ruby - 如何在像 nginx 这样的代理后面时在 rails 日志中记录真实的客户端 ip

Question

问题

我在两台服务器上安装了 Rails 3.2.15 和机架 1.4.5。第一个服务器是服务于静态 Assets 的 nginx 代理。第二台服务器是为 Rails 应用程序提供服务的 unicorn 。

在 Rails production.log 中，我总是看到 nginx IP 地址 (10.0.10.150) 而不是我的客户端 IP 地址 (10.0.10.62):

Started GET "/" for 10.0.10.150 at 2013-11-21 13:51:05 +0000

我想在日志中有真实的客户端IP。

我们的设置

HTTP header X-Forwarded-For 和 X-Real-IP 在 nginx 中设置正确，我已经定义了 10.0.10.62通过在 config/environments/production.rb 中设置 config.action_dispatch.trusted_proxies =/^127\.0\.0\.1$/ 作为不是受信任的代理地址>，感谢另一个answer .我可以检查它是否正常工作，因为我将它们记录在应用程序 Controller 中:

在 app/controllers/application_controller.rb 中:

class ApplicationController < ActionController::Base
    before_filter :log_ips

    def log_ips
        logger.info("request.ip = #{request.ip} and request.remote_ip = #{request.remote_ip}")
    end
end

在 production.log 中:

request.ip = 10.0.10.150 and request.remote_ip = 10.0.10.62

调查

调查的时候，我看到Rails::Rack::Logger负责记录IP地址:

def started_request_message(request)
  'Started %s "%s" for %s at %s' % [
    request.request_method,
    request.filtered_path,
    request.ip,
    Time.now.to_default_s ]
end

request 是 ActionDispatch::Request 的实例.它继承了Rack::Request它定义了 IP 地址的计算方式:

def trusted_proxy?(ip)
  ip =~ /^127\.0\.0\.1$|^(10|172\.(1[6-9]|2[0-9]|30|31)|192\.168)\.|^::1$|^fd[0-9a-f]{2}:.+|^localhost$/i
end

def ip
  remote_addrs = @env['REMOTE_ADDR'] ? @env['REMOTE_ADDR'].split(/[,\s]+/) : []
  remote_addrs.reject! { |addr| trusted_proxy?(addr) }

  return remote_addrs.first if remote_addrs.any?

  forwarded_ips = @env['HTTP_X_FORWARDED_FOR'] ? @env['HTTP_X_FORWARDED_FOR'].strip.split(/[,\s]+/) : []

  if client_ip = @env['HTTP_CLIENT_IP']
    # If forwarded_ips doesn't include the client_ip, it might be an
    # ip spoofing attempt, so we ignore HTTP_CLIENT_IP
    return client_ip if forwarded_ips.include?(client_ip)
  end

  return forwarded_ips.reject { |ip| trusted_proxy?(ip) }.last || @env["REMOTE_ADDR"]
end

转发的 IP 地址使用 trusted_proxy? 过滤。因为我们的 nginx 服务器使用公共(public) IP 地址而不是私有(private) IP 地址，Rack::Request#ip 认为它不是代理而是试图进行一些 IP 欺骗的真实客户端 ip。这就是我在日志中看到 nginx IP 地址的原因。

在日志摘录中，客户端和服务器的 IP 地址为 10.0.10.x，因为我正在使用虚拟机来重现我们的生产环境。

我们目前的解决方案

为了避免这种行为，我在 app/middleware/remote_ip_logger.rb 中写了一个小的 Rack 中间件:

class RemoteIpLogger
  def initialize(app)
    @app = app
  end

  def call(env)
    remote_ip = env["action_dispatch.remote_ip"]
    Rails.logger.info "Remote IP: #{remote_ip}" if remote_ip
    @app.call(env)
  end
end

我将它插入到 ActionDispatch::RemoteIp 中间件之后

config.middleware.insert_after ActionDispatch::RemoteIp, "RemoteIpLogger"

