nginx real_ip_header і X-Forwarded-For здається неправильним

Опис вікіпедії заголовка HTTP X-Forwarded-For:

X-Forwarded-For: client1, proxy1, proxy2, ...

Документація nginx для директиви real_ip_headerчастково говорить:

Ця директива встановлює назву заголовка, який використовується для передачі IP-адреси заміни.
У разі X-Forwarded-For цей модуль використовує останній ip у заголовку X-Forwarded-For для заміни. [Наголос мій]

Ці два описи, здається, суперечать один одному. У нашому сценарії X-Forwarded-Forзаголовок точно такий, як описано - "справжня" IP-адреса клієнта - це самий лівий запис. Крім того, поведінка Nginx є використання правильного -Велика значення - яке, очевидно, є тільки один з наших проксі - серверів.

Я розумію X-Real-IP, що він повинен використовуватися для визначення фактичної IP-адреси клієнта, а не проксі. Я щось пропускаю, чи це помилка в nginx?

І, крім того, чи є якісь - або пропозиції про те , як зробити X-Real-IPзаголовок відображається зліва -Велика значення, як зазначено у визначенні X-Forwarded-For?

Я вважаю, що ключ до вирішення неприємностей X-Forwarded-For, коли кілька IP-адрес пов'язані ланцюгом, - це нещодавно введений варіант конфігурації real_ip_recursive(доданий у nginx 1.2.1 та 1.3.0). З документів nginx realip :

Якщо ввімкнено рекурсивний пошук, оригінальна адреса клієнта, яка відповідає одній із довірених адрес, замінюється останньою недовіреною адресою, надісланою в полі заголовка запиту.

nginx хапав останню IP-адресу в ланцюзі за замовчуванням, тому що це був єдиний, якому вважали, що йому довіряють. Але з новим real_ip_recursiveувімкненим і з кількома set_real_ip_fromпараметрами ви можете визначити кілька надійних проксі-серверів, і він отримає останній недовірений IP-адресу.

Наприклад, за допомогою цього конфігурації:

set_real_ip_from 127.0.0.1;
set_real_ip_from 192.168.2.1;
real_ip_header X-Forwarded-For;
real_ip_recursive on;

І заголовок X-Forwarded-For, що призводить до:

X-Forwarded-For: 123.123.123.123, 192.168.2.1, 127.0.0.1

Тепер nginx вибере 123.123.123.123 як IP-адресу клієнта.

Що стосується того, чому nginx не просто вибирає найбільшу ліву IP-адресу і вимагає чітко визначити надійні проксі-сервери, це запобігти простому підробленню IP-адреси.

Скажімо, справжня IP-адреса клієнта така 123.123.123.123. Скажімо також, що клієнту нічого поганого, і вони намагаються підробити свою IP-адресу 11.11.11.11. Вони надсилають запит на сервер із уже встановленим заголовком:

X-Forwarded-For: 11.11.11.11

Оскільки зворотні проксі-сервери просто додають IP-адреси до цього ланцюга X-Forwarded-For, скажімо, він закінчується таким чином, коли nginx потрапляє на нього:

X-Forwarded-For: 11.11.11.11, 123.123.123.123, 192.168.2.1, 127.0.0.1

Якщо ви просто схопили найбільшу ліву адресу, це дозволить клієнту легко підробити свою IP-адресу. Але з наведеним вище прикладом nginx config, nginx буде довіряти останнім двом адресам лише проксі. Це означає, що nginx буде правильно обраний 123.123.123.123як IP-адреса, незважаючи на те, що підроблений IP-код насправді є самим лівим.

Розбір X-Forwarded-Forзаголовка дійсно є помилковим у модулі nginx real_ip.

len = r->headers_in.x_forwarded_for->value.len;
ip = r->headers_in.x_forwarded_for->value.data;

for (p = ip + len - 1; p > ip; p--) {
  if (*p == ' ' || *p == ',') {
    p++;
    len -= p - ip;
    ip = p;
    break;
  }
}

Він починається в крайній правій частині рядка заголовка, і як тільки він бачить пробіл або кому, він перестає шукати і вставляє частину праворуч від пробілу або кома в змінній IP. Отже, вона розглядає останню проксі-адресу як оригінальну адресу клієнта .

Відповідно до специфікації, це не грає добре; це небезпека того, щоб це не було чітко прописано у RFC.

Убік: Важко навіть знайти хороше першоджерело за форматом, який спочатку визначав Squid - копання їх документації підтверджує замовлення; leftmost є оригінальним клієнтом, правий край - останнім додатком. Я дуже спокусився додати [цитування потрібне] до цієї сторінки вікіпедії. Здається, одна анонімна редакція є повноваженням Інтернету з цього приводу.

Якщо можливо, чи можете ви проміжні проксі-сервери перестати додавати себе до кінця заголовка, залишаючи лише реальну адресу клієнта?

X-Real-IP - це IP-адреса фактичного клієнта, з яким розмовляє сервер ("реальний" клієнт сервера), який у випадку проксі-з'єднання є проксі-сервером. Ось чому X-Real-IP міститиме останній IP в заголовку X-Forwarded-For.