Cloudflare: Восстанавливаем реальные IP-адреса посетителей

Когда трафик сайта направляется через сеть Cloudflare, то в логи попадает не реальный адрес пользователя, а адреса серверов Cloudflare. Фактически Cloudflare выполняет роль обратного прокси сервера.

Содержание

Это связано с механизмом работы: Все запросы принимают сервера Cloudflare, если есть кешированные данные, то они их возвращают. При необходимости осуществляется блокировка запросов или роутинг.

Реальный адрес посетителя содержится в заголовке: CF-Connecting-IP передающийся с каждым запросом.

Актуальный список серверов Cloudflare

Актуальный список серверов можно взять по адресу: https://www.cloudflare.com/ips/

Так же можно использовать для автоматизации:

Только IPv4: https://www.cloudflare.com/ips-v4

Только IPv6: https://www.cloudflare.com/ips-v6

Настройка Apache

Для восстановления реальных адресов посетителей ранее использовался модуль Apache - mod_cloudflare, но его поддержка прекращена.

Есть стандартный модуль Apache который позволить решит эту задачу: mod_remoteip

Проверить наличие:

#httpd -M|grep remoteip_module
remoteip_module (shared)

1 2	#httpd -M\|grep remoteip_module remoteip_module (shared)

модуль подключен, все хорошо.

Создаем файл /etc/httpd/conf.d/remoteip.conf

sudo nano /etc/httpd/conf.d/remoteip.conf

1	sudo nano /etc/httpd/conf.d/remoteip.conf

Со следующим содержимым:

RemoteIPHeader CF-Connecting-IP
RemoteIPTrustedProxy 173.245.48.0/20
RemoteIPTrustedProxy 103.21.244.0/22
RemoteIPTrustedProxy 103.22.200.0/22
RemoteIPTrustedProxy 103.31.4.0/22
RemoteIPTrustedProxy 141.101.64.0/18
RemoteIPTrustedProxy 108.162.192.0/18
RemoteIPTrustedProxy 190.93.240.0/20
RemoteIPTrustedProxy 188.114.96.0/20
RemoteIPTrustedProxy 197.234.240.0/22
RemoteIPTrustedProxy 198.41.128.0/17
RemoteIPTrustedProxy 162.158.0.0/15
RemoteIPTrustedProxy 104.16.0.0/12
RemoteIPTrustedProxy 172.64.0.0/13
RemoteIPTrustedProxy 131.0.72.0/22
RemoteIPTrustedProxy 2400:cb00::/32
RemoteIPTrustedProxy 2606:4700::/32
RemoteIPTrustedProxy 2803:f800::/32
RemoteIPTrustedProxy 2405:b500::/32
RemoteIPTrustedProxy 2405:8100::/32
RemoteIPTrustedProxy 2a06:98c0::/29
RemoteIPTrustedProxy 2c0f:f248::/32

RemoteIPHeader CF-Connecting-IP

RemoteIPTrustedProxy 173.245.48.0/20

RemoteIPTrustedProxy 103.21.244.0/22

RemoteIPTrustedProxy 103.22.200.0/22

RemoteIPTrustedProxy 103.31.4.0/22

RemoteIPTrustedProxy 141.101.64.0/18

RemoteIPTrustedProxy 108.162.192.0/18

RemoteIPTrustedProxy 190.93.240.0/20

RemoteIPTrustedProxy 188.114.96.0/20

RemoteIPTrustedProxy 197.234.240.0/22

RemoteIPTrustedProxy 198.41.128.0/17

RemoteIPTrustedProxy 162.158.0.0/15

RemoteIPTrustedProxy 104.16.0.0/12

RemoteIPTrustedProxy 172.64.0.0/13

RemoteIPTrustedProxy 131.0.72.0/22

RemoteIPTrustedProxy 2400:cb00::/32

RemoteIPTrustedProxy 2606:4700::/32

RemoteIPTrustedProxy 2803:f800::/32

RemoteIPTrustedProxy 2405:b500::/32

RemoteIPTrustedProxy 2405:8100::/32

RemoteIPTrustedProxy 2a06:98c0::/29

RemoteIPTrustedProxy 2c0f:f248::/32

после чего перезапускаем Apache

service httpd restart

1	service httpd restart

Журналы доступа и ошибок Apache (необязательно)

Возможно, вам не потребуется выполнять этот шаг, но если вы обнаружите, что в журналах доступа и ошибок отображается IP прокси Cloudflare, а не IP удаленного пользователя, вам потребуется дополнительная настройка.

Зайдите на страницу вашего сайта, чтобы создать запись в журнале доступа, затем просмотрите журнал доступа, чтобы увидеть, показывает ли он ваш IP или IP прокси Cloudfare:

sudo tail /var/log/apache2/access.log -n 200

1	sudo tail /var/log/apache2/access.log -n 200

Если он не показывает ваш IP, продолжите ниже. Чтобы реальный IP клиента (CF-Connecting-IP) появился в access.log и error.log, мы должны внести небольшое изменение в apache2.conf.

