发布于 由admin

Spring Cloud Gateway中多层转发导致真实IP丢失的解决方案

Spring Cloud Gateway 多层转发导致真实IP丢失解决方案

大家好，今天我们来深入探讨一个在使用 Spring Cloud Gateway 构建微服务架构时经常遇到的问题：多层转发导致真实客户端 IP 丢失。我们将分析问题的原因，并提供多种解决方案，包括代码示例和配置说明，以确保你的服务能够准确获取客户端的真实 IP 地址。

问题根源：HTTP 头部字段与代理转发

当客户端直接访问你的服务时，服务器可以通过 TCP 连接直接获取到客户端的 IP 地址。但在微服务架构中，客户端的请求通常会经过多层代理（例如：负载均衡器、CDN、Spring Cloud Gateway 等）。每经过一层代理，原始的 IP 地址信息就有可能丢失或被覆盖。

原因在于 HTTP 协议本身，它使用头部字段来传递额外的信息。当请求经过代理时，代理服务器可以选择修改或添加 HTTP 头部字段。常见的与 IP 地址相关的头部字段包括：

  • X-Forwarded-For (XFF): 记录请求经过的每个代理服务器的 IP 地址，按照请求经过的顺序排列，最左边的是原始客户端 IP 地址。
  • X-Real-IP: 通常包含客户端的真实 IP 地址，由第一个接收到请求的代理服务器设置。
  • Proxy-Client-IP: 一些较老的代理服务器可能使用这个字段。
  • WL-Proxy-Client-IP: WebLogic 代理服务器可能使用这个字段。
  • HTTP_CLIENT_IP: 一些客户端可能设置这个字段，但通常不可靠。
  • HTTP_X_FORWARDED: 类似于 X-Forwarded-For，但可能包含客户端内部网络的 IP 地址。
  • Forwarded: RFC 7239 标准定义了 Forwarded 头部字段，它提供了一种更结构化的方式来传递代理信息，包括 for (客户端/代理 IP 地址), by (代理服务器 IP 地址), proto (协议), 和 host (原始主机)。

问题在于，这些头部字段并不是标准化的，不同的代理服务器可能使用不同的字段，或者根本不设置任何字段。此外，这些头部字段很容易被伪造，因此直接信任这些字段是不安全的。

Spring Cloud Gateway 的角色

Spring Cloud Gateway 作为微服务架构的入口，负责路由、鉴权、限流等功能。它也扮演着反向代理的角色，因此也需要正确处理 IP 地址转发的问题。

解决方案：配置与代码结合

为了解决真实 IP 丢失的问题，我们需要在 Spring Cloud Gateway 中进行适当的配置，并结合代码来获取和验证 IP 地址。

1. 配置 Spring Cloud Gateway 获取真实 IP

Spring Cloud Gateway 提供了 RemoteAddressResolver 接口，用于解析客户端的远程地址。默认情况下，它使用 InetSocketAddressResolver，它直接从 TCP 连接获取 IP 地址，这意味着它只能获取到最后一层代理的 IP 地址，而不是客户端的真实 IP。

我们需要自定义 RemoteAddressResolver 来解析 HTTP 头部字段。Spring Cloud Gateway 提供了 XForwardedRemoteAddressResolver，它可以解析 X-Forwarded-For 头部字段。

  • 方法一：application.yml/application.properties 配置

在 application.yml 或 application.properties 中添加以下配置：

spring:
  cloud:
    gateway:
      default-filters:
        - AddRequestHeader=X-Real-IP, #{T(java.util.Optional).ofNullable(exchange.getRequest().getHeaders().getFirst('X-Forwarded-For')).orElse(exchange.getRequest().getRemoteAddress().getAddress().getHostAddress())}
      forwarded:
        enabled: true  # 启用 Forwarded 头部支持
        trusted-proxies: 192.168.1.1/24, 10.0.0.0/16  # 可信代理的 IP 地址或 CIDR
        remove-port: true  # 移除端口信息

解释：

  • default-filters：配置默认的全局过滤器，这里我们添加了一个 AddRequestHeader 过滤器，将解析到的真实 IP 地址添加到 X-Real-IP 头部中。表达式 #{T(java.util.Optional).ofNullable(exchange.getRequest().getHeaders().getFirst('X-Forwarded-For')).orElse(exchange.getRequest().getRemoteAddress().getAddress().getHostAddress())} 的含义是：首先尝试从 X-Forwarded-For 头部获取 IP 地址，如果不存在，则使用 TCP 连接的 IP 地址。

