Модуль Apache mod_remoteip

Директива RemoteIPHeader

RemoteIPHeader header-field

Директива RemoteIPHeader указывает mod_remoteip считать значение указанного заголовка header-field IP-адресом пользовательского агента или списком IP-адресов промежуточных пользовательских агентов с учётом дополнительной настройки директив RemoteIPInternalProxy и RemoteIPTrustedProxy. Если эти другие директивы не используются, mod_remoteip будет доверять всем узлам, передающим значение IP-адреса RemoteIPHeader.

RemoteIPHeader X-Client-IP

RemoteIPHeader X-Forwarded-For

Директива RemoteIPInternalProxy

RemoteIPInternalProxy proxy-ip|proxy-ip/subnet|hostname ...

Директива RemoteIPInternalProxy добавляет один или несколько адресов (или блоков адресов), которым доверено передавать допустимое значение RemoteIPHeader с IP-адресом пользовательского агента. В отличие от директивы RemoteIPTrustedProxy, доверенными считаются любые IP-адреса, переданные в этом заголовке через указанные прокси-серверы, в том числе частные интранет-адреса.

RemoteIPHeader X-Client-IP
RemoteIPInternalProxy 10.0.2.0/24
RemoteIPInternalProxy gateway.localdomain

Директива RemoteIPInternalProxyList

RemoteIPInternalProxyList filename

Директива RemoteIPInternalProxyList указывает файл, который обрабатывается при запуске и используется для построения списка адресов (или блоков адресов), которым доверено передавать допустимое значение RemoteIPHeader с IP-адресом пользовательского агента.

Символ решётки '#' обозначает строку-комментарий; в противном случае каждая запись, отделённая пробелом или переводом строки, обрабатывается так же, как директива RemoteIPInternalProxy.

RemoteIPHeader X-Client-IP
RemoteIPInternalProxyList conf/trusted-proxies.lst

# Our internally trusted proxies;
10.0.2.0/24         #Everyone in the testing group
gateway.localdomain #The front end balancer

Директива RemoteIPProxiesHeader

RemoteIPProxiesHeader HeaderFieldName

Директива RemoteIPProxiesHeader задаёт заголовок, в который mod_remoteip будет собирать список всех промежуточных IP-адресов клиентов, которым доверено определять IP-адрес пользовательского агента запроса. Обратите внимание: в этот заголовок записываются промежуточные адреса RemoteIPTrustedProxy, а промежуточные адреса RemoteIPInternalProxy отбрасываются.

RemoteIPHeader X-Forwarded-For
RemoteIPProxiesHeader X-Forwarded-By

Директива RemoteIPProxyProtocol

RemoteIPProxyProtocol On|Off

Директива RemoteIPProxyProtocol включает или отключает чтение и обработку заголовка соединения протокола PROXY. Если директива включена с флагом On, вышестоящий клиент должен отправлять заголовок при каждом открытии соединения, иначе соединение будет прервано, если только клиент не входит в список отключённых узлов, заданный директивой RemoteIPProxyProtocolExceptions.

Хотя эту директиву можно указывать в любом виртуальном хосте, важно понимать, что протокол PROXY привязан к соединению и не зависит от протокола, поэтому включение и отключение фактически определяется IP-адресом и портом. Это означает, что если для одного узла и порта у вас есть несколько виртуальных хостов на основе имени и вы включите протокол хотя бы для одного из них, он будет включён для всех (с этим узлом и портом). Это также означает, что попытка включить протокол PROXY для одного хоста и отключить для другого не сработает: в таком случае будет применена последняя настройка, а в журнал будет записано уведомление о том, какая настройка была переопределена.

Listen 80
<VirtualHost *:80>
    ServerName www.example.com
    RemoteIPProxyProtocol On

    #Requests to this virtual host must have a PROXY protocol
    # header provided. If it is missing, the connection will
    # be aborted
</VirtualHost>

Listen 8080
<VirtualHost *:8080>
    ServerName www.example.com
    RemoteIPProxyProtocol On
    RemoteIPProxyProtocolExceptions 127.0.0.1 10.0.0.0/8

    #Requests to this virtual host must have a PROXY protocol
    # header provided. If it is missing, the connection will
    # be aborted except when coming from localhost or the
    # 10.x.x.x RFC1918 range
</VirtualHost>

Директива RemoteIPProxyProtocolExceptions

RemoteIPProxyProtocolExceptions host|range [host|range] [host|range]

Директива RemoteIPProxyProtocol включает или отключает чтение и обработку заголовка соединения протокола PROXY. Иногда требуется, чтобы клиенты передавали заголовок PROXY, но при этом разрешить другим клиентам подключаться без него. Эта директива позволяет администратору сервера настроить один узел или диапазон узлов CIDR, для которых это разрешено. Обычно это полезно для мониторинга и административного трафика к виртуальному хосту напрямую на сервер, расположенный за вышестоящим балансировщиком нагрузки.

Директива RemoteIPTrustedProxy

RemoteIPTrustedProxy proxy-ip|proxy-ip/subnet|hostname ...

Директива RemoteIPTrustedProxy добавляет один или несколько адресов (или блоков адресов), которым доверено передавать допустимое значение RemoteIPHeader с IP-адресом пользовательского агента. В отличие от директивы RemoteIPInternalProxy, интранет- и частные IP-адреса, сообщаемые такими прокси-серверами, включая адреса из блоков 10/8, 172.16/12, 192.168/16, 169.254/16 и 127/8 (а также адреса за пределами общедоступного блока IPv6 2000::/3), не считаются IP-адресами пользовательского агента и остаются в значении заголовка RemoteIPHeader.

RemoteIPHeader X-Forwarded-For
RemoteIPTrustedProxy 10.0.2.16/28
RemoteIPTrustedProxy proxy.example.com

Директива RemoteIPTrustedProxyList

RemoteIPTrustedProxyList filename

Директива RemoteIPTrustedProxyList указывает файл, который обрабатывается при запуске и используется для построения списка адресов (или блоков адресов), которым доверено передавать допустимое значение RemoteIPHeader с IP-адресом пользовательского агента.

Символ решётки '#' обозначает строку-комментарий; в противном случае каждая запись, отделённая пробелом или переводом строки, обрабатывается так же, как директива RemoteIPTrustedProxy.

RemoteIPHeader X-Forwarded-For
RemoteIPTrustedProxyList conf/trusted-proxies.lst

# Identified external proxies;
192.0.2.16/28 #wap phone group of proxies
proxy.isp.example.com #some well known ISP