Отредактируйте файл apache2.conf:

sudo nano /etc/apache2/apache2.conf

1	sudo nano /etc/apache2/apache2.conf

в CentOS файл httpd.conf

nano /etc/httpd/conf/httpd.conf

1	nano /etc/httpd/conf/httpd.conf

Нажмите CTRL + W и найдите пункт LogFormat.

Формат журнала по умолчанию должен выглядеть примерно так, как показано ниже:

LogFormat "%v:%p %h %l %u %t \"%r\" %>s %O \"%{Referer}i\" \"%{User-Agent}i\"" vhost_combined
LogFormat "%h %l %u %t \"%r\" %>s %O \"%{Referer}i\" \"%{User-Agent}i\"" combined
LogFormat "%h %l %u %t \"%r\" %>s %O" common
LogFormat "%{Referer}i -> %U" referer
LogFormat "%{User-agent}i" agent

LogFormat "%v:%p %h %l %u %t \"%r\" %>s %O \"%{Referer}i\" \"%{User-Agent}i\"" vhost_combined

LogFormat "%h %l %u %t \"%r\" %>s %O \"%{Referer}i\" \"%{User-Agent}i\"" combined

LogFormat "%h %l %u %t \"%r\" %>s %O" common

LogFormat "%{Referer}i -> %U" referer

LogFormat "%{User-agent}i" agent

Переменная %h - это удаленный IP. Нам просто нужно изменить ее на %a, который является IP-адресом клиента, определенным модулем mod_remoteip.

LogFormat "%v:%p %a %l %u %t \"%r\" %>s %O \"%{Referer}i\" \"%{User-Agent}i\"" vhost_combined
LogFormat "%a %l %u %t \"%r\" %>s %O \"%{Referer}i\" \"%{User-Agent}i\"" combined
LogFormat "%a %l %u %t \"%r\" %>s %O" common
LogFormat "%{Referer}i -> %U" referer
LogFormat "%{User-agent}i" agent

LogFormat "%v:%p %a %l %u %t \"%r\" %>s %O \"%{Referer}i\" \"%{User-Agent}i\"" vhost_combined

LogFormat "%a %l %u %t \"%r\" %>s %O \"%{Referer}i\" \"%{User-Agent}i\"" combined

LogFormat "%a %l %u %t \"%r\" %>s %O" common

LogFormat "%{Referer}i -> %U" referer

LogFormat "%{User-agent}i" agent

Сохранить и выйти (нажмите CTRL + X, нажмите Y и затем нажмите ENTER).

Перезапустите Apache.

Теперь сервер работает прозрачно, если пользователи напрямую заходят на сервер или через Cloudflare мы всегда будем видеть реальный IP адрес посетителя.

Настройка Nginx

Для Nginx необходимо использовать модуль ngx_http_realip_module

В секцию server добавить следующий конфиг

set_real_ip_from 173.245.48.0/20;
set_real_ip_from 103.21.244.0/22;
set_real_ip_from 103.22.200.0/22;
set_real_ip_from 103.31.4.0/22;
set_real_ip_from 141.101.64.0/18;
set_real_ip_from 108.162.192.0/18;
set_real_ip_from 190.93.240.0/20;
set_real_ip_from 188.114.96.0/20;
set_real_ip_from 197.234.240.0/22;
set_real_ip_from 198.41.128.0/17;
set_real_ip_from 162.158.0.0/15;
set_real_ip_from 104.16.0.0/12;
set_real_ip_from 172.64.0.0/13;
set_real_ip_from 131.0.72.0/22;
set_real_ip_from 2400:cb00::/32;
set_real_ip_from 2606:4700::/32;
set_real_ip_from 2803:f800::/32;
set_real_ip_from 2405:b500::/32;
set_real_ip_from 2405:8100::/32;
set_real_ip_from 2c0f:f248::/32;
set_real_ip_from 2a06:98c0::/29;
real_ip_header CF-Connecting-IP;
real_ip_recursive on;

set_real_ip_from 173.245.48.0/20;

set_real_ip_from 103.21.244.0/22;

set_real_ip_from 103.22.200.0/22;

set_real_ip_from 103.31.4.0/22;

set_real_ip_from 141.101.64.0/18;

set_real_ip_from 108.162.192.0/18;

set_real_ip_from 190.93.240.0/20;

set_real_ip_from 188.114.96.0/20;

set_real_ip_from 197.234.240.0/22;

set_real_ip_from 198.41.128.0/17;

set_real_ip_from 162.158.0.0/15;

set_real_ip_from 104.16.0.0/12;

set_real_ip_from 172.64.0.0/13;

set_real_ip_from 131.0.72.0/22;

set_real_ip_from 2400:cb00::/32;

set_real_ip_from 2606:4700::/32;

set_real_ip_from 2803:f800::/32;

set_real_ip_from 2405:b500::/32;

set_real_ip_from 2405:8100::/32;

set_real_ip_from 2c0f:f248::/32;

set_real_ip_from 2a06:98c0::/29;

real_ip_header CF-Connecting-IP;

real_ip_recursive on;

и перезапускаем NGINX

service nginx restart

1	service nginx restart