Как передать реальный ip клиента через nginx proxy manager lcx?

Question

[sh_023]

Всем привет!
На роутере проброшен 80 и 44 порт на контейнер lxc (не докер) с nginx proxy manager, он в свою очередь перенаправляет на виртуалку с Xpenology, как в Xpenology получать реальные адреса пользователей ? В Xpenology все клиенты, которые подключаются через домен, им присваивается адрес контейнера с nginx


Пробовал добавить вот такие "префиксы", все равно никак


Адрес сети 192.168.8.0/24
Адрес контейнера 192.168.8.9/24
Адрес Xpenology 192.168.8.3/24
Адрес роутера 192.168.8.1/24
Ip белый

Comments

[AUser0]

В запросе на сервер Xpenology реальный IP будет храниться в HTTP-заголовке X-Forwaded-For. Сервер нужно настроить на вытаскивание адреса клиента именно из этого заголовка.

Параметр set_real_ip_from нужен, когда какой-нибудь прокси сервер с этим адресом (которому вы 100%-но доверяете, ну вот сами администрируете), сам передаёт IP-адрес своего клиента в заголовке X-Forwaded-For. Тогда настоящий IP-адрес клиента вытаскивается из X-Forwaded-For заголовка и передаётся дальше, уже web-серверу.

[sh_023]

AUser0, И как это сделать ? К сожалению тут дуб дубом

[AUser0]

sh_023, тут, а именно proxy_set_header.

[sh_023]

AUser0, Вы можете написать, что туда вставить ?
Данную запись он не принимает (не сохраняет)
Вот прям для совсем глупых можете написать ?
А то "а именно proxy..." для меня эта тема не ясна, где-то где бы это объяснялось нормально для этого менеджера я не наешл. Смотрел реальные конфиги, но все попытки редактировать сам фаил конфига приводили к не работоспособности всего этого дела.

[AUser0]

sh_023, ну здесь же всё написано. А в приведённой ссылке ещё и сам параметр полностью указан. Так и пропишите его в конфиг.

[sh_023]

AUser0, Спасибо ! "очень понятно"

[AUser0]

sh_023, ну ёлки-палки! Там, в конфигах, где real_ip_recursive on, так и допишите

proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;

А как (?) вы заставите Xpenology использовать/показывать эти дополнительные данные - я уже не знаю, вне моей компетенции.

[sh_023]

AUser0,
увы, но если это добавить то конфиг не работает, если добавить вашу запись и убрать все остальное, то конфиг заводится, но результата нет

[AUser0]

sh_023, таки я повторю, может в этот раз дойдёт написанное: надо ещё как-то заставить этот Xpenology и его web-морду понимать прилетевший X-Forwarded-For как IP-адрес клиента.
Без такой настройки все пляски с конфигами nginx - бесполезны!
Повторю: бесполезны!
Для тормозящих ещё повторю: бесполезны!

Answer 1

[sh_023]

Решение проблемы
необходимо
на роутере с Openwrt (как в других - не подскажу)
1.Либо отключить Маскарадинг из WAN либо создать правило НАТ, которое бы разрешало для proxy сервера получать ip внешние, а не роутера

или

2. Если вы используете Nginx Proxy Manager (в докере или в lxc контейнере), то в проксируемом хосте, вкладка advansed необходимо добавить следующее
proxy_set_header Host $http_host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
(конфиг фаил править не нужно)

3. в самом Synology (или Xpenology, разницы нет) необходимо зайти
Панель управления - Безопасность - вкладка Безопасность

В самом низу "Доверенные Прокси-серверы" и там указать адрес вашего прокси сервера с маской через слэш

Comments

[AUser0]

Маску сделайте /32, негоже верить вообще всем компьютерам в локальной сети, к которым относятся и персоналки.

Answer 2

[Dimonchik]

real_ip_header X-Forwarded-For;

P.S. сорри, не вчитался, думал в nginx дело

тебе сюда https://xpenology.com/forum/

Comments

[sh_023]

Это запись есть, посмотрите последний скриншот, все равно не передает

[AUser0]

Dimonchik, эта настройка указывает, запросам с какого IP верить как своим, и передавать заголовок X-Forwarded-For дальше, проксируемому серверу. На само "передавать/не передавать" она не влияет.

[Dimonchik]

AUser0, да, спутал, почему-то думал, что nginx remote IP не может писать правильный

запросам с какого IP верить как своим,

увы, но это чушь, если кто-то будет читать

[AUser0]

Dimonchik, эммм, а можете уточнить, что именно на странице официальной документации является чушью? А то я по дурости своей этой документации верю как последней инстанции, а оно вона как повернулось, нашёлся смелый человек... Давайте, жгите! Жаль нельзя мегафон поставить, что бы ВЕСЬ ИНТЕРНЕТ УСЛЫШАЛ!!!

[sh_023]

AUser0,
Дело все таки в Nginx
Ошибка моя состояла в том, что во-первых я не сделал правила в нате (роутер то openwrt), что НИНАДА ему менять адрес.
Перенаправил порты напрямую на виртуалку и написал это правило (с адресом виртуалки)- все работает, получаю пользователей.
Перенаправляю на nginx - тишина, вот буду смотреть что с ним, буду искать способы узнать, получает ли nginx реальные ip, или нет

[AUser0]

Смотрите tcpdump-ом содержимое запросов по не шифрованному 80-ому порту после nginx-а, там всё видно. В том числе наличие/отсутствие X-Forwarded-For.

[sh_023]

AUser0, Решение нашел, сейчас напишу, может конечно оно очевидным будет, но копался я долго...