Web应用防火墙优化获取真实客户IP算法

Web应用防火墙优化获取真实客户IP算法：

概念：

Web应用防火墙（WAF）是在Web应用层提供安全防护的一种机制，它可以实现对HTTP、HTTPS和其他应用协议的有效拦截、监控和防御攻击等操作。其中获取真实客户IP是WAF的一项重要功能。

原理：

获取真实客户IP算法基于HTTP代理模式、透明代理模式、反向代理模式等技术。

HTTP代理模式（透明代理模式）：

用户端发送一个HTTP请求到WAF服务器，WAF进行请求检查和请求转发。WAF将用户请求转发到一个中间服务器（如Nginx、Apache等），再由中间服务器完成请求转发至真实服务器。中间服务器将HTTP响应返回给用户端。

优势：

使用成本低，无需购买任何特殊硬件。
对开发人员和运维人员透明，不会影响业务开发。

缺点：

配置复杂度高，需要管理中间服务器和配置转发策略。
部署时间较长，需要修改应用部署架构。

应用场景：

电商、金融等对网络攻击较为敏感的行业。
有多服务器、多CDN节点的公司，用于保护这些服务不被攻击。

推荐的腾讯云相关产品：

腾讯云WAF（Web应用防火墙）服务：https://console.cloud.tencent.com/waf
腾讯云DNSPod安全解决方案：https://console.cloud.tencent.com/dids

产品介绍链接地址：

腾讯云WAF（Web应用防火墙）：https://cloud.tencent.com/product/waf
腾讯云DNSPod安全解决方案：https://www.dns-check.info/post/3714.html

名词汇总：

Web应用防火墙： WAF
客户IP： 真实客户IP
代理模式： 透明代理模式
反向代理模式：
HTTP： Hypertext Transfer Protocol
HTTPS： HTTP Secure

相关·内容

应用获取客户端真实IP

作者：乔克公众号：运维开发故事博客：www.jokerbai.com 背景信息因为产品需要，要在应用端获取到真实的客户端IP，访问链路如下：由于应用前面经过了多次代理，所以默认情况下是获取不到真实...当你访问某个应用时，当中间没有经过任何代理，那么应用获取到的remote_addr就是你的主机IP。...如果一个应用的前面有三个代理，分别是 Proxy1、Proxy2、Proxy3，它们的IP地址分别是IP1、IP2、IP3，用户的真实IP为IP0，那么按照XFF标准，应用收到的XFF信息应该如下：X-Forwarded-For...理想情况下，我们需要达到以下效果：也就是应用获取到的X-Real-IP就是客户端的真实IP，这就要求除了第一层代理之外，后面的代理不需要再去设置X-Real-IP，只需要做转发即可，这样应用就能拿到真实的客户端访问...然后在应用的日志里就能获取到客户端的真实IP了。当然，并不是所有的场景都能通过XFF获取到用户的真实IP，比如当SLB前面还有CDN的情况下，获取的可能就是CDN的来源IP了。最后，求关注。

1K8 0

获取客户端访问真实IP

通常，当 Kubernetes 集群内的客户端连接到服务的时候，是支持服务的 Pod 可以获取到客户端的 IP 地址的，但是，当通过节点端口接收到连接时，由于对数据包执行了源网络地址转换（SNAT），因此数据包的源...IP 地址会发生变化，后端的 Pod 无法看到实际的客户端 IP，对于某些应用来说是个问题，比如，nginx 的请求日志就无法获取准确的客户端访问 IP 了，比如下面我们的应用： apiVersion...个不同的节点，这个时候我们通过 master 节点的 NodePort 端口来访问下我们的服务，因为我这里只有 master 节点可以访问外网，这个时候我们查看 nginx 的 Pod 日志可以看到其中获取到的...并且通过服务的节点端口来打开外部连接，则 Service 会代理到本地运行的 Pod，如果本地没有本地 Pod 存在，则连接将挂起，比如我们这里设置上该字段更新，这个时候我们去通过 master 节点的 NodePort 访问应用是访问不到的...由于增加了externalTrafficPolicy: Local这个配置后，接收请求的节点和目标 Pod 都在一个节点上，所以没有额外的网络跳转（不执行 SNAT），所以就可以拿到正确的客户端 IP，

