关于 nginx 四层转发问题求助

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

For Existing Member Sign In

Distributions

Ubuntu

Fedora

CentOS

中文资源站

网易开源镜像站

This topic created in 1264 days ago, the information mentioned may be changed or developed.

各位 v 友们好，因为是 4 层的转发需求，我想实现的目标是转发机器能把客户连过的 IP 传递到后端 windows 服务器上
看了下 iptables , rinetd 都均不能实现这种目的然后网上搜了 nginx 好像可以转发把真实客户 IP 传过去后端机器

nginx/1.22.1
编译安装参数如下
./configure --with-stream --with-stream_realip_module
make && make install
nginx.conf 配置文件如下
worker_processes auto;
events {
worker_connections 1024;
}
stream {
log_format proxy '$remote_addr [$time_local] '
'$protocol $status $bytes_sent $bytes_received '
'$session_time "$upstream_addr" '
'"$upstream_bytes_sent" "$upstream_bytes_received" "$upstream_connect_time"';

upstream backend {
server 192.168.100.10:3389 ; #后端 windows 服务器
}
server {
listen 13389;
proxy_connect_timeout 10s;
proxy_timeout 30s;
proxy_protocol on ; # on 不正常改为 off 就正常
proxy_pass backend;
}
}
proxy_protocol 改为 off 就正常但是开启就不正常端口是通的但是无法远程桌面一直在尝试连接弹不出输入账户密码那一步，但是如果改成 off 的话，windows 服务器看不到真实客户 IP

16 replies 2022-11-15 10:23:43 +08:00

rrfeng

Nov 12, 2022 via Android

listen 后面加 proxy_protocol
这个 on 改成 off 。

cpstar

Nov 12, 2022

你这个带 IP 的需求，基本上就，额，需要看协议。
HTTP 可以带 X-FORWARDED-FOR 塞进 HEADER 里告诉服务器客户的 IP ，但是确实无法修改 IP 包里的源 IP 实现服务器的 IP 认证。同样的，如果 RDP 协议只认 TCP 包里的源 IP 。
然后如果 Proxy_Protocol on 的时候，RDP 服务器拒绝了链接，那只能说，RDP 不支持这个插帧。

https://www.jianshu.com/p/cc8d592582c9

ZeroClover

Nov 12, 2022

RDP 服务端应该不支持 PROXY Protocol ，做 IP Transparent 吧

1260475686

Nov 12, 2022

nginx 四层开了 proxy_protocol 那后端肯定也得支持对 proxy_protocol 的接入呀

ihciah

Nov 12, 2022 via iPhone

转发常见的有 4 层和 7 层，7 层可以用 http 头携带原始请求者 ip ，4 层不太容易，可以用 SO_ORIGINAL_DST 。不过无论是哪种，都需要转发目标服务手动感知原始 ip 。
你这个需求其实是三层转发，只有类似 iptables 这种面向 ip 包的手段能搞，一般都是内核态搞，ng 这种不可能的。
iptables 直接配一个 SNAT+DNAT 应该就 ok 。