V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
NGINX
NGINX Trac
3rd Party Modules
Security Advisories
CHANGES
OpenResty
ngx_lua
Tengine
在线学习资源
NGINX 开发从入门到精通
NGINX Modules
ngx_echo
Livid
V2EX  ›  NGINX

关于在用了 N 层 CDN 之后如何取到用户的真实 IP

  •  1
     
  •   Livid · 2014-07-14 09:45:04 +08:00 · 4631 次点击
    这是一个创建于 3785 天前的主题,其中的信息可能已经有所发展或是发生改变。
    13 条回复    2014-07-14 20:58:01 +08:00
    aru
        1
    aru  
       2014-07-14 10:10:27 +08:00
    用户恶意伪造X-Forwarded-For 如何破?
    jyhmijack
        2
    jyhmijack  
       2014-07-14 10:16:11 +08:00
    @aru 最近扫描我们的人都伪造了X-Forwarded-For的
    est
        3
    est  
       2014-07-14 10:19:49 +08:00
    @aru 把头改个名字,比如X-Forwarded-For-By-Aru
    aru
        4
    aru  
       2014-07-14 10:20:45 +08:00
    对,X-Forwarded-For header 不能完全信任。
    如果是自建CDN可以通过信任IP列表来解决。使用第三方的,需要通过其他方式来获取真正的IP(如直接到服务器的ajax请求?)。
    msg7086
        5
    msg7086  
       2014-07-14 10:21:29 +08:00
    @aru 可以设定白名单的
    aru
        6
    aru  
       2014-07-14 10:21:35 +08:00
    @est good idea。但是需要cdn厂商支持。网宿、蓝汛都支持自定义x-forwarded-for 名字的
    gamexg
        7
    gamexg  
       2014-07-14 10:29:56 +08:00
    攻击者可以轻松的自己加个 X-Forwarded-For 头伪造源地址了。
    eslizn
        8
    eslizn  
       2014-07-14 11:37:22 +08:00
    X-Forwarded-For不可以由第一层转发机强行覆盖吗?
    itsjoke
        9
    itsjoke  
       2014-07-14 11:38:35 +08:00
    apache和IIS之流的是用什么方法来实现呢
    求解惑
    qq529633582
        10
    qq529633582  
       2014-07-14 11:51:02 +08:00
    为什么要强调是IE浏览器呢
    a2z
        11
    a2z  
       2014-07-14 11:54:52 +08:00   ❤️ 1
    Cloudflare用的是自己的特殊header,并且在cdn入口服务器会被强行覆盖。
    tywtyw2002
        12
    tywtyw2002  
       2014-07-14 12:52:19 +08:00 via iPhone
    不是xreal 用作cdn吗

    x forwarding 精彩伪造
    mckelvin
        13
    mckelvin  
       2014-07-14 20:58:01 +08:00 via Android
    惊讶地发现Wikipedia上X-Forwarded-For糟糕的中文翻译是我翻的!用户自己可能有主动代理,服务器又有反向代理。如果假设用户主动代理比例很少,想到一种防御策略是让第一层反向代理(文中的360)丢掉XFF头,传给之后的服务器时XFF头里填第一层获取到的用户的REMOTE_ADDR。
    关于   ·   帮助文档   ·   博客   ·   API   ·   FAQ   ·   实用小工具   ·   1084 人在线   最高记录 6679   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 24ms · UTC 19:09 · PVG 03:09 · LAX 11:09 · JFK 14:09
    Developed with CodeLauncher
    ♥ Do have faith in what you're doing.