3.5K3 0

代理模式下获取客户真实IP

但是，这样会出现一些问题，比如说后端服务无法获取到客户真实的ip，显示的都是代理的ip，对于业务展示会有问题。...L4层获取---TOA插件下载toa代码，编译出新的linux内核模块，这样tcp/ip协议栈可以将客户真实IP插入tcp option中，具体位置如下图所示：这样以来，业务四层端口接入后，节点和源站经过三次握手...L3层获取---透明转发主要依赖nginx透明代理+iptables mark+route核心思想是apisix使用获取到的客户端ip来建立apisix与上游服务直接的tcp连接。...ip是客户端，所以报文直接转发到了客户端，客户端很懵逼，会话表里没有，直接对服务端无情RST。...这样server就获得了真实的客户ip：之前我试过apisix的briage模式部署，但是发现代理发的报文并没有到达服务端，只发到网桥的虚拟网卡就丢掉了，没有抓发给eth0，怀疑与docker的iptablses

1641 0

PHP获取客户端真实IP地址

方案一： ---- 参考文章：https://www.php.cn/php-weizijiaocheng-406174.html // 客户端真实的IP地址 function get_real_ip...() { $ip = false; // 客户端IP 或 NONE if (!...empty($_SERVER["HTTP_CLIENT_IP"])) { $ip = $_SERVER["HTTP_CLIENT_IP"]; } // 多重代理服务器下的客户端真实...", $ips[$i])) { $ip = $ips[$i]; break; } } } // 客户端IP 或 (最后一个)代理服务器 IP return...$ip : $_SERVER['REMOTE_ADDR']); } 方案二： ---- /** * 获取客户端IP */ public function get_real_ip() { $

6.2K2 0

nginx获取客户端请求的真实IP

7 次查看客户端通过nginx代理访问后端tomcat服务器时，后端服务器收到的请求信息中只有nginx代理的IP信息，无法看到client的真实IP，所以nginx需要获取客户端请求头的真实IP地址进行传递...proxy_pass https://192.168.10.3:443/; proxy_set_header Host $host; proxy_set_header X-Real-IP...proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; } } 但是如上配置涉及jetty/tomcat/apache服务之后，客户端访问代理无法正常访问到服务...于是修改配置如下，代理服务访问正常，且nginx能获取客户端请求的真实IP地址： location / { proxy_pass https://192.168.10.3:443/; proxy_set_header...Host $http_host; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $

4.9K1 0

nginx反向代理后应用程序如何获取客户端真实IP？

nginx反向代理后应用程序如何获取客户端真实IP？...Nginx反向代理后，Servlet应用通过request.getRemoteAddr()取到的IP是Nginx的IP地址，并非客户端真实IP，通过request.getRequestURL()获取的域名...、协议、端口都是Nginx访问Web应用时的域名、协议、端口，而非客户端浏览器地址栏上的真实域名、协议、端口。...Nginx的反向代理实际上是客户端和真实的应用服务器之间的一个桥梁，客户端（一般是浏览器）访问Nginx服务器，Nginx再去访问Web应用服务器。...对于Web应用来说，这次HTTP请求的客户端是Nginx而非真实的客户端浏览器，如果不做特殊处理的话，Web应用会把Nginx当作请求的客户端，获取到的客户端信息就是Nginx的一些信息。

