php/ajax REMOTE_ADDR configurado como IP del adaptador de red falso

Question

Hoy encontré un comportamiento bastante extraño de una aplicación basada en PHP. En una cierta parte del sistema hay una interfaz de usuario que hace uso de llamadas AJAX para llenar las cajas de la lista con contenido desde el back-end.

Ahora, el oyente AJAX realiza una comprobación de seguridad en todas las solicitudes entrantes, asegurándose de que solo las IP válidas de los clientes obtengan respuestas. La IP válida también se almacena en el backend.

Para obtener IP del cliente que utiliza el viejo y simple

$_SERVER['REMOTE_ADDR'] 

que funciona para la mayoría de los clientes. Hoy me encontré con una instalación en la que remote_addr contenía la dirección IP de un adaptador de red que no era la que realizaba la comunicación real para mi aplicación.

buscar en Google a mi alrededor agve Roshan's Blog entry on the topuic:

function getRealIpAddr() 
{ 
    if (!empty($_SERVER['HTTP_CLIENT_IP'])) //check ip from share internet 
    { 
     $ip=$_SERVER['HTTP_CLIENT_IP']; 
    } 
    elseif (!empty($_SERVER['HTTP_X_FORWARDED_FOR']))//check ip is pass from prxy 
    { 
     $ip=$_SERVER['HTTP_X_FORWARDED_FOR']; 
    } 
    else 
    { 
     $ip=$_SERVER['REMOTE_ADDR']; 
    } 
    return $ip; 
} 

Por desgracia, el problema persiste.

¿Alguna vez alguien tropezó con este tipo de problema (en realidad no creo que descubrí un problema completamente nuevo ^^) y tengo una idea para mí sobre cómo solucionarlo?

EDIT:

Estoy en

• Versión PHP 5.2.9-1
• Apache/2.2.9 (Win32)

La comunicación se realiza a través de una tarjeta LAN normal. Ahora el cliente actual tiene varios dispositivos más. Adaptadores VMNet y tal.

Me pregunto cómo una configuración cliente puede un servidor web 'molestar' tanto ...

TIA

K

Answer 1

Desafortunadamente, usted tiene que tener toda la información de IP con un grano de sal.

Las direcciones IP se recopilan durante la solicitud tomando el paquete y solicitando información en la cuenta. Tristemente, esta información puede ser fácilmente falsificada o incluso incorrecta (basada en una gran cantidad de probabilidades de red) y no debe utilizarse para nada más que para fines personales.