  • forwarded.enabled: true： 启用对 Forwarded 头部字段的支持。

  • forwarded.trusted-proxies：配置可信代理的 IP 地址或 CIDR。只有来自这些 IP 地址的 X-Forwarded-* 头部字段才会被信任。这是一个重要的安全设置，防止 IP 地址欺骗。你需要根据你的实际部署环境配置可信代理的 IP 地址。比如，你的负载均衡器或者 CDN 的 IP 地址。

  • forwarded.remove-port: true：从 Forwarded 头部移除端口信息，只保留 IP 地址。

  • 方法二：Java 配置

你也可以使用 Java 代码来配置 XForwardedRemoteAddressResolver。创建一个配置类：

import org.springframework.cloud.gateway.config.GatewayProperties;
import org.springframework.cloud.gateway.filter.GlobalFilter;
import org.springframework.cloud.gateway.filter.factory.AddRequestHeaderGatewayFilterFactory;
import org.springframework.cloud.gateway.support.ipresolver.XForwardedRemoteAddressResolver;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.http.server.reactive.ServerHttpRequest;
import org.springframework.web.server.ServerWebExchange;
import reactor.core.publisher.Mono;

import java.net.InetAddress;
import java.net.UnknownHostException;
import java.util.Arrays;
import java.util.List;
import java.util.Optional;
import java.util.stream.Collectors;

@Configuration
public class GatewayConfig {

    @Bean
    public XForwardedRemoteAddressResolver xForwardedRemoteAddressResolver() throws UnknownHostException {
        XForwardedRemoteAddressResolver resolver = XForwardedRemoteAddressResolver.maxTrustedIndex(1); // 设置信任的代理层级
        // 可以添加其他配置，例如设置可信代理
        return resolver;
    }

    @Bean
    public GlobalFilter customGlobalFilter(GatewayProperties gatewayProperties) {
        return (exchange, chain) -> {
            // 获取 X-Forwarded-For 头部
            String xForwardedFor = exchange.getRequest().getHeaders().getFirst("X-Forwarded-For");

            // 使用 XForwardedRemoteAddressResolver 解析 IP 地址
            InetAddress remoteAddress = null;
            try {
                remoteAddress = xForwardedRemoteAddressResolver().resolve(exchange).getAddress();
            } catch (UnknownHostException e) {
                // 处理异常
                e.printStackTrace();
            }

            // 如果 X-Forwarded-For 存在，使用它，否则使用 RemoteAddress
            String realIp = Optional.ofNullable(xForwardedFor).orElse(exchange.getRequest().getRemoteAddress().getAddress().getHostAddress());

            // 添加 X-Real-IP 头部
            ServerHttpRequest modifiedRequest = exchange.getRequest().mutate()
                    .header("X-Real-IP", realIp)
                    .build();

            ServerWebExchange modifiedExchange = exchange.mutate().request(modifiedRequest).build();

            return chain.filter(modifiedExchange);
        };
    }

    // 配置可信代理，注意这里需要捕获异常，并做相应处理
    @Bean
    public List<InetAddress> trustedProxies() {
        try {
            return Arrays.asList("192.168.1.1/24", "10.0.0.0/16").stream()
                    .map(this::parseCIDR)
                    .flatMap(List::stream)
                    .collect(Collectors.toList());
        } catch (UnknownHostException e) {
            // 处理异常，例如记录日志
            e.printStackTrace();
            return List.of(); // 返回一个空列表，避免程序崩溃
        }
    }

    // 解析 CIDR 地址
    private List<InetAddress> parseCIDR(String cidr) throws UnknownHostException {
        // 简单的 CIDR 解析实现，仅作为示例
        String[] parts = cidr.split("/");
        String ip = parts[0];
        int prefixLength = Integer.parseInt(parts[1]);

        // 将 IP 地址字符串转换为 InetAddress
        InetAddress inetAddress = InetAddress.getByName(ip);

        // TODO: 实现完整的 CIDR 解析逻辑，返回 IP 地址列表
        // 这里简化处理，只返回单个 IP 地址
        return List.of(inetAddress);
    }
}

