使用 Nginx 反向代理的代理协议

Question

概述

我有一个指向 SaaS 应用程序 (BigCommerce) 的 Nginx 反向代理设置。虽然我的配置运行良好，但我无法确保客户端 IP显示在 SaaS 后端而不是反向代理 IP中。在 SaaS 后端，没有机制可以添加或使用受信任的 IP 地址列表set_real_ip_from，real_ip_header因此我的任务是在反向代理上实施proxy_protocol，以确保 IP 标头使用客户端的 IP 而不是通过反向代理传递。它自己的。

配置

在http server上下文中

    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;
    proxy_set_header X-Forwarded-Host $host:$server_port;

    # support http 1.1 persistent connections
    proxy_http_version 1.1;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection $connection_upgrade;

问题

当我在 http 服务器上下文中启用proxy_protocol指令listen时（例如listen 443 ssl http2 proxy_protocol），我Broken Header在 nginx 中收到错误，connection_reset在浏览器中收到错误。

另外，我尝试proxy_protocol通过Nginx 的“接受代理协议”stream文档中指定的上下文来启用：

在stream上下文中

stream {
    server {
        listen 12345;
        proxy_pass example.com:12345;
        proxy_protocol on;
    }
}

我不熟悉，proxy_protocol所以我不知道我缺少什么才能使其正常工作。

从技术上讲，我真的试图让我的反向代理成为“透明代理”，但它似乎不适用于 SaaS 后端，因为它记录的是代理 IP 而不是客户端 IP。

Answer 1

你看错了方向：

1. 该listen 443 ssh http2 proxy_protocol;指令（参见listen ）启用对传入连接的代理协议的解析。您的浏览器不支持该协议，因此会出现Bad Header错误。如果您想查看代理协议使用的最小示例：

   openssl s_client -connect <nginx_ip>:https -crlf
   

   并输入：

   PROXY TCP4 10.0.0.1 10.0.0.1 443 443
   GET / HTTP/1.1
   Host: <nginx_host_name>
   

   接下来是两个空行。

2. 该proxy_protocol on;指令（参见proxy_protocol）将启用 Nginx 和 SaaS 服务器之间的代理协议。然而，后者不支持您所说的代理协议。你需要实施它。

但是，您还有第三种解决方案，如果nginx位于 SaaS 服务器和 Internet 之间的路径上，则该解决方案有效：

1. 使用proxy_bind指令（参见proxy_bind）告诉nginx欺骗其源地址（使用来自客户端的地址）：

   proxy_bind $remote_addr transparent;
   

2. nginx可以轻松欺骗源地址，但来自 SaaS 服务器的响应数据包将被路由到客户端而不是nginx。因此，您需要拦截来自 SaaS 服务器的数据包。您需要一个新的路由表，让我们transparent通过添加以下内容来调用它：

   100 transparent
   

   到/etc/iproute2/rt_tables。然后您需要接受任何地址作为本地地址：

   ip route add local default dev lo table transparent
   

   最后，您需要添加一条防火墙规则，以强制对从 SaaS 服务器返回的所有流量使用路由表transparent（假设其地址为10.10.10.10）：

   iptable -t mangle -A PREROUTING -p tcp -s 10.10.10.10 --sport 80 -m socket\
   --transparent -j MARK --set-mark 1
   ip rule add fwmark 1 lookup transparent