2.6K1 0

获取客户端真实 IP 地址的最佳实践

更进一步讲，当前业务如何抵挡外界的 DDoS 攻击、请求机器人、SQL 注入等等，最简单的是接入高防 IP、WAF 应用防火墙，而请求经过多轮转发，同样也有获取客户端真实 IP 的问题。...我把这套方案，抽象为三大原则，只要理解它，获取客户端真实 IP 的问题，就跟喝水一样简单！1....代理必须向下传递客户端 IP 地址原因：从入口流量开始，经过 N 层代理，如果代理中间不传递客户端的 IP 地址，底层业务必然获取不到客户端的真实 IP 地址。2....---总之，我个人认为：业务完全不需要关心如何获取客户端的真实 IP，这是最好的选择；千万不要封装各种函数去获取客户端真实 IP，这种问题最好交给上层 SRE 基础架构的同学负责，不然真的非常容易出问题...；理解好三大原则，获取客户端真实 IP 的问题，就跟喝水一样简单！

1K5 0

腾讯云大禹高防IP之客户端获取真实IP

腾讯云大禹高防IP产品可用来对客户的4/7层业务进行ddos攻击的防护，其中一个很常见的诉求是如何获取真实的客户端ip。本文章会就云上常见的各高防IP部署场景下如何获取真实ip来做说明。...获取方式首先，我们看下高防IP在针对不同的接入方式下将真实IP传递给后端的方式： 4层接入：TOA 后端源站安装TOA内核包，并在内核中开启TOA模块后，源站上应用可获取真实请求客户端IP。...X-Forwareded-For字段值内容来拿到真实请求客户端IP。...，针对到各个典型场景，做个说明：协议类型高防IP前端产品高防IP后端产品客户端获取真实IP方案 4层TCP/UDP 域名 7层CLB 方案一 4层TCP/UDP 域名 4层CLB/CVM/非腾讯云...而对于腾讯云的CLB产品，当配置4层转发模式时，会直接将请求客户端IP直接透传到源站上；当配置7层转发模式时，是通过请求的X-Forwareded-For字段来获取客户段IP。

14.8K19 0

nginx设置反向代理，获取真实客户端ip 原

upstream这个模块提供一个简单方法来实现在轮询和客户端IP之间的后端服务器负荷平衡。...proxy_set_header Host $host;#保留代理之前的host proxy_set_header X-Real-IP...$remote_addr;#保留代理之前的真实客户端ip proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for...; proxy_set_header HTTP_X_FORWARDED_FOR $remote_addr;#在多级代理的情况下，记录每次代理之前的客户端真实ip

2.6K2 0

Nginx反向代理后如何获取客户端真实IP

Nginx反向代理后如何获取客户端真实IP 获取客户端的IP地址的方法是：request.getRemoteAddr()，这种方法在大部分情况下都是有效的。...但是在通过Nginx反向代理后就不能获取到客户端的真实IP地址了。...如果使用了反向代理，用request.getRemoteAddr()方法获取的IP地址是：127.0.0.1或192.168.1.110，而并不是客户端的真实IP。...X-Forwarded-For $proxy_add_x_forwarded_for; proxy_set_header X-Forwarded-Proto $scheme; 后台代码： /** * 获取客户端...ip.substring(0, index) : ip; } else { ip = request.getHeader("X-Real-IP");

1.9K3 0

Java服务器获取客户端的真实IP

我们希望能根据各个城市或者地区，能有不同的分享文案，辨识地区的功能如果由服务器来完成的话，我们就需要知道客户端的真实IP。今天我们就来看看服务器是如何获取到客户端的真实IP的。...在《实战nginx》中，有这么一句话：经过反向代理后，由于在客户端和web服务器之间增加了中间层，因此web服务器无法直接拿到客户端的ip，通过$remote_addr变量拿到的将是反向代理服务器的...但是，nginx是可以获得用户的真实ip的，也就是说nginx使用 $remote_addr变量时获得的是用户的真实ip，如果我们想要在web端获得用户的真实ip，就必须在nginx里作一个赋值操作，即我在上面的配置...上，并且都使用了这段配置，那你会发现在web服务器端通过 request.getAttribute("X-Forwarded-For")获得的将会是客户端ip和第一台nginx的ip。...举个例子，有一个web应用，在它之前通过了两个nginx转发， www.linuxidc.com即用户访问该web通过两台nginx。

