Varnish：多个 IP 与使用波浪号的 ACL 进行比较

Question

如果多个 IP 位于 X-Forward-For 标头中，并使用波浪号运算符与 ACL 进行比较，Varnish 会发生什么情况？

虚拟示例：

请求具有以下 HTTP 标头：

X-Forward-For: 160.12.34.56, 10.10.10.10

Varnish 配置如下所示：

acl internal {
    "10.10.10.10"
}

if ((std.ip(req.http.X-Forward.For, "0.0.0.0") ~ internal)){
    # THIS CODE   
}
else {
    # OR THIS CODE
}

执行哪个代码块？

另外，IP 的顺序在 X-Forward-For 标头中是否重要？

如果有 2 个 X-Forward-For 标头，每个标头都有两个 IP 之一，它会改变吗？

Answer 1

会有用吗？

您的问题的简短回答是否，它不会起作用。

std.ip() 期望接收单个IP 地址，而不是集合。转换将失败，并返回回退值（函数的第二个参数）。

这里有一个快速测试脚本来说明这一点：

vcl 4.0;
import std;

backend default none;

sub vcl_recv {
    set req.http.x-f = "1.2.3.4, 5.6.7.8";
    return(synth(200,std.ip(req.http.x-f,"0.0.0.0")));
}

这个例子将返回0.0.0.0。

X-Forwarded-For 需要多个 IP 地址吗？

如果您的 X-Forwarded-For 标头需要多个 IP 地址，那么问这个问题确实有意义。

这个想法是向源服务器指示原始客户端的 IP 地址是什么。

在您的情况下，网络服务器前面有超过 1 个代理，因此很自然的反应是在 X-Forwarded-For 标头中链接 IP 地址。

更好的解决方案是找出原始客户端的 IP 地址，并将该值设置为 X-Forwarded-For。

完成此任务的最佳方法是利用 Varnish 支持的 PROXY protocol。

利用 PROXY 协议

PROXY 协议具有传输 HTTP 协议的能力，但额外跟踪原始客户端的连接参数。

Varnish 支持这一点，并允许您设置一个额外的侦听端口来侦听 PROXY 请求。

这是一个示例，说明如何在 PROXY 支持下启动 varnishd：

varnishd -a :80 -a :8443,PROXY -f /etc/varnish/default.vcl -s malloc,256m

如您所见，端口80 仍可用于常规HTTP，但端口8443 分配用于PROXY 支持。

如果 Varnish 前面的代理服务器支持 PROXY，Varnish 将从原始客户端获取值并自动将 X-Forwarded-For 设置为该值。

这样您就可以始终知道客户是谁，并且您可以安全地执行您的ACL 检查。

此外，还有一个PROXY module for Varnish，它可以为您提供有关在 Varnish 前发生的潜在 TLS 终止的信息。