hljs-number">.0</span>/<span class="hljs-number">24</span> <span class="hljs-number">120.27</span><span class="hljs-number">.173</span><span class="hljs-number">.0</span>/<span class="hljs-number">24</span> <span class="hljs-number">203.107</span><span class="hljs-number">.20</span><span class="hljs-number">.0</span>/<span class="hljs-number">24</span> <span class="hljs-number">203.107</span><span class="hljs-number">.21</span><span class="hljs-number">.0</span>/<span class="hljs-number">24</span> <span class="hljs-number">203.107</span><span class="hljs-number">.22</span><span class="hljs-number">.0</span>/<span class="hljs-number">24</span> <span class="hljs-number">203.107</span><span class="hljs-number">.23</span><span class="hljs-number">.0</span>/<span class="hljs-number">24</span> <span class="hljs-number">47.97</span><span class="hljs-number">.128</span><span class="hljs-number">.0</span>/<span class="hljs-number">24</span> <span class="hljs-number">47.97</span><span class="hljs-number">.129</span><span class="hljs-number">.0</span>/<span class="hljs-number">24</span> <span class="hljs-number">47.97</span><span class="hljs-number">.130</span><span class="hljs-number">.0</span>/<span class="hljs-number">24</span> <span class="hljs-number">47.97</span><span class="hljs-number">.131</span><span class="hljs-number">.0</span>/<span class="hljs-number">24</span></div></div></li></ol></code><div class="hljs-button {2}" data-title="复制" onclick="hljs.copyCode(event)"></div></pre> </li> <li>修改conf/httpd.conf配置文件，插入httpd-remoteip.conf配置文件。 <p><a href="https://api.aliyun.com/new#/tutorial?id=40535" rel="nofollow">试用</a></p> <pre class="has" name="code"><code class="hljs php"><span class="hljs-keyword">Include</span> conf/extra/httpd-remoteip.conf</code><div class="hljs-button {2}" data-title="复制" onclick="hljs.copyCode(event)"></div></pre> </li> <li>在httpd.conf配置文件中，修改日志格式。 <p><a href="https://api.aliyun.com/new#/tutorial?id=40535" rel="nofollow">试用</a></p> <pre class="has" name="code"><code class="hljs perl"><ol class="hljs-ln"><li><div class="hljs-ln-numbers"><div class="hljs-ln-line hljs-ln-n" data-line-number="1"></div></div><div class="hljs-ln-code"><div class="hljs-ln-line">LogFormat <span class="hljs-string">"%a %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\""</span> combined</div></div></li><li><div class="hljs-ln-numbers"><div class="hljs-ln-line hljs-ln-n" data-line-number="2"></div></div><div class="hljs-ln-code"><div class="hljs-ln-line">LogFormat <span class="hljs-string">"%a %l %u %t \"%r\" %>s %b"</span> common</div></div></li></ol></code><div class="hljs-button {2}" data-title="复制" onclick="hljs.copyCode(event)"></div></pre> </li> <li>重启Apache服务，使配置生效。</li>
Linux操作系统
您可以通过安装Apache的mod_rpaf第三方模块，获取访问者真实IP地址。
- 执行以下命令，安装mod_rpaf模块。
<pre class="has" name="code"><code class="hljs swift"><ol class="hljs-ln"><li><div class="hljs-ln-numbers"><div class="hljs-ln-line hljs-ln-n" data-line-number="1"></div></div><div class="hljs-ln-code"><div class="hljs-ln-line">wget http:<span class="hljs-comment">//stderr.net/apache/rpaf/download/mod_rpaf-0.6.tar.gz</span></div></div></li><li><div class="hljs-ln-numbers"><div class="hljs-ln-line hljs-ln-n" data-line-number="2"></div></div><div class="hljs-ln-code"><div class="hljs-ln-line">tar zxvf mod_rpaf-<span class="hljs-number">0.6</span>.tar.gz</div></div></li><li><div