使用CDN后Nginx日志显示CDN节点IP而非真实用户IP

Question

使用CDN后，Nginx访问日志中记录的客户端IP均为CDN节点的出口IP，而非真实用户IP，导致无法准确分析用户地域分布、进行安全防护或实施访问限流。该问题源于CDN代理请求时，默认以HTTP头（如X-Forwarded-For）传递原始IP，但Nginx未配置识别这些头部，直接取用TCP连接的远端IP（即CDN节点IP）。如何正确配置Nginx以从CDN传递的请求头中提取并记录真实用户IP，成为部署CDN后日志分析的关键技术难题。

Answer 1

一、问题背景与现象分析

在现代Web架构中，CDN（内容分发网络）已成为提升网站性能和可用性的标配组件。然而，当引入CDN后，一个普遍且关键的技术问题浮现：Nginx访问日志中的客户端IP地址不再是真实用户IP，而是CDN节点的出口IP。

这种现象的根本原因在于：CDN作为反向代理，在转发请求至源站Nginx时，原始TCP连接的远端IP已变为CDN服务器自身IP。而Nginx默认使用$remote_addr变量记录该IP，导致日志中丢失了真实用户来源信息。

这一问题直接影响多个运维与安全场景：

• 用户行为分析失真，无法准确统计地域分布
• 基于IP的访问限流策略失效
• DDoS或恶意爬虫溯源困难
• 安全审计日志缺乏可信度
• AB测试或灰度发布依赖错误的地理位置判断

二、HTTP头部传递机制解析

为解决IP伪造问题，主流CDN服务商会通过特定HTTP头传递原始客户端IP。常见头部包括：

Header名称	用途说明	典型值示例
X-Forwarded-For	标准代理链IP列表，逗号分隔	1.2.3.4, 5.6.7.8
X-Real-IP	通常只包含最原始客户端IP	1.2.3.4
X-Forwarded-Host	原始Host请求头	example.com
CF-Connecting-IP	Cloudflare专用头	1.2.3.4
True-Client-IP	Akamai等厂商使用	1.2.3.4

三、Nginx配置核心：real_ip模块应用

Nginx提供ngx_http_realip_module模块用于从指定头部提取真实IP并替换$remote_addr。启用该功能需满足两个条件：

1. 编译时包含realip模块（多数发行版默认启用）
2. 正确配置set_real_ip_from和real_ip_header

以下为典型配置片段：

http {
    # 定义可信的CDN代理IP段
    set_real_ip_from 192.168.0.0/16;
    set_real_ip_from 10.0.0.0/8;
    set_real_ip_from 172.16.0.0/12;
    set_real_ip_from 203.0.113.0/24; # 示例CDN出口网段

    # 指定从中提取IP的HTTP头
    real_ip_header X-Forwarded-For;
    real_ip_recursive on;

    log_format combined_with_real_ip '$http_x_forwarded_for - $remote_user [$time_local] '
                                     '"$request" $status $body_bytes_sent '
                                     '"$http_referer" "$http_user_agent"';

    access_log /var/log/nginx/access.log combined_with_real_ip;
}

四、递归模式与安全性考量

当real_ip_recursive on;启用时，Nginx会从X-Forwarded-For列表末尾开始，逐个跳过匹配set_real_ip_from的IP，取第一个不匹配的作为真实IP。此机制可防止伪造攻击。

例如，若请求头为：
X-Forwarded-For: 1.1.1.1, 2.2.2.2, 3.3.3.3
而CDN节点IP为3.3.3.3且在set_real_ip_from中定义，则Nginx将取2.2.2.2作为真实IP——前提是递归开启。

重要安全建议：

• 严格限定set_real_ip_from范围，仅允许CDN提供商公布的IP段
• 避免使用real_ip_header X-Forwarded-For在非代理环境，以防IP伪造
• 定期更新CDN IP列表，可通过自动化脚本拉取厂商公布的CIDR块

五、不同CDN厂商适配策略

各CDN服务商使用的头部略有差异，需针对性调整：

CDN厂商	推荐Header	是否需要递归	备注
阿里云CDN	X-Forwarded-For	是	支持多级代理链
Tencent Cloud CDN	X-Real-IP	否	直接传递原始IP
Cloudflare	CF-Connecting-IP	否	无需解析列表
AWS CloudFront	X-Forwarded-For	是	首项为真实IP
Akamai	True-Client-IP	否	需开通高级功能

六、验证与调试流程图

部署完成后，应通过系统化方法验证配置有效性：

graph TD
            A[发起测试请求] --> B{CDN是否命中?}
            B -- 是 --> C[检查回源请求Headers]
            B -- 否 --> D[绕过CDN直连测试]
            C --> E[确认X-Forwarded-For是否存在]
            E --> F[Nginx日志中$remote_addr是否为真实IP]
            F --> G{是否一致?}
            G -- 是 --> H[配置成功]
            G -- 否 --> I[检查real_ip模块加载状态]
            I --> J[验证set_real_ip_from网段准确性]
            J --> K[排查防火墙/NAT影响]

七、进阶实践：动态IP段管理与日志增强

对于大规模部署，建议实现CDN IP段的自动同步机制。可通过如下方式：

• 调用CDN厂商API获取最新出口IP列表
• 生成Nginx include文件并热重载配置
• 结合Prometheus+Alertmanager监控IP变更告警

同时，可在日志格式中同时保留原始IP与解析后IP以便审计：

log_format debug_real_ip '$remote_addr <- $http_x_forwarded_for | $request | $status';
access_log /var/log/nginx/debug.log debug_real_ip;

此举有助于在故障排查时快速定位是否为头部解析异常。