Re: множественные директивы real_ip_header

[Gena Makhomed]

On 06.06.2023 14:00, Илья Шипицин wrote:

> (на vps выставлять маркер, с клаудфлера запрос или нет
> $http_are_we_behind_cloudflare и по этому маркеру брать из одного или
> другого хедера)
> 
> но в целом - это то самое "программирование на конфигах"
> 
> map $http_are_we_behind_cloudflare $real_remote_addr {
>      'yes' $http_cf_connecting_ip;
>      default $http_x_forwarded_for;
> }


Не получится на VPS выставлять маркер, потому что VPS проксирует трафик
на основной сервер через tcp, а не через http/https. Примерно так:

# cat /etc/nginx/nginx.conf

stream {

     server {
         listen 11.11.11.11:80;
         proxy_protocol on;
         proxy_pass 22.22.22.22:57001;
     }

     server {
         listen 11.11.11.11:443;
         proxy_protocol on;
         proxy_pass 22.22.22.22:57002;
     }
}

самый простой вариант решения проблемы - это взять исходники
модуля ngx_http_realip_module, в котором определено три директивы
и две переменные, и на его основании сделать модуль
ngx_http_realip_module2, с такими директивами:

set_real_ip_from2
real_ip_header2
real_ip_recursive2

и такими переменными:

$realip_remote_addr2
$realip_remote_port2

в таком случае на основном сервере будет такой конфиг:

set_real_ip_from 11.11.11.11;
real_ip_header proxy_protocol;

set_real_ip_from2 <cloudflare ip>;
...
set_real_ip_from2 <cloudflare ip>;
real_ip_header2 CF-Connecting-IP;

сначала отработают директивы set_real_ip_from и real_ip_header
из модуля ngx_http_realip_module и модуль установит переменные

$remote_addr
$remote_port

на основании данных, полученных из proxy_protocol,
после чего отработает модуль ngx_http_realip_module2
и установит переменную

$remote_addr

на основании значения заголовка CF-Connecting-IP.

- насколько я понимаю, с помощью njs написать модуль
ngx_http_realip_module2 не получится, потому что переменная
$remote_addr для njs находится в состоянии read only,
так что модуль ngx_http_realip_module2 необходимо будет
делать только используя язык программирования C.

Не понятно только, можно ли будет включить этот модуль
ngx_http_realip_module2 в основную ветку nginx, или надо будет
писать его отдельно и вручную компилировать при выходе каждой
новой версии nginx?

Более двух уровней обработки real_ip_header / real_ip_header2
может понадобиться, чтобы включить одновременно возможность
автоматического получения реального IP клиента от cloudflare,
variti, stormwall и других сервисов защиты от DDoS. Тогда можно
было бы просто прописать в конфигах nginx одновременно
все допустимые варианты настройки и тогда можно было бы
вообще не править конфиги, при переключении метода защиты:

set_real_ip_from <настройки для proxy_protocol>;
real_ip_header <настройки для proxy_protocol>;

set_real_ip_from2 <настройки для cloudflare>;
real_ip_header2 <настройки для cloudflare>;

set_real_ip_from3 <настройки для variti>;
real_ip_header3 <настройки для variti>;

set_real_ip_from4 <настройки для stormwall>;
real_ip_header4 <настройки для stormwall>;

Но тут не понятно, на каком количестве вариантов директив
надо остановиться, - 5, 10, 20 ?

Выполнять же директивы просто в порядке следования в конфиге:

set_real_ip_from <настройки для proxy_protocol>;
real_ip_header <настройки для proxy_protocol>;

set_real_ip_from <настройки для cloudflare>;
real_ip_header <настройки для cloudflare>;

set_real_ip_from <настройки для variti>;
real_ip_header <настройки для variti>;

set_real_ip_from <настройки для stormwall>;
real_ip_header <настройки для stormwall>;

нельзя, потому что это нарушит обратную совместимость
с уже существующими конфигурациями и такой патч
точно никогда не будет принят в основную ветку nginx.

Вариант синтаксиса:

real_ip_header <имя> set_real_ip_from <адрес>;

позволяет неограниченное количество директив real_ip_header,
если обрабатывать их в том порядке, как они заданы в конфиге
- то получается максимально гибкая настройка конфигурации,
причем, даже без необходимости добавления новых директив.

Но не знаю, примут ти такой патч/модуль в основную ветку nginx ?

лучших вариантов синтаксиса, кроме

real_ip_header <имя> set_real_ip_from <адрес>;

я пока что не смог придумать.

To Maxim Dounin:

Максим, можно узнать Ваше мнение по этому вопросу?

-- 
Best regards,
  Gena