Dirección de problema de IP del cliente sobre https con Rackspace Cloud Load Balancers

Question

Actualmente estamos utilizando Lighttpd con FastCGI para servir PHP a nuestros clientes. Recientemente, hemos agregado equilibrio de carga a través de RackSpace Cloud para ayudarnos a manejar nuestro tráfico, sin embargo, la IP del cliente ahora es la IP del equilibrador de carga. Todo el tráfico es a través de HTTPS.

Hemos habilitado mod_extforward y hemos intentado todas las configuraciones diferentes al usar nuestro LB IP y los diferentes encabezados ("X-Forwarded-For", "Forwarded-For", "X-Cluster-Client-Ip") ¡y parece que no podemos hacer que esto funcione!

¿Alguna idea? ¡Gracias!

Answer 1

Si está utilizando Cloud Load Balancers de Rackspace, no podrá obtener la dirección IP del cliente a través de SSL.

Para HTTP simple, los balanceadores pueden hacer cosas inteligentes (la página "servicio no disponible", X-Forwarded-for, etc.) Sin embargo, los balanceadores de carga no pueden hacer otra cosa que transportar bytes entre el cliente y el servidor sobre HTTPS, porque, sin la clave privada, no hay forma de modificar la secuencia (que no sea inválida).

Alguien asked this question en los foros de Rackspace hace un momento.

Answer 2

Rackspace agregó la terminación SSL, por lo que puede hacer que el equilibrador de carga descifre el tráfico y pase el tráfico no encriptado a sus nodos de servidor. Ver this para más información. Por supuesto, esto significa que está enviando tráfico a través de lo que efectivamente es un enlace público desde el equilibrador de carga a sus servidores web. Y, solo está disponible a través de su API y no de la consola web, lo cual es una mierda.

Answer 3

En realidad se puede ver aquí:

http://www.rackspace.com/knowledge_center/article/why-does-every-visitor-to-my-cloud-sites-website-have-the-same-ip-address

La variable PHP correcta de utilizar para SSL es:

$_SERVER['HTTP_X_FORWARDED_FOR'] 

Answer 4

De acuerdo con Rackspace, terminación SSL no debe utilizarse si su aplicación web está transmitiendo información de identificación personal (PII)

http://www.rackspace.com/knowledge_center/product-faq/cloud-load-balancers

Estoy teniendo que recurrir a la configuración de IP del cliente en una cookie. La cookie está configurada en javascript. La IP del cliente se obtiene haciendo una llamada jsonp a un servidor (no detrás de un equilibrador de carga) que proporciona la IP pública del cliente. Esto es todo lo que puedo pensar donde aún puedo utilizar Cloud Load Balancer de Rackspace.

Answer 5

Instalo mod_rpaf para servidores bajo balanceadores de carga y Rackspace. Entonces cualquier código PHP simplemente funciona igual que antes con REMOTE_ADDR

Answer 6

Una forma que encontré para resolver este problema es usar CloudFlare. Más allá de todas las características y beneficios adicionales que proporciona, en realidad es un proxy en sí mismo e incluirá su propio encabezado x-forward-for.

Esto omite el problema porque el encabezado x-forward-for ya está presente antes de que llegue al equilibrador de carga del espacio en rack, por lo que no necesita agregar nada. La dirección IP del cliente ya estará en el encabezado.

Tenga en cuenta: Este método no es totalmente infalible, incluso con una lista de proxies de confianza. Es posible falsificar su dirección IP modificando el archivo de host de su computadora y eludiendo Cloudflare, conectándose directamente al equilibrador de carga.No usaría esta técnica para nada que requiera alta seguridad.