差異處

這裏顯示兩個版本的差異處。

--- tech:http_realip [2025/10/03 19:42] – [Advanced 的設定] jonathan
+++ tech:http_realip [2025/10/03 22:57] (目前版本) – [以下透過一個實驗環境(Cloudflare Tunnel、NPM 與 Docker Swarm 架構)的架構案例進行說明] jonathan
@@ 行 1: / 行 1: @@
 ====== 網站取得用戶真實 IP 的方法 ======
-  * 目前網站的網路架構愈來愈複雜, 要取得用戶真實的 IP 需要透過特別指定與層層的傳遞才有機會取得, 以下透過一個實驗環境的架構案例進行說明
+  * 目前網站的網路架構愈來愈複雜, 要取得用戶真實的 IP 需要透過特別指定與層層的傳遞才有機會取得
+==== 通用原則：掌握 HTTP Real IP 標頭 ====
+  * 取得真實 IP 的核心在於：
+    - 識別上游代理伺服器傳來的 真實 IP 標頭（例如：**X-Forwarded-For、CF-Connecting-IP、X-Real-IP**）。
+    - 使用 **set_real_ip_from** 信任該標頭的來源 IP 範圍。
+    - 使用 **real_ip_header** 指定要讀取的標頭名稱。
+==== 以下透過一個實驗環境(Cloudflare Tunnel、NPM 與 Docker Swarm 的架構)案例進行說明 ====
 <mermaid>
@@ 行 7: / 行 15: @@
     A[Client - 1.2.3.4]
     B{Cloudflare CDN}
-    C[Host A - Cloudflared]
+    C[Host A - 192.168.1.254 - Cloudflared]
     D[Host B - 192.168.1.100:80 - NPM]
-    E[Backend Service - dokuwiki_dokuwiki:80]
+    E[Docker Swarm Overlay Network - rproxy-net]
-    R([Response])
+    F[Backend Service - dokuwiki_dokuwiki:80]
-    F[Docker Swarm Overlay Network - rproxy-net]
     %% 2. 結構化 - 邏輯分區
@@ 行 21: / 行 28: @@
     subgraph Host B Docker Swarm & NPM
         %% Host A 到 Host B 的連線
-        C -- HTTP - LAN 192.168.1.x --> D
+        C -- HTTP - LAN 192.168.1.x (X-Forwarded-For 開始累積，CF-Connecting-IP 帶有真實 IP) --> D
         %% NPM 經由 Overlay Network 到後端
-        D -- HTTP --> E
+        D -- HTTP - rproxy-net 10.0.8.x --> E
     end
     subgraph Backend Service
-        E -- dokuwiki-net 接入 --> F
+        E -- rproxy-net 接入 --> F
     end
-    %% 3. 主要流程連線
-    A --> B
-    B --> C
-    C --> D
-    D --> E
-    E --> R
     %% 4. 補充細節/網絡連線
-    D -- 連線使用 rproxy-net --> F
     F -- 服務名稱解析 --> E
 </mermaid>
-如果沒有特別設定, 因為 Docker Swarm 預設 Port Mode:Ingress 所以在 Backend Service 看到的用戶 IP 就會是 docker networks 的 ingress overlay 的 IP 網段 Exp. 10.0.0.0/24
+如果沒有特別設定, 因為 Docker Swarm 預設 Port Mode:Ingress 所以在 Backend Service 看到的用戶 IP 就會是 docker networks 的 rproxy-net overlay 的 IP 網段 Exp. 10.0.8.0/24
 ===== 1. NPM 必須要將 Port Mode 改成 Host ======
@@ 行 80: / 行 78: @@
   * Forward Hostname / IP : dokuwiki_dokuwiki (假設 Backend Service 的 Stack Name : dokuwiki , Service Name : dokuwiki)
   * Forward Port : 80
-==== Advanced 的設定 ====
+  * {{:tech:螢幕擷取畫面_2025-10-03_194316.png?300|}} {{:tech:螢幕擷取畫面_2025-10-03_194200.png?300|}}
-  * {{:tech:螢幕擷取畫面_2025-10-03_194200.png?300|}}
+==== Advanced 的設定說明 ====
   * Host 都在 192.168.1.0/24 的網段內, 所以 set_real_ip_from 192.168.1.0/24; <file>
 # ========================================
@@ 行 115: / 行 113: @@
 :
 </cli>
+<note>
+當設定 real_ip_recursive on 時，Nginx 會從 X-Forwarded-For 列表的最右邊開始，依序移除屬於 set_real_ip_from 信任範圍內的 IP，直到遇到第一個非信任 IP。由於我們這裡直接使用 real_ip_header CF-Connecting-IP，因此它會被視為真實 IP 並覆蓋 $remote_addr。」
+</note>
+===== 3. Backend Service 內的 Nginx Config 設定 =====
+  * 因為這 Backend Service 是 dokuwiki 使用的 image 為 lscr.io/linuxserver/dokuwiki:latest 所以可以透過 custom-cont-init.d 自訂 script 來達成
+  * 假設 Docker Networks 的 rproxy-net (由 NPM -> Dokuwiki 的 overlay network) 網段是 10.0.8.0/24
+  * 在 custom-cont-init.d 內增加 10-nginx-realip.sh <file>
+#!/bin/sh
+# 腳本名稱: 10-nginx-realip-fix.sh
+# 目的: 修正 Real IP 設定，將其插入到實際的 Nginx 虛擬主機設定檔 (default.conf) 中。
+# Nginx 實際的虛擬主機設定檔路徑
+SITE_CONF="/config/nginx/site-confs/default.conf"
+echo ">> [custom-init] Configuring Nginx Real IP in $SITE_CONF..."
