IPs remotos com HAProxy

Estou testando uma nova configuração de servidor da web que está tendo alguns problemas. Essencialmente, temos um servidor web, onde o código usa o IP remoto para algumas coisas interessantes, e também alguns diretórios apache protegidos por alguns IPs (nosso escritório, etc.).

No entanto, acabamos de colocar isso por trás do ha_proxy para que possamos adicionar mais alguns servidores de aplicativos, mas agora o IP remoto está sempre aparecendo como o proxy proxy, não como o usuário remoto real. Isso significa que não podemos chegar a alguns locais, e nosso aplicativo está se comportando de maneira um tanto estranha em que o IP do usuário é importante.

Nossa configuração é a seguinte:

global
      maxconn 4096
      pidfile /var/run/haproxy.pid
      daemon

defaults
      mode http
      retries 3
      option redispatch
      maxconn 2000
      contimeout 5000
      clitimeout 50000
      srvtimeout 50000

listen farm xxx.xxx.xxx.xxx:80
      mode http
      cookie GALAXY insert
      balance roundrobin
      option httpclose
      option forwardfor
      stats enable
      stats auth username:userpass

      server app1 xxx.xxx.xxx.xxx:80 maxconn 1 check

Citado no documento HAProxy em haproxy.1wt.eu .

- se o aplicativo precisar registrar o IP do cliente original, use o
  "forwardfor" que adicionará um cabeçalho "X-Forwarded-For" com o
  endereço IP do cliente original. Você também deve usar "httpclose" para garantir
  que você reescreva todos os pedidos e não apenas o primeiro de cada
  sessão:
        opção httpclose
        opção forwardfor

É declarado que o aplicativo deve tratar o cabeçalho HTTP X-Forwarded-For para conhecer o endereço IP do cliente. Parece ser o único caminho a seguir no seu caso.

Atualizado para o HAProxy 1.4

O Haproxy 1.4 introduziu um novo modo com a "opção http-server-close". Ele ainda fechou a conexão com o servidor, mas mantém keep-alive para o cliente, se possível e usado. Na maioria das configurações, você provavelmente deseja usá-lo, pois ajuda na latência na parte de alta latência da sua conexão (entre o Haproxy e o cliente).

   option http-server-close
   option forwardfor

Existe uma maneira de recompilar o HAproxy para incluir o Tproxy, o que permitirá o encaminhamento do endereço de origem.

Há uma postagem no blog aqui: http://blog.loadbalancer.org/configure-haproxy-with-tproxy-kernel-for-full-transparent-proxy/

Algumas notas:

O mais recente kernel do linux (2.6.28-11-server) inclui suporte ao TProxy, portanto, não é necessário recompilar o kernel.

Certifique-se de configurar os servidores no seu web farm com um endereço de gateway padrão que aponte para o servidor HAProxy.

Use o módulo rpaf apache http://stderr.net/apache/rpaf/ Eu sei que esse é um post antigo, mas levei alguns dias para encontrá-lo. Isso apresentará a qualquer aplicativo o ip x-forwarded-for.

Observe que você pode substituir o que o aplicativo vê alterando os cabeçalhos do Apache:

SetEnvIf X-Forwarded-For (.*) REMOTE_ADDR=$1
SetEnvIf X-Forwarded-For (.*) REMOTE_IP=$1

No entanto, isso não funciona no acesso ao Apache via "Permitir de" etc.

O HAProxy, por padrão, não pode encaminhar o endereço IP original para o servidor real, como qualquer outro proxy.

Uma solução pode ser, se o seu único problema for com um servidor web, procurar no cabeçalho HTTP encaminhado por X, que deve conter o endereço do cliente. Agora, isso é praticamente específico do aplicativo / idioma, mas dê uma olhada neste exemplo no php:

$headers = apache_request_headers();

$real_client_ip = $headers["X-Forwarded-For"];

Se você também deseja registrar o endereço original, pode modificar o LogFormat no httpd.conf para algo parecido com isto:

LogFormat "%h %l %u %t \"%r\" %>s %b \"%{X-Forwarded-For}i\"" common

Bem, parece que o X-Forwarded-for não funciona bem para a sua configuração. Então, existe algum motivo especial para você ficar com haproxy? Parece que o IPVS é mais adequado às suas necessidades (na verdade, uso o ldirector, que por sua vez usa o ipvs).

Dê uma olhada em:

http://kb.linuxvirtualserver.org/wiki/IPVS

e

http://www.vergenet.net/linux/ldirectord/

O uso do IPVS no modo 'IP Tunneling' ou 'Direct Routing' preserva o endereço do cliente.

Tente mod_extract_forwarded em http://www.openinfo.co.uk/apache/

LoadModule extract_forwarded_module modules/mod_extract_forwarded.so
MEFOrder refuse,accept
MEFRefuse all
MEFAccept xxx.xxx.xxx.xxx

Maneira fácil com haproxy no modo tcp e nginx:

adicione a opção send-proxy como servidor:

haproxy.conf:

.

.

listen ssl 0.0.0.0:443

modo tcp

balance leastconn

opção httpchk GET / ping

opção log-health-checks

servidor w1 192.168.1.1:443 send-proxy check check-ssl

servidor w2 192.168.1.1:443 send-proxy check check-ssl

.

.

O Nginx precisa de suporte ao protocolo proxy

nginx.conf:

.

.

escute 192.168.1.1:443 ssl proxy_protocol;

.

.

set_real_ip_de 192.168.1.0/24;

real_ip_header proxy_protocol;

.

.