解释：

  • xForwardedRemoteAddressResolver(): 创建 XForwardedRemoteAddressResolver 实例，并设置 maxTrustedIndex。 maxTrustedIndex 表示信任 X-Forwarded-For 头部中的多少个 IP 地址。例如，如果设置为 1，则只信任最右边的 IP 地址（即直接连接到 Gateway 的代理服务器的 IP 地址）。如果设置为 null，则信任所有 IP 地址（不推荐，因为可能存在 IP 地址欺骗）。
  • customGlobalFilter(): 创建一个全局过滤器，该过滤器首先尝试从 X-Forwarded-For 头部获取 IP 地址，如果不存在，则使用 TCP 连接的 IP 地址。然后，将获取到的 IP 地址添加到 X-Real-IP 头部中。
  • trustedProxies(): 定义可信任的代理服务器列表，使用 CIDR 表示法。例如，192.168.1.1/24 表示 192.168.1.1 到 192.168.1.254 之间的所有 IP 地址。
  • parseCIDR()： 一个简单的 CIDR 解析函数。注意：这个函数只是一个示例，你需要根据你的实际需求实现完整的 CIDR 解析逻辑。

2. 在下游服务中获取真实 IP

配置了 Spring Cloud Gateway 之后，客户端的真实 IP 地址会被添加到 X-Real-IP 头部中。下游服务可以通过读取这个头部来获取真实 IP 地址。

  • Controller 代码示例
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RequestHeader;
import org.springframework.web.bind.annotation.RestController;

@RestController
public class MyController {

    @GetMapping("/ip")
    public String getClientIp(@RequestHeader(value = "X-Real-IP", required = false) String ip) {
        if (ip == null || ip.isEmpty()) {
            return "X-Real-IP header not found";
        }
        return "Client IP: " + ip;
    }
}

解释：

  • @RequestHeader(value = "X-Real-IP", required = false)： 从请求头中获取 X-Real-IP 头部的值。required = false 表示如果头部不存在，则 ip 变量的值为 null。
  • 在方法中，判断 ip 是否为 null 或空字符串，如果是，则返回一个错误信息。否则，返回客户端的 IP 地址。

3. 安全性考虑

  • 防止 IP 地址欺骗

    最重要的是要配置 forwarded.trusted-proxies 或者自定义 RemoteAddressResolver 中的可信代理列表。只有来自可信代理的 X-Forwarded-* 头部才会被信任。
    永远不要信任来自不可信来源的 X-Forwarded-* 头部。

  • 校验 IP 地址格式

    在下游服务中，获取到 IP 地址后，应该校验其格式是否正确。可以使用正则表达式或者 Apache Commons Validator 等工具来校验 IP 地址的格式。

    import org.apache.commons.validator.routines.InetAddressValidator;

public class IPAddressValidator {

    public static boolean isValidIPAddress(String ipAddress) {
        InetAddressValidator validator = InetAddressValidator.getInstance();
        return validator.isValid(ipAddress);
    }
}

// 使用示例
String ip = request.getHeader("X-Real-IP");
if (ip != null && IPAddressValidator.isValidIPAddress(ip)) {
    // IP 地址有效
    System.out.println("Valid IP Address: " + ip);
} else {
    // IP 地址无效
    System.out.println("Invalid IP Address: " + ip);
}

  • 记录日志

    记录客户端的 IP 地址对于审计和安全分析非常重要。应该在下游服务中记录客户端的 IP 地址。

4. 使用 Forwarded 头部 (RFC 7239)

Forwarded 头部提供了一种更标准化的方式来传递代理信息。它包含了 for, by, proto, 和 host 等字段。

  • 配置 Spring Cloud Gateway 添加 Forwarded 头部

    Spring Cloud Gateway 默认情况下不会自动添加 Forwarded 头部。你需要手动配置一个过滤器来添加它。

    import org.springframework.cloud.gateway.filter.GatewayFilterChain;
import org.springframework.cloud.gateway.filter.GlobalFilter;
import org.springframework.http.server.reactive.ServerHttpRequest;
import org.springframework.stereotype.Component;
import org.springframework.web.server.ServerWebExchange;
import reactor.core.publisher.Mono;

import java.net.InetSocketAddress;

@Component
public class ForwardedHeaderFilter implements GlobalFilter {

    @Override
    public Mono<Void> filter(ServerWebExchange exchange, GatewayFilterChain chain) {
        ServerHttpRequest request = exchange.getRequest();
        InetSocketAddress remoteAddress = request.getRemoteAddress();

        String forwardedFor = remoteAddress != null ? remoteAddress.getAddress().getHostAddress() : null;
        String forwardedProto = request.getURI().getScheme();
        String forwardedHost = request.getHeaders().getHost() != null ? request.getHeaders().getHost().getHostString() : request.getURI().getHost();

