Как внутри docker-контейнера получить реальный ip пользователя?

Question

[Александр]

Создаю docker-образ на основе "ubuntu:16.04". Поднимаю в нем nginx с простейшей конфигурацией:

server {
  listen 80;

  location / {
    return 200 'Remote addr = ${remote_addr}, X-Forwarded-For = ${proxy_add_x_forwarded_for}';
  }
}

Поднимаю контейнер:
docker run --name=mycontainer -p 80:80 -d myimage

При запросах к серверу, ответ такой:

"Remote addr = 172.17.0.1, X-Forwarded-For = 172.17.0.1"

где "172.17.0.1" - это адрес из внутренней сети docker, а не реальный ip клиента, сделавшего запрос.
Как можно получить реальный ip пользователя?
Можно, конечно, при запуске контейнера указать "--net=host", но это неудобно, потому что пропадает возможность привязки порта контейнера к произвольному порту хоста.

Answer 1

[Назар Мокринский]

При запросах откуда? Выглядит как будто вы из внутренней сети и делаете запросы, иначе X-Forwarded-For был бы другим. Сделайте запрос на публичный IP сервера.

Comments

[Александр]

Так я же написал что , _запрос делает клиент_ :) То есть, запрос делается из браузера к VPS, внутри которой крутится Docker. То есть: "клиент в браузере делает запрос" -> "nginx внутри VPS проксирует запрос на порт 0.0.0.0:80 (который, как видно, привязан к 80-му порту контейнера)" -> "nginx внутри контейнера обрабатывает запрос и выдает ответ, указанный в описании".

[Назар Мокринский]

Александр: На самом деле мне сложно понять, как можно проксировать на 0.0.0.0:80, разве такое бывает О_о?

Давайте по порядку, у вас на хосте (VPS) есть Nginx (мимо того, который в Docker контейнере?

У меня обычно на хосте стоит Nginx, потом я с его помощью разные домены проксирую в разные контейнеры. Например, первый контейнер с Nginx будет слушать на 127.0.0.1:8001:80, Nginx на хосте будет отправлять туда запросы (ну и HTTPS он занимается, в контейнерах сертификатов нет).

[Александр]

Хорошо, чтобы никого не смущать, пусть у меня запросы проксируются на 127.0.0.1:80 (хотя, и с 0.0.0.0:80 все работает - попробуйте).

Да, есть машина-хост (VPS), на ней стоит nginx. Для этого nginx существует конфигурация для домена (назовем его example.com). В этой конфигурации есть строчка "proxy_pass http://127.0.0.1:80" (также, есть строки "proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for" и "proxy_set_header X-Real-IP $remote_addr"). Также, на VPS есть docker-контейнер, внутри которого тоже стоит nginx с простейшей конфигурацией, описанной в данном вопросе, и слушает на 80-м порту. 80-й порт хоста (VPS) привязан к 80-му порту контейнера.
Когда пользователь открывает в браузере адрес "example.com", то nginx, который находится внутри docker-контейнера, видит не реальный ip пользователя, а все время "172.17.0.1".

[Назар Мокринский]

Александр: Погодите, а как у вас и Nginx на хосте, и контейнер одновременно слушают 80 порт на внешнем интерфейсе?

[Назар Мокринский]

У меня на хосте такой location:

location / {
    proxy_pass          http://127.0.0.1:8001;
    proxy_set_header    Host               $host;
    proxy_set_header    X-Forwarded-For    $remote_addr;
    proxy_set_header    X-Forwarded-Proto  https;
}

И в X-Forwarded-For я вижу нужный мне IP пользователя

[Александр]

Назар Мокринский: На хосте у меня nginx может и не на 80-м порте висеть. Это вообще не принципиально. Хорошо, пусть 80-й порт контейнера будет привязан к 8001-му порту хоста.
С вашей конфигурацией X-Forwarded-For у меня выглядит так:
"X-Forwarded-For = {реальный ip}, 172.17.0.1"
Есть ли возможность сделать так, чтобы туда не попадал 172.17.0.1?

[Назар Мокринский]

Александр: Я думаю, можно, но сходу не подскажу как. Более того, это нормальное поведение, сервер должен быть готов к тому, что там будет несколько IP: https://en.wikipedia.org/wiki/X-Forwarded-For

[Александр]

Назар Мокринский: Да, видимо, определять ip с учетом этих особенностей и будет решением проблемы.

[kamalov_radik]

Каким образом получилось решить проблему? Поделитесь пожалуйста