+# Real IP 配置內容
+REAL_IP_CONFIG=$(cat <<EOF
+    #
+    # Real IP 設定 - 信任 Docker Overlay 網路 (NPM IP)
+    #
+    set_real_ip_from 10.0.8.0/24;
+    # 讀取 NPM 傳來的 X-Real-IP 標頭
+    real_ip_header X-Real-IP;
+EOF
+)
+# 檢查配置是否已經存在
+if grep -q "set_real_ip_from 10.0.8.0/24;" "$SITE_CONF"; then
+    echo ">> [custom-init] Real IP configuration already exists in site-conf. Skipping."
+else
+    # 這次我們在 'server {' 區塊內的頂部插入配置
+    SERVER_START='server {'
+    # 使用 sed 在 'server {' 之後插入 Real IP 配置
+    # 使用 \n 和 \t 來處理換行和縮排
+    REAL_IP_CONFIG_ESCAPED=$(echo "$REAL_IP_CONFIG" | sed 's/\//\\\//g' | sed 's/^[ \t]*//' | sed ':a;N;$!ba;s/\n/\\n\\t/g')
+    if sed -i "/$SERVER_START/a\\$REAL_IP_CONFIG_ESCAPED" "$SITE_CONF"; then
+        echo ">> [custom-init] Successfully inserted Real IP configuration into site-conf."
+    else
+        echo ">> [custom-init] ERROR: Failed to insert Real IP configuration into site-conf file."
+        exit 1
+    fi
+fi
+# 賦予腳本執行權限
+chmod +x "$0"
+</file>
+  * 需要將這個 script 檔案設定執行權限 <cli>chmod a+x 10-nginx-realip.sh</cli>
+  * 重新啟動 dokuwiki 這個 stack
+  * 查看 dokuwiki 啟動的容器 log 應該就會出現類似以下的訊息 <file>
+:
+**** Permissions could not be set. This is probably because your volume mounts are remote or read-only. ****
+**** The app may not work properly and we will not provide support for it. ****
+Existing install found, deleting install.php.
+[custom-init] Files found, executing
+[custom-init] 10-nginx-realip.sh: executing...
+>> [custom-init] Configuring Nginx Real IP in /config/nginx/site-confs/default.conf...
+>> [custom-init] Real IP configuration already exists in site-conf. Skipping.
+[custom-init] 10-nginx-realip.sh: exited 0
+[ls.io-init] done.
+:
+</file>
+  * 接下來就可以查看 dokuwiki 的 nginx access log 可以出現用戶 IP Exp. <cli>
+:
+.235.145.214 - - [03/Oct/2025:19:55:15 +0800] "GET /tech/dokuwiki_plugin/poll?do=login&sectok= HTTP/1.1" 200 6278 "https://www.ichiayi.com/tech/dokuwiki_plugin/poll" "Mozilla/5.0 (Macintosh; Intel Mac OS X 12.5; rv:114.0) Gecko/20100101 Firefox/114.0"
+.235.145.214 - - [03/Oct/2025:19:55:15 +0800] "GET /tech/dokuwiki_plugin/poll?do=register HTTP/1.1" 200 8469 "https://www.ichiayi.com/tech/dokuwiki_plugin/poll?do=login&sectok=" "Mozilla/5.0 (Macintosh; Intel Mac OS X 12.5; rv:114.0) Gecko/20100101 Firefox/114.0"
+.235.145.214 - - [03/Oct/2025:19:55:16 +0800] "GET /tech/dokuwiki_plugin/poll?q=&do=search HTTP/1.1" 200 8417 "https://www.ichiayi.com/tech/dokuwiki_plugin/poll?do=register" "Mozilla/5.0 (Macintosh; Intel Mac OS X 12.5; rv:114.0) Gecko/20100101 Firefox/114.0"
+.113.196.92 - - [03/Oct/2025:19:55:26 +0800] "GET /git?idx=tech%3Alvm HTTP/1.1" 200 21886 "-" "Mozilla/5.0 (compatible; IbouBot/1.0; [email protected]; +https://ibou.io/iboubot.html)"
+.97.199.97 - - [03/Oct/2025:19:55:34 +0800] "GET /tech/pvetips?difftype=inline&do=diff&rev2%5B0%5D=1548307963&rev2%5B1%5D=1597387945 HTTP/1.1" 200 8896 "-" "Brightbot 1.0"
+:
+</cli>
+{{tag>tips docker swarm network}}