        StringBuilder forwardedValue = new StringBuilder();
        if (forwardedFor != null) {
            forwardedValue.append("for=").append(forwardedFor).append(", ");
        }
        forwardedValue.append("proto=").append(forwardedProto).append(", ");
        forwardedValue.append("host=").append(forwardedHost);

        // 移除末尾的 ", "
        if (forwardedValue.length() > 2) {
            forwardedValue.delete(forwardedValue.length() - 2, forwardedValue.length());
        }

        ServerHttpRequest modifiedRequest = request.mutate()
                .header("Forwarded", forwardedValue.toString())
                .build();

        ServerWebExchange modifiedExchange = exchange.mutate().request(modifiedRequest).build();

        return chain.filter(modifiedExchange);
    }
}

  • 在下游服务中解析 Forwarded 头部

    import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RequestHeader;
import org.springframework.web.bind.annotation.RestController;

import java.util.regex.Matcher;
import java.util.regex.Pattern;

@RestController
public class MyController {

    private static final Pattern FORWARDED_FOR_PATTERN = Pattern.compile("for=([^,]+)");

    @GetMapping("/ip")
    public String getClientIp(@RequestHeader(value = "Forwarded", required = false) String forwarded) {
        if (forwarded == null || forwarded.isEmpty()) {
            return "Forwarded header not found";
        }

        Matcher matcher = FORWARDED_FOR_PATTERN.matcher(forwarded);
        if (matcher.find()) {
            return "Client IP: " + matcher.group(1);
        }

        return "Client IP not found in Forwarded header";
    }
}

5. 使用 Nginx 作为 Ingress Controller 的情况

如果你的 Spring Cloud Gateway 部署在 Kubernetes 集群中，并且使用了 Nginx 作为 Ingress Controller，你需要在 Nginx 中配置 proxy_set_header 指令来传递真实 IP 地址。

http {
    #...
    server {
        #...
        location / {
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            proxy_set_header Host $http_host;
            proxy_pass http://your-spring-cloud-gateway-service;
        }
    }
}

总结：方案选择与灵活应用

选择哪种解决方案取决于你的具体架构和需求。

  • 如果你的架构比较简单，只有一层代理，那么可以直接使用 X-Real-IP 头部。
  • 如果你的架构比较复杂，有多层代理，那么应该使用 X-Forwarded-For 头部，并配置 forwarded.trusted-proxies 来防止 IP 地址欺骗。
  • 如果你的架构支持 RFC 7239 标准，那么可以使用 Forwarded 头部。

最重要的是要理解你的架构中每一层代理的作用，并正确配置它们来传递真实 IP 地址。同时，要时刻注意安全性，防止 IP 地址欺骗。

最后，提供一个表格来对比一下不同的方案：

特性 X-Real-IP X-Forwarded-For Forwarded (RFC 7239)
规范性 非标准 事实标准，但实现不统一 标准 (RFC 7239)
信息 客户端真实 IP 地址 请求经过的所有代理 IP 地址列表 更结构化的代理信息 (for, by, proto, host)
安全性 容易被伪造，需要谨慎配置 容易被伪造，需要配置可信代理 需要配置可信代理
适用场景 简单架构，只有一层代理 复杂架构，有多层代理 现代架构，支持 RFC 7239 标准
配置复杂度 简单 中等 中等
Spring Cloud Gateway 支持 需要手动添加头部 提供 XForwardedRemoteAddressResolver，需要配置可信代理 需要手动添加头部，需要解析头部内容

总结：务必重视安全，仔细甄别IP来源

在实际应用中，务必重视安全性，仔细甄别 IP 地址的来源，防止 IP 地址欺骗。 同时，要根据你的具体架构和需求选择合适的解决方案。

总结：多层转发的真实IP获取，配置与安全并重

多层转发导致真实 IP 丢失是一个常见的微服务架构问题，通过配置 Spring Cloud Gateway、结合代码和安全性考虑，我们可以有效地解决这个问题，确保服务能够准确获取客户端的真实 IP 地址。

总结：方案选择需谨慎，确保架构安全稳定

选择合适的方案需要根据实际架构和安全需求来决定。确保配置正确，并采取必要的安全措施，以构建一个安全稳定的微服务架构。

发表回复

您的邮箱地址不会被公开。 必填项已用 * 标注