slb怎么增加xff防伪造设置

在阿里云 SLB（Server Load Balancer）中配置 X-Forwarded-For（XFF）头时，为了防止客户端伪造 IP 地址，需要通过合理的配置确保 SLB 正确地传递客户端的真实 IP，同时避免客户端篡改 XFF 头部信息。以下是实现该目标的关键配置步骤和注意事项： ### 配置 SLB 以正确设置 X-Forwarded-For 头 1. **启用 SLB 的 X-Forwarded-For 功能** 阿里云 SLB 默认会将客户端的源 IP 添加到 `X-Forwarded-For` 头中。在配置监听时，确保启用了该功能，以便 SLB 可以自动插入客户端的真实 IP 地址。 - 登录阿里云控制台，进入 SLB 实例的监听配置页面。 - 在高级设置中，确认启用了“获取客户端真实 IP”选项。 2. **防止客户端伪造 X-Forwarded-For 值** 客户端可能会在请求中注入伪造的 `X-Forwarded-For` 值，SLB 需要具备忽略客户端注入的 XFF 值的能力。 - 在 SLB 的监听配置中，启用“覆盖客户端的 X-Forwarded-For”选项，确保 SLB 忽略客户端提供的 `X-Forwarded-For` 头，并由 SLB 自身重新生成。 - 这样可以防止客户端伪造 IP 地址，确保后端服务接收到的 XFF 头是可信的。 3. **配置后端服务识别真实 IP** 后端服务（如 Tomcat 或 Spring 应用）需要能够正确解析 `X-Forwarded-For` 头中的多个 IP 地址，并提取最前面的真实客户端 IP。 - 使用 `RemoteIpFilter` 是一种推荐做法，它可以帮助解析 `X-Forwarded-For` 头中的多个 IP，并提取最前面的 IP 作为客户端的真实 IP。 - 示例配置如下： ```java import org.apache.catalina.filters.RemoteIpFilter; import org.springframework.boot.web.servlet.FilterRegistrationBean; import org.springframework.context.annotation.Bean; import org.springframework.context.annotation.Configuration; @Configuration public class WebConfig { @Bean public FilterRegistrationBean<RemoteIpFilter> remoteIpFilter() { FilterRegistrationBean<RemoteIpFilter> registration = new FilterRegistrationBean<>(); registration.setFilter(new RemoteIpFilter()); registration.addUrlPatterns("/*"); registration.setName("remoteIpFilter"); registration.setOrder(1); return registration; } } ``` 4. **日志记录真实 IP** 为了在日志中记录客户端的真实 IP，需要修改 Tomcat 的 `AccessLogValve` 配置，使其从 `X-Forwarded-For` 头中提取 IP 地址[^3]。 - 修改 `server.xml` 中的 `AccessLogValve` 配置，将 `pattern` 设置为包含 `%{X-Forwarded-For}i` 的格式： ```xml <Valve className="org.apache.catalina.valves.AccessLogValve" directory="logs" prefix="localhost_access_log." suffix=".txt" pattern='%{X-Forwarded-For}i %h %l %u %t "%r" %s %b' resolveHosts="false"/> ``` 5. **多层代理环境下的处理** 在多层代理架构中（如用户 -> WAF -> SLB -> Kong -> Application），`X-Forwarded-For` 头部可能会包含多个 IP 地址，IP 之间用逗号分隔。后端服务应提取第一个 IP 作为客户端的真实 IP（假设没有伪造）[^4]。 ### 安全建议 - **禁用客户端注入的 XFF 头**：确保 SLB 忽略客户端注入的 `X-Forwarded-For` 头，由 SLB 自行生成，以防止 IP 伪造。 - **验证 IP 格式**：后端服务在解析 `X-Forwarded-For` 头时，应验证 IP 格式，并提取第一个 IP 作为客户端 IP。 - **使用 WAF 配合防护**：结合 WAF（Web Application Firewall）可以进一步增强对请求头的过滤和验证能力，防止恶意请求注入。 ###