使用 CDN 后 Nginx 获取访客真实 IP 设置方法

Eric 教程 136 次浏览 抢沙发

网站启用 CDN 后 Nginx 日志里的访客 IP 会变成 CDN 的,需要借助 http_realip_module 这个模块,通过 HTTP 标头里的 X_FORWARDED_FOR 字段获取访客真实 IP。以下是具体配置方法。

检查 http_realip_module 是否已安装

nginx -V 2>&1 | tr ' ' '\n' | grep 'http_realip_module'

如果有输出结果就表示已安装。通常这个模块作为内置模块安装。

创建 CDN IP 列表配置文件

手动创建方法

vi /etc/nginx/conf.d/http_realip.conf

内容如下。

set_real_ip_from  173.245.48.0/20;
...
set_real_ip_from  2400:cb00::/32;
real_ip_header    X-Forwarded-For;
real_ip_recursive on;

参数说明:

  • set_real_ip_from :可信 CDN 来源 IP。如果有多个,则多行添加;
  • real_ip_header :带有访客 IP 信息的 Header 字段名称;
  • real_ip_recursive :排除已配置的 CDN IP(即其它 IP 认为访客 IP);

编辑 /etc/nginx/nginx.conf 配置文件,在 http{...} 中加入引用参数。

注:通过 DNFYUM 安装的 Nginx,可跳过这个步骤,因为 Nginx 配置文件已设置默认引用 /etc/nginx/conf.d 目录下的 *.conf 文件。

include /etc/nginx/conf.d/http_realip.conf;

之后刷新 Nginx 服务生效。

nginx -s reload

自动创建方法

为避免 CDN IP 变化后需要手动更新的麻烦,可以使用 Shell 脚本自动生成配置文件,并设置定时更新。

1. 创建 Shell 脚本

vi /etc/nginx/conf.d/http_realip.sh

2. Shell 脚本内容(CloudFlare 版)

#!/usr/bin/env bash

echo "# Restoring original visitor IPs" > /etc/nginx/conf.d/http_realip.conf;
for i in `curl https://www.cloudflare.com/ips-v4`; do
    echo "set_real_ip_from  $i;" >> /etc/nginx/conf.d/http_realip.conf;
done
for i in `curl https://www.cloudflare.com/ips-v6`; do
    echo "set_real_ip_from  $i;" >> /etc/nginx/conf.d/http_realip.conf;
done
echo "real_ip_header    X-Forwarded-For;" >> /etc/nginx/conf.d/http_realip.conf;
echo "real_ip_recursive on;" >> /etc/nginx/conf.d/http_realip.conf;
nginx -s reload

3. 赋予可执行权限

chmod +x /etc/nginx/conf.d/http_realip.sh

4. 使用 crontab -e 命令添加定时任务,内容如下(每月 1 号凌晨 5 点 30 运行更新)

30 5 1 * * /etc/nginx/conf.d/http_realip.sh 2>&1 > /dev/null

5. 编辑 /etc/nginx/nginx.conf 配置文件,在 http{...} 中加入引用参数。

注:通过 DNFYUM 安装的 Nginx,可跳过这个步骤,因为 Nginx 配置文件已设置默认引用 /etc/nginx/conf.d 目录下的 *.conf 文件。

include /etc/nginx/conf.d/http_realip.conf;

6. 手动运行一次脚本,以生成配置文件,并刷新 Nginx 服务生效。

/etc/nginx/conf.d/http_realip.sh

刷新网站检查访客 IP 是否获取正常

刷新网站,查看访问日志里的 IP 是否是访客 IP(具体日志文件路径见站点配置文件)。

tail /var/www/log/example.com.access.log

发表评论

电邮地址用于 Gravatar 头像显示,不会被公开可见。