nginx 拒绝对虚拟主机的所有请求。请求来自 nginx tcp 转发器

Question

总结 - 需要将白名单 ips 添加到 mysite1.example.com。现在，当添加它们时，它不起作用，因为每个请求都来自负载平衡器服务器。

我正在使用带有上游后端的前置 Nginx 主机进行设置，以将端口 443 上的所有 tcp 数据包负载平衡到后端服务器。

运行 nginx 的 Loadbalancer 服务器的 nginx 配置 - 服务器 C 如下

stream {
        upstream stream_backend {
                hash $remote_addr consistent;
                server 10.15.15.3:443;   ## server A
                server 10.15.15.9:443;   ## server B
        }


        server {
                listen     443;
                proxy_pass stream_backend;
                proxy_timeout 5s;
                proxy_connect_timeout 5s;
        }
}

服务器 A 和服务器 B 在 nginx.conf 以下。它们是带有应用程序的相同服务器。

它有两个虚拟主机在每个主机中运行。他们工作正常。

http {

    server {
        server_name mysite1.example.com;
        listen *:443 ssl;
        listen [::]:443 ssl;
        
        allow 123.45.85.220; # this seems not working
        deny all; # only this is working

        
        location ^~ /static/ {
            ...
        }
        ...
        
        ssl_certificate        file.pem;
        ssl_certificate_key    file.key;
    }


    server {
        server_name mysite2.example.com;
        listen *:443 ssl;
        listen [::]:443 ssl;
        
        
        location /somethin {
            ...
        }
        location /something2{
            ...
        }
        
        ssl_certificate        file.pem;
        ssl_certificate_key    file.key;
    }
}

我需要的是将虚拟主机 mysite1.example.com 的几个 ip 列入白名单。我面临的问题是在服务器 A 和 B 上运行的 nginx 将负载均衡器 Ip 视为客户端 Ip。所以当尝试添加允许 IP 时；否认一切。不适用于任何主机，因为它在所有请求上都有负载均衡器 IP 作为客户端 IP。

有人可以指导我添加代理 IP 配置以实现上述设置运行良好。除 IP 白名单问题外，设置已完成。

ps SSl 终止发生在后端服务器、服务器 A 和服务器 B

我在网上搜索过，发现这些很有帮助，但仍然无法弄清楚如何让它全部工作。

/sf/ask/2861137541/ https://www.cyberciti.biz/faq/nginx-redirect-backend-traffic-based-upon -客户端IP地址/

Answer 1

发生这种情况是因为您的 nginx 负载均衡器与 nginx 网络服务器建立了一个新的 TCP 连接，导致原始客户端 IP 地址丢失。

您可以使用 PROXY 协议解决此问题。当新连接打开时，此协议会发送原始 IP 地址信息，以便您的 Web 服务器可以知道它。

要进行设置，您需要进行以下更改：

• 在负载均衡器上，设置proxy_protocol on;：

  stream {
      server {
          proxy_pass somewhere;
          proxy_protocol on;
  

• 在 Web 服务器上，接受代理协议，并为负载均衡器的 IP 地址启用真实 IP 功能。

  server {
      listen 443 ssl http2 proxy_protocol;
      listen [::]:443 ssl http2 proxy_protocol;
      real_ip_header proxy_protocol;
      set_real_ip_from <load balancer's IP>;
  

您可以对代理协议进行其他调整，您可以在nginx 文档中找到这些调整，但这应该可以帮助您入门并解决当前的问题。