Модуль Apache mod_remoteip

Директива RemoteIPHeader

RemoteIPHeader header-field

Директива RemoteIPHeader запускает mod_remoteip для обработки значения указанного заголовка header-field как IP-адрес пользователя-агента или списка промежуточных IP-адресов пользователя-агента, с дополнительной настройкой RemoteIPInternalProxy и RemoteIPTrustedProxy директив. Если эти другие директивы не используются, mod_remoteip будет доверять всем хостам, представляющим значение IP RemoteIPHeader.

RemoteIPHeader X-Client-IP

RemoteIPHeader X-Forwarded-For

Директива RemoteIPInternalProxy

RemoteIPInternalProxy proxy-ip|proxy-ip/subnet|hostname ...

Директива RemoteIPInternalProxy добавляет один или несколько адресов (или блоков адресов), которым доверяется представление действительного значения RemoteIPHeader IP-адреса пользователя-агента. В отличие от директивы RemoteIPTrustedProxy, любой IP-адрес, представленный в этом заголовке, включая приватные внутрисетевые адреса, доверяется, когда передаётся от этих прокси.

RemoteIPHeader X-Client-IP
RemoteIPInternalProxy 10.0.2.0/24
RemoteIPInternalProxy gateway.localdomain

Директива RemoteIPInternalProxyList

RemoteIPInternalProxyList filename

Директива RemoteIPInternalProxyList указывает файл, обрабатываемый при запуске, и создаёт список адресов (или блоков адресов), которым доверяется представление действительного значения RemoteIPHeader IP-адреса пользователя-агента.

Символ «#» обозначает строку комментария, в противном случае каждое разделенное пробелами или новой строкой значение обрабатывается идентично директиве RemoteIPInternalProxy.

RemoteIPHeader X-Client-IP
RemoteIPInternalProxyList conf/trusted-proxies.lst

# Our internally trusted proxies;
10.0.2.0/24         #Everyone in the testing group
gateway.localdomain #The front end balancer

Директива RemoteIPProxiesHeader

RemoteIPProxiesHeader HeaderFieldName

Директива RemoteIPProxiesHeader указывает заголовок, в который mod_remoteip будет собирать список всех промежуточных IP-адресов клиента, которым доверяется определение IP-адреса пользователя-агента запроса. Обратите внимание, что промежуточные RemoteIPTrustedProxy адреса записываются в этом заголовке, а любые промежуточные RemoteIPInternalProxy адреса отбрасываются.

RemoteIPHeader X-Forwarded-For
RemoteIPProxiesHeader X-Forwarded-By

Директива RemoteIPProxyProtocol

RemoteIPProxyProtocol On|Off

Директива RemoteIPProxyProtocol включает или отключает чтение и обработку заголовка подключения PROXY протокола. Если включена с флагом On, клиент upstream должен отправлять заголовок каждый раз при открытии подключения, иначе подключение будет прервано, если оно не находится в списке отключённых хостов, предоставленных директивой RemoteIPProxyProtocolExceptions.

Хотя эта директива может быть указана в любом виртуальном хосте, важно понимать, что, поскольку протокол PROXY основан на подключении и независим от протокола, включение и отключение фактически основаны на IP-адресе и порте. Это означает, что если у вас несколько виртуальных хостов с одинаковым именем хоста и портом, и вы включаете его для любого из них, то он включён для всех из них (с этим хостом и портом). Это также означает, что если вы попытаетесь включить протокол PROXY в одном и отключить в другом, это не сработает; в таком случае последнее значение имеет приоритет, и будет записано сообщение, указывающее, какое значение было переопределено.

Listen 80
<VirtualHost *:80>
    ServerName www.example.com
    RemoteIPProxyProtocol On

    #Requests to this virtual host must have a PROXY protocol
    # header provided. If it is missing, the connection will
    # be aborted
</VirtualHost>

Listen 8080
<VirtualHost *:8080>
    ServerName www.example.com
    RemoteIPProxyProtocol On
    RemoteIPProxyProtocolExceptions 127.0.0.1 10.0.0.0/8

    #Requests to this virtual host must have a PROXY protocol
    # header provided. If it is missing, the connection will
    # be aborted except when coming from localhost or the
    # 10.x.x.x RFC1918 range
</VirtualHost>

Директива RemoteIPProxyProtocolExceptions

RemoteIPProxyProtocolExceptions host|range [host|range] [host|range]

Директива RemoteIPProxyProtocol включает или отключает чтение и обработку заголовка подключения PROXY протокола. Иногда желательно требовать от клиентов предоставления заголовка PROXY, но разрешить другим клиентам подключиться без него. Эта директива позволяет администратору сервера настроить один хост или диапазон CIDR хостов, которые могут это сделать. Это обычно полезно для мониторинга и административного трафика на виртуальный хост напрямую на сервер за балансировщиком нагрузки upstream.

Директива RemoteIPTrustedProxy

RemoteIPTrustedProxy proxy-ip|proxy-ip/subnet|hostname ...

Директива RemoteIPTrustedProxy добавляет один или несколько адресов (или блоков адресов), которым доверяется представление действительного значения RemoteIPHeader IP-адреса пользователя-агента. В отличие от директивы RemoteIPInternalProxy, любые внутрисетевые или частные IP-адреса, сообщённые такими прокси, включая блоки 10/8, 172.16/12, 192.168/16, 169.254/16 и 127/8 (или за пределами публичного блока IPv6 2000::/3), не доверяются как IP-адрес пользователя-агента и оставляются в значении заголовка RemoteIPHeader.

RemoteIPHeader X-Forwarded-For
RemoteIPTrustedProxy 10.0.2.16/28
RemoteIPTrustedProxy proxy.example.com

Директива RemoteIPTrustedProxyList

RemoteIPTrustedProxyList filename

Директива RemoteIPTrustedProxyList задаёт файл, который парсится при запуске, и создаёт список адресов (или блоков адресов), которым доверяют как представляющим действительное значение RemoteIPHeader для IP-адреса пользователя.

Символ '#' в строке обозначает комментарий, иначе каждое значение, разделённое пробелами или новой строкой, обрабатывается идентично директиве RemoteIPTrustedProxy.

RemoteIPHeader X-Forwarded-For
RemoteIPTrustedProxyList conf/trusted-proxies.lst

# Identified external proxies;
192.0.2.16/28 #wap phone group of proxies
proxy.isp.example.com #some well known ISP