4.9K1 0

干货：Java正确获取客户端真实IP方法整理

但是在通过了Apache，Squid等反向代理软件就不能获取到客户端的真实IP地址了。...IP地址是：127.0.0.1或192.168.1.110，而并不是客户端的真实IP。...经过代理以后，由于在客户端和服务之间增加了中间层，因此服务器无法直接拿到客户端的IP，服务器端应用也无法直接通过转发请求的地址返回给客户端。...这些请求头不是代理服务器一定会带上的，网络上的很多匿名代理就没有这些请求头，所以获取到的客户端ip不一定是真实的客户端ip。代理服务器一般都可以自定义请求头设置。...如果一些对客户端校验较严格的应用（比如投票）要获取客户端ip，应该直接使用ip=request.getRemoteAddr()，虽然获取到的可能是代理的ip而不是客户端的ip，但这个获取到的ip基本上是不可能伪造的

4K16 0

php获取客户端真实IP 防止代理和作弊

内容提要：这种情况下同样透露了客户端是使用了代理服务器,但编造了一个虚假的随机IP（220.4.251.159）代替客户端的真实IP来欺骗它…… 　　获取客户端ip其实不是个简单的活儿,因为存在Ip欺骗...,和代理问题,所以获取客户端的IP的真实性会打折扣的,不能百分百准确.但是我们还是尽量找一个比较完善的获取客户端真正ip方法.使用php获取IP的方法能找到很多. getIp function getIp...）这类代理服务器还是将客户端真实的IP发送给了访问对象,无法达到隐藏真实身份的目的....IP （经过多个代理服务器时，这个值类似：203.98.182.163, 203.98.182.163, 203.129.72.215）这种情况下隐藏了客户端的真实IP,但是向访问对象透露了客户端是使用代理服务器访问它们的...）代替客户端的真实IP来欺骗它.

2.6K1 0

TKE中使用lb直连获取客户端真实IP

我们在使用TKE的过程中会遇到一个这样的场景，就是我在服务端想获取到有哪些客户端在访问我，并且获取到客户端的真实ip。但是在k8s集群中经过多次的网络的转发，一般是无法获取到客户端真实ip。...为了满足这个常见TKE这边提供了lb直连pod的方式来获取客户端真实的ip，其实tke中能够实现这个方案的主要还是基于在vpc-cni的网络模式下实现的，因为vpc-cni模式可以使pod处于和node...image.png image.png 经过测试是可以获取到客户端的ip的。...直连 image.png 下面我们来测试下创建好的sts的直连nginx服务 image.png image.png image.png 经过测试，这这边创建好的sts类型的nginx的pod也可以获取到客户端的真实...ip

1.3K3 0

在 web 服务中获取客户端 IP

裸机部署不用反代通过 remoteAddr 即可获取客户端 IP。使用反代四层 LB 通过 remoteAddr 即可获取客户端 IP。...因此，需要配置 externalTrafficPolicy=Local 避免路由转发，此时可以通过 remoteAddr 获取客户端 IP。但是这也有缺点：每个 node 都要有公网 IP。...，然后服务通过 remoteAddr 获取客户端 IP（注意不是服务的 Service 而是 nginx-controller 的 Service）。...服务通过 remoteAddr 获取第一跳客户端 IP；省略 kube-proxy，不允许 kube-proxy 转发如果是七层 CLB，直接将路由绑定所有 worker node IP，如果目标...此时服务通过 X-Forwarded-For 第一跳获取客户端 IP。从省事的角度出发，推荐使用七层 CLB。

