Как перенаправить трафик https с сохранением IP клиента?

Question

[diiimonn]

Приветствую!
Необходимо перенаправить трафик https, подменить адрес назначения, с сохранением IP клиента, на VPS.
Например:
Клиент (IP: 1.1.1.2) дергает url https://site.com/index.html, при этом site.com смотрит на наш VPS (IP: 2.2.2.2), который принимает этот запрос и направляет его на https://site-two.com/index.html (IP: 3.3.3.3), который видит что к нему пришел клиент с IP = 1.1.1.2 , а не IP VPS.

При реализации можно отказаться от использования доменов и взять конкретные IP , это не принципиально, но желательно домены. Что-то делать можно только на VPS. IP всех участников из разных подсетей.
Если я правильно понимаю то надо прописать ряд правил в iptables , но какие? Достаточно ли iptables или нужны еще/другие инструменты?

Answer 1

[diiimonn]

Погрузившись глубже в протокол TCP/IP, стало понятно, что это крайне трудноосуществимая задача, и вообще такое действие носит характер злонамеренного и называется IP-спуфинг. Спасибо всем отвечающим, тема закрыта.

Answer 2

[alternativshik]

достаточно просто на site.com поднять nginx, который будет делать ровно то, что вам нужно.

Comments

[diiimonn]

Если проксировать через nginx то на site-two.com в качестве реального ip клиента будет ip проксирующего сервера.

[Александр Карабанов]

diiimonn, как настроишь так и будет.

[Alexey Dmitriev]

diiimonn, nginx real-ip модуль с вами не согласится.
https://nginx.org/ru/docs/http/ngx_http_realip_mod...

[diiimonn]

Alexey Dmitriev, вы то же не вчиталась в суть вопроса) real-ip модуль подменяет его на принимающей стороне, на конечной, т.е. на site-two.com. Но у меня нет доступа туда. Я могу работать только с прокси.

[Alexey Dmitriev]

diiimonn, на отправляющей.
Ниже кусок конфига с работающего nginx, смотрящего наружу, принимающего запросы, и отправляющего в Apache, который находится внутри - реальные адреса клиентов.

location / {
    proxy_pass https://1.1.1.2;
    proxy_set_header Host $host;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Real-IP $remote_addr;
    }

[diiimonn]

Alexey Dmitriev, все верно, теперь с точки зрения апача, он настраивается таким образом чтобы принять эти заголовки и заменить у себя remote_addr (по факту это ip nginx) на переданный в X-Real-IP.
НО , как я уже говорил, у меня нет доступа к конечной стороне, я не могу настроить принимающий сервер (апач) на обработку этих заголовков. он смотрит только на реальный ip источника, и это ip прокси (nginx).

[Alexey Dmitriev]

diiimonn, да я вас понял - вы правы, нужна перенастройка и принимающей стороны.

Answer 3

[Виктор Таран]

nginx в 60% используют не как отдельный веб сервер а как прокси на апач, там можно и заголовки менять и домны и урлы и все че хочеш.

Comments

[diiimonn]

site-two.com будет видеть ip проксирующего сервера как ip клиента. Простой прокси тут не поможет.

[Андрей Гаврилов]

diiimonn, ну так а set real ip для чего?

[diiimonn]

Андрей Гаврилов, если я правильно понял то set real ip работает только на конечной стороне, т.е. на site-two.com , но у меня нет доступа к конечной стороне, только к проксирующему серверу.

[Виктор Таран]

diiimonn, кто вам такое сказал?
думаете этот вопрос не решили?

[diiimonn]

location /index.html {
    set_real_ip_from 0.0.0.0/0;
    real_ip_header    X-Forwarded-For;

    proxy_pass       https://site-two.com/index.html;
}

Вот только что сделал тестовый пример, в ответе прилетает ip проксирующего сервера. В запросе передаю нужный заголовок. nginx собран с нужным модулем.

[diiimonn]

т.е. это же прикладной уровень , как на нем можно "передать" реальный IP клиента ? В лучшем случае его можно как-то прозрачно проксировать но на более высоком уровне. Хз, может я не прав и надо nginx дальше поковырять?

[Виктор Таран]

у всех все работает.
nginx+apache давно уже существует как стандарт.

[Виктор Таран]

proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $remote_addr;
ну и
mod_remoteip