这样我就可以在日志中看到真实的客户端IP:

Started GET "/" for 10.0.10.150 at 2013-11-21 13:59:06 +0000
Remote IP: 10.0.10.62

我对这个解决方案感到有点不舒服。 nginx+unicorn 是 rails 应用程序的常见设置。如果我必须自己记录客户端 IP，这意味着我错过了一些东西。是不是因为 Nginx 服务器在与 Rails 服务器通信时使用的是公网 IP 地址？有没有办法自定义 Rack::Request 的 trusted_proxy? 方法？

已编辑:添加 nginx 配置和 HTTP 请求捕获

/etc/nginx/sites-enabled/site.example.com.conf:

server {
    server_name    site.example.com;
    listen         80;


    location ^~ /assets/ {
       root /home/deployer/site/shared;
       expires 30d;
    }

    location / {
      root /home/deployer/site/current/public;
      try_files $uri @proxy;
    }

    location @proxy {
      access_log  /var/log/nginx/site.access.log combined_proxy;
      proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
      proxy_set_header X-Forwarded-Proto $scheme;
      proxy_set_header Host $http_host;
      proxy_redirect off;
      proxy_read_timeout 300;

      proxy_pass http://rails.example.com:8080;
    }
}

Nginx 服务器是 10.0.10.150。 Rails 服务器是 10.0.10.190。我的机器是 10.0.10.62 当从我的机器上执行 curl http://10.0.10.150/ 时，一个 tcpdump port 8080 -i eth0 -Aq -s 0 在 Rails 服务器上显示这些请求 HTTP header :

GET / HTTP/1.0
X-Forwarded-For: 10.0.10.62
X-Forwarded-Proto: http
Host: 10.0.10.150
Connection: close
User-Agent: curl/7.29.0
Accept: */*

Rails 日志 /home/deployer/site/current/log/production.log(Remote IP 和 request.ip 行由自定义代码添加):

Started GET "/" for 10.0.10.150 at 2013-11-22 08:01:17 +0000
Remote IP: 10.0.10.62
Processing by Devise::RegistrationsController#new as */*
request.ip = 10.0.10.150 and request.remote_ip = 10.0.10.62
  Rendered devise/shared/_links.erb (0.1ms)
  Rendered devise/registrations/new.html.erb within layouts/application (2.3ms)
  Rendered layouts/_landing.html.erb (1.5ms)
Completed 200 OK in 8.9ms (Views: 7.5ms | ActiveRecord: 0.0ms)

Answer 1

在我看来，您当前的方法是唯一明智的方法。唯一缺少的步骤是覆盖 env 中的 IP 地址。

如果您有任何数量的代理层和负载平衡器层，那么典型的 REMOTE_ADDR 很少拥有正确的 IP 以及其他 - 在这方面您并不是独一无二的。每个都可能添加或更改与远程 IP 相关的 header 。你不能假设每个字段都必须对应一个 IP 地址。有些人会将 IP 推送或取消转移到列表。

只有一种方法可以确定哪个字段具有正确的值以及如何保存正确的值，那就是深入研究并查看。你显然已经这样做了。现在，只需使用您的 Rack 中间件用正确的值覆盖 env['REMOTE_ADDR'] 即可。让您没有编写的任何代码段记录或处理错误的 IP 地址毫无意义，就像现在正在发生的那样。

(这是 Ruby，你也可以猴子补丁 Rack::Request，当然......)

有关说明异国情调的设置在不同程度上扰乱查找客户端真实 IP 地址的尝试的丰富多彩的阅读，请参阅有关 WordPress 的无休止讨论的例子:

• https://core.trac.wordpress.org/ticket/9235
• https://core.trac.wordpress.org/ticket/4198
• https://core.trac.wordpress.org/ticket/4602

它是 PHP，但提出的要点同样适用于 Ruby。 (请注意，在我写这篇文章时，它们也没有得到解决，而且它们已经存在了很久。)