Tag: nginx

多重代理时如何防止伪造X-Forwarded-For且获取真实IP

当我们给网站使用例如CDN，Nginx或Varnish等缓存服务时，为了获取访客的真实IP，大多数会地把访客的真实IP赋值给X-Forwarded-For(下文简称XFF)。但是因为XFF是个HTTP请求头，也就是最前面带有http_，因此这类http信息就可以被伪造。其实根据实际使用情况判断是否需要获取XFF内容就不会出现这些问题。拿Nginx的反代理(Proxy模块)功能来说，有人会把$proxy_add_x_forwarded_for变量的内容传给后端作为用户的真实IP。 Nginx对该变量的处理非常智能，当有XFF传过来时，Nginx就会自动把Ngin […]

禁止Nginx重定向至监听端口

在使用Nginx时，可能有时不需要让Nginx监听80端口，甚至在前面再加一个Squid，Varnish之类的HTTP缓存。但是访问子目录时，除非在子目录后面再加一条“/”，否则就会遇到网址自动重定向至Nginx监听的端口。假设你Nginx站点监听的端口是123，你本来访问的地址是http://domain.com/wp-admin，会自动重定向至http://domain.com:123/wp-admin 这样明显会对服务器造成很大的威胁，要知道后端可是很重要的，如果后端端口暴露出来，就可能会被人直接对这个端口进行诸如CC之类的攻击…… 在Nginx的核心模块的文档中，有这样一个配置： [ […]

LNMPV0.3 Stable For Ubuntu 12.*/Debian 6/Debian7/CentOS6 32Bit or 64Bit

从今天开始，LNMPV的网站正式启用，以后新版均在http://www.mke2fs.com发布 LNMPV 0.2 Stable: 昨天发布了LNMPV 0.1测试版，感谢http://imlonghao.com/这个勇敢的小白，试用了我的LNMPV0.1，告知了我很多BUG，经过昨晚的努力，终于解决了。另外还要感谢单手摘JJ，经过他昨晚的提醒，让我恍然大悟，发现可以一站一POOL来实现PHP以特定的用户身份执行。从而解决跨站问题。本次更新： 1 )使用sock方式链接PHP-FPM 2 )添加可选的一站点一POOL的功能 3 )修改PHP-FPM的进程上限 4 )修改PH […]

使用Varnish Cache时，让Nginx获取访客真实IP

之前发表过一篇文章：Varnish(前)+Nginx(中)时,让Apache(后)获取用户真实IP(多重代理) 该方法能成功解决使用或者不使用CDN时，在Varnish前端，Nginx中端，Apache解析PHP文件的情况下让Apache获取访客真实IP。因为当时主要是利用Nginx进行缓存，没使用其他功能，旧没让Nginx也获取访客真实的IP。其中Varnish处理XFF的关键代码：

     if (req.restarts == 0) {
        if (req.http.x-forwarded-for) {
#           set req.http.X-Forwarded-For =
#               req.http.X-Forwarded-For + ", " + client.ip;
        } else {
            set req.http.X-Forwarded-For = client.ip;
        }
     }

if (req.restarts == 0) {

if (req.http.x-forwarded-for) {

# set req.http.X-Forwarded-For =

# req.http.X-Forwarded-For + ", " + client.ip;

} else {

set req.http.X-Forwarded-For = client.ip;

}

也就是把客户的IP赋值给XFF。那样后端处理就方便多了。昨天在为一台Varnish+Nginx+Apache的服务器添加并测试防轻量级CC的 […]

Varnish(前)+Nginx(中)时,让Apache(后)获取用户真实IP(多重代理)

不得不说我有点问题，网站一个Apache+Varnish不够，还要在Apache和Varnish之间插入个第三者——Nginx。因为某些需要，也给该服务器上的个别网站上了CDN。 Apache做后端，前面多一个Nginx Proxy Cache+Varnish，获取用户的真实IP不难，只需给Apache上一个rpaf模块就行了，然后让Varnish处理XFF的内容就好了：

     if (req.restarts == 0) {
       if (req.http.x-forwarded-for) {
           set req.http.X-Forwarded-For =
               req.http.X-Forwarded-For + ", " + client.ip;
       } else {
           set req.http.X-Forwarded-For = client.ip;
       }
     }

if (req.restarts == 0) {

if (req.http.x-forwarded-for) {

set req.http.X-Forwarded-For =

req.http.X-Forwarded-For + ", " + client.ip;

} else {

set req.http.X-Forwarded-For = client.ip;

}

无CDN的情况下访问网站，可以正确获取到用户的真实IP。最近给网站上多了一个CDN，rpaf模块就显得无能为力了。因此，这几天一直苦恼如何让我的网站获取用 […]