4421 0

Nest.js 实战 (十四)：如何获取客户端真实 IP

问题解析在 Nest.js 应用中，当你试图通过 request.ip 获取客户端的 IP 地址时，如果总是返回 ::1 或者 ::ffff:127.0.0.1，这通常意味着请求来自本地主机。...要解决这个问题并获取客户端的真实 IP 地址，您需要确保代理服务器正确设置了转发头，比如 X-Forwarded-For 或 X-Real-IP，并且您的后端服务能够正确读取这些头信息来确定客户端的 IP...$remote_addr; // 设置 X-Real-IP 头为客户端的真实 IP 地址。...此头通常用于跟踪客户端 IP 地址以及任何之前的代理 IP 地址 proxy_set_header REMOTE-HOST $remote_addr; proxy_set_header Upgrade...：import { Request } from 'express';/** * @description: 获取客户端真实 IP * @param {Request} req */export const

2421 0

Nginx反向代理及获取真实的客户端IP地址

在构建网络应用时，很常见的一种场景是使用反向代理服务器，例如 Nginx。反向代理可以提供负载均衡、安全保护、缓存等多种功能，因此在现代 web 开发中扮演着非常重要的角色。...然而，这种设计也带来了一个问题：后端服务器无法获取到真实的客户端 IP 地址。在很多应用中，获取真实的客户端 IP 地址是非常重要的，例如，进行地理定位、检测欺诈行为、限制访问速率等。...然后，你的应用就可以从这些头中读取到客户端的真实 IP 地址了。...的正确配置，我们就可以在后端应用中获取到真实的客户端 IP 地址。...然而，它也会隐藏客户端的真实 IP 地址。通过正确的 Nginx 配置以及在后端应用中适当的处理，我们可以获取到真实的客户端 IP 地址，这对于用户行为分析和安全审查都是非常重要的。

11.6K3 0

用PHP获取客户端真实IP的函数代码分享

{ $arr = explode(',', $_SERVER['HTTP_X_FORWARDED_FOR']); foreach ($arr as $ip...) { $ip = trim($ip); if ($ip !...= 'unknown') { $realip = $ip; break; }...} } elseif (isset($_SERVER['HTTP_CLIENT_IP'])) { $realip = $_SERVER['HTTP_CLIENT_IP...')) { $realip = getenv('HTTP_CLIENT_IP'); } else { $realip = getenv('

1.5K3 0

如何在容器服务中获取客户端真实源IP

为什么需要获取客户端真实源 IP？...，为了能够准确的获取到客户端的真实源 IP，在 TKE 使用场景下，主要有四种方法获取客户端真实源 IP，下面将逐个展开介绍下。...，后端通过WEB服务器代理配置或应用代码方式获取到客户端真实源IP，详情参考请文档负载均衡如何获取客户端真实 IP - 最佳实践 - 文档中心 - 腾讯云[5]；在场景二中， Nginx Ingress...以上介绍的两种场景都可以满足获取客户端真实源 IP 的需求，且具有以下优点和缺点：优点：在七层（HTTP/HTTPS）流量转发场景下比较推荐，可通过WEB服务代理的配置或后端应用代码直接获取 Http...四、通过 TOA 内核模块加载获取真实源 IP TOA 内核模块原理和加载方式参考全球应用加速获取访问用户真实 IP - 操作指南 - 文档中心 - 腾讯云[9] 文档。

7K642 344

linux centos 负载均衡 nginx 获取客户端真实ip：配置 ip 可见性

{ listen 80; server_name work.eisc.cn; location / { proxy_pass http://work.eisc.cn; #--- 将ip...proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; } } #--- web 服务器（后端 nginx）---# nginx...---------# set_real_ip_from 10.111.111.1; real_ip_header X-Forwarded-For; # 填写实际的内网请求来源 ip # 作用：...将内网ip 进行替换成客户端实际 ip #------------------------------# #--- nginx 主配置文件案例 ---# user www www; worker_processes...---------# set_real_ip_from 10.111.111.1; real_ip_header X-Forwarded-For; #--------------- 开启gzip

3.3K0 0

点击加载更多

扫码

添加站长进交流群

领取专属 10元无门槛券

手把手带您无忧上云