class="hljs-ln-numbers"><div class="hljs-ln-line hljs-ln-n" data-line-number="3"></div></div><div class="hljs-ln-code"><div class="hljs-ln-line">cd mod_rpaf-<span class="hljs-number">0.6</span></div></div></li><li><div class="hljs-ln-numbers"><div class="hljs-ln-line hljs-ln-n" data-line-number="4"></div></div><div class="hljs-ln-code"><div class="hljs-ln-line">/alidata/server/httpd/bin/apxs -i -<span class="hljs-built_in">c</span> -n mod_rpaf-<span class="hljs-number">2.0</span>.so mod_rpaf-<span class="hljs-number">2.0</span>.<span class="hljs-built_in">c</span></div></div></li></ol></code><div class="hljs-button {2}" data-title="复制" onclick="hljs.copyCode(event)"></div></pre> </li> <li>修改Apache配置文件/alidata/server/httpd/conf/httpd.conf，在文件最后添加以下内容： <p><strong>说明</strong> 其中， <code>RPAFproxy_ips ip地址</code>不是负载均衡提供的公网IP。具体IP可参考Apache的日志，通常会有两个IP地址。</p> <p><a href="https://api.aliyun.com/new#/tutorial?id=40535" rel="nofollow">试用</a></p> <pre class="has" name="code"><code class="hljs vbscript"><ol class="hljs-ln"><li><div class="hljs-ln-numbers"><div class="hljs-ln-line hljs-ln-n" data-line-number="1"></div></div><div class="hljs-ln-code"><div class="hljs-ln-line">LoadModule rpaf_module modules/mod_rpaf<span class="hljs-number">-2.0</span>.so</div></div></li><li><div class="hljs-ln-numbers"><div class="hljs-ln-line hljs-ln-n" data-line-number="2"></div></div><div class="hljs-ln-code"><div class="hljs-ln-line">RPAFenable <span class="hljs-keyword">On</span></div></div></li><li><div class="hljs-ln-numbers"><div class="hljs-ln-line hljs-ln-n" data-line-number="3"></div></div><div class="hljs-ln-code"><div class="hljs-ln-line">RPAFsethostname <span class="hljs-keyword">On</span></div></div></li><li><div class="hljs-ln-numbers"><div class="hljs-ln-line hljs-ln-n" data-line-number="4"></div></div><div class="hljs-ln-code"><div class="hljs-ln-line">RPAFproxy_ips ip地址</div></div></li><li><div class="hljs-ln-numbers"><div class="hljs-ln-line hljs-ln-n" data-line-number="5"></div></div><div class="hljs-ln-code"><div class="hljs-ln-line">RPAFheader X-Forwarded-<span class="hljs-keyword">For</span></div></div></li></ol></code><div class="hljs-button {2}" data-title="复制" onclick="hljs.copyCode(event)"></div></pre> </li> <li>添加完成后，执行以下命令重启Apache服务，使配置生效。 <p><a href="https://api.aliyun.com/new#/tutorial?id=40535" rel="nofollow">试用</a></p> <pre class="has" name="code"><code class="hljs vbscript">/alidata/<span class="hljs-built_in">server</span>/httpd/bin/apachectl restart</code><div class="hljs-button {2}" data-title="复制" onclick="hljs.copyCode(event)"></div></pre> </li>
mod_rpaf模块配置示例
-
-
LoadModule rpaf_module modules/mod_rpaf -2.0.so
-
RPAFenable On
-
RPAFsethostname On
-
RPAFproxy_ips 10.242 .230 .65 10.242 .230 .131
-
RPAFheader X-Forwarded- For
Tomcat配置方案
开启 Tomcat 的 X-Forwarded-For 功能可获取客户端真实IP。
在 tomcat/conf/server.xml 文件中，修改 AccessLogValve 日志记录功能：
-
<Valve className= "org.apache.catalina.valves.AccessLogValve" directory= "logs"
-
prefix= "localhost_access_log." suffix= ".txt"
-
pattern= "%{X-FORWARDED-FOR}i %l %u %t %r %s %b %D %q %{User-Agent}i %T" resolveHosts= "false"/>
</div> </div> </article>备用下载链接: https://pan.baidu.com/s/1J5cQi-T8daDeD0iSHYzQig 提取码: xdv7
- 确认 http_realip_module 模块已安装。Nginx作为负载均衡获取真实IP是使用http_realip_module模块。
1197
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
