Логирование адреса посетителя в связке Nginx, Varnish, Apache?

Question

[Павел Галкин]

Добрый день.


Имеется связка Nginx -> Varnish -> Apache.


Nginx добавляет ip клиента как X-forwarded for, Varnish к нему приклеивает ip nginx'а

Apache через mod_rpaf выставляет REMOTE_IP на ip nginx-а, а не на клиента.


Если убрать varnish, все работает как нужно — получаем адрес клиента в лог апача.


Как сделать так, чтоб и в текущей связке скрипты в remote-ip получали ip-клиента?

Часть конфига nginx

proxy_pass <a href="http://127.0.0.1">127.0.0.1</a>:8081;<br/>
proxy_set_header Host $host;<br/>
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;<br/>
proxy_set_header X-Real-IP $remote_addr;

Часть конфига Аpache2

LoadModule rpaf_module modules/mod_rpaf.so<br/>
RPAFenable on<br/>
RPAFsethostname On<br/>
RPAFproxy_ips 127.0.0.1<br/>

Конфиг Vanisha — стандартный (пробовались и не слишком стандартные варианты, не заработало). Если убрать varnish, все работает как нужно.


Как сделать так, чтоб и в исходной связке скрипты в remote-ip получали ip-клиента?


Спасибо.

UPDATE


Самое забавное, что все эти данные видно — varnishlog -c -o SessionOpen $IP, но дальше варниша они не уходят:

13 RxHeader c X-Forwarded-For: 90.157.47.15<br/>
 13 RxHeader c X-Real-IP: 90.157.47.15<br/>
 13 RxHeader c X-Forwarded-For-nginx: 90.157.47.15-nginx<br/>
 13 RxHeader c X-Real-IP-nginx: 90.157.47.15<br/>

Comments

[1nd1go]

Чисто из любопытства — а почему Varnish стоит после nginx, прикольно же ведь его поставить в самом переди, чтобы он кэшировал все.

[Павел Галкин]

Как-нибудь попробуем и так. Связка nginx+apache уже привычная, а вот с Varnish еще не слишком хорошо знакомы.

Answer 1

[Павел Галкин]

Пробовал и таким макаром — в апач все равно попадает только адрес сервера, включен RPAF или нет.

Пробовал и без манипуляций, но почему-то только до апача не доходят. Стоит исключить из этой цепочки варниш, как все становится нормально.

Версия -3.0.2

Comments

[Ivan]

Возможно в тройке что-то поменяли в дефолтных правилах.
А что будет, например, если сделать:
set req.http.X-Forwarded-For-mine = req.http.X-Forwarded-For;

в самом начале vcl_recv

[Павел Галкин]

Йес! А вот теперь в лог апача попадает именно то, что и требовалось!

Спасибо большое.
Сам бы явно не скоро не догадался.

Answer 2

[xaker1]

Что если попробовать добавить
RPAFheader X-Forwarded-For-nginx
в конфиг апача и в конфиге nginx заменить proxy_set_header на
proxy_set_header X-Forwarded-For-nginx $proxy_add_x_forwarded_for-nginx;
Фактически nginx будет ip пихать в другой заголовок, о котором Vanisha не будет знать.

Comments

[Павел Галкин]

Отличная идея!

К сожалению, не прокатило. Похоже, что варниш все-таки херит где-то все пирожки. Включил логи у него, там все пользователи 127.0.0.1.

[Павел Галкин]

Самое забавное, что все эти данные видно — varnishlog -c -o SessionOpen $IP, но дальше варниша они не уходят:
13 RxHeader c X-Forwarded-For: 90.157.47.15
13 RxHeader c X-Real-IP: 90.157.47.15
13 RxHeader c X-Forwarded-For-nginx: 90.157.47.15-nginx
13 RxHeader c X-Real-IP-nginx: 90.157.47.15


Answer 3

[Ivan]

Конфиг варниша можно посмотреть? В стандартном какраз с X-Forwarded-For всяческие манипуляции совершаются, попробуйте их закомментить.

Comments

[Павел Галкин]

backend site {
.host = "127.1337";
.port = "8080";
}

sub vcl_recv {
if (req.http.X-Forwarded-For) {
remove req.http.X-Forwarded-For;
set req.http.X-Forwarded-For = client.ip;
}

if( req.url ~ "^/wp-(login|admin)" || req.http.Cookie ~ "wordpress_logged_in_" ){
return (pass);
}

unset req.http.Cookie;
return (lookup);
if (req.http.Accept-Encoding) {
if (req.url ~ "\.(jpg|png|gif|gz|tgz|bz2|lzma|tbz)(\?.*|)$") {
remove req.http.Accept-Encoding;
} elsif (req.http.Accept-Encoding ~ "gzip") {
set req.http.Accept-Encoding = "gzip";
} elsif (req.http.Accept-Encoding ~ "deflate") {
set req.http.Accept-Encoding = "deflate";
} else {
remove req.http.Accept-Encoding;
}
}

if (req.url ~ "^/[^?]+\.(jpeg|jpg|png|gif|ico|js|css|txt|gz|zip|lzma|bz2|tgz|tbz|html|htm)(\?.*|)$") {
unset req.http.cookie;
set req.url = regsub(req.url, "\?.*$", "");
}
}


Один из вариантов.

Пробовал с req.http.X-Forwarded-For и без него. Получается одинаково.

Answer 4

[Ivan]

Ну так:
remove req.http.X-Forwarded-For;
set req.http.X-Forwarded-For = client.ip;
Удаляется пришедший заголовок и выставляется ип нгникса.

У меня схема немного сложнее, нгникс->варниш->нгникс->пхп-фпм и на второй нгникс приходит как надо: ип-клиента, ип-нгникса.
Конфиг нгникса по этим пунктам аналогичен. В конфиге варниша манипуляций с X-Forwarded-For нет (в этом случае срабатывают дефолтные)

Какая версия варниша?

Comments

[Павел Галкин]

Пробовал и таким макаром — в апач все равно попадает только адрес сервера, включен RPAF или нет.

Пробовал и без манипуляций, но почему-то только до апача не доходят. Стоит исключить из этой цепочки варниш, как все становится нормально.

Версия -3.0.2