网站启用 CDN 后 Nginx 获取访客真实 IP 设置教程

网站启用 CDN 后 Nginx 日志里的访客 IP 会变成 CDN 的，需要借助 http_realip_module 这个模块，通过 HTTP 标头里的 X_FORWARDED_FOR 字段获取访客真实 IP。本文主要介绍使用腾讯云CDN后如何获取Nginx服务的真实IP地址，以下是具体配置方法。

Nginx服务使用阿里云CDN后，用户访问的IP地址不真实，怎样获取真实的IP地址。在Nginx服务的配置文件内location配置项添加如下内容，就可以获取到Nginx服务的真实IP地址。

检查 http_realip_module 是否已安装

nginx -V 2>&1 | tr ' ' '/n' | grep 'http_realip_module'

如果有输出结果就表示已安装。通常这个模块作为内置模块安装。

创建 CDN IP 列表配置文件

手动创建方法

vi /etc/nginx/conf.d/http_realip.conf

内容如下。

set_real_ip_from  173.245.48.0/20;
...
set_real_ip_from  2400:cb00::/32;
real_ip_header    X-Forwarded-For;
real_ip_recursive on;

参数说明：

• set_real_ip_from ：可信 CDN 来源 IP。如果有多个，则多行添加；
• real_ip_header ：带有访客 IP 信息的 Header 字段名称；
• real_ip_recursive ：排除已配置的 CDN IP（即其它 IP 认为访客 IP）；

编辑 /etc/nginx/nginx.conf 配置文件，在 http{...} 中加入引用参数。

注：通过 DNF 或 YUM 安装的 Nginx，可跳过这个步骤，因为 Nginx 配置文件已设置默认引用 /etc/nginx/conf.d 目录下的 *.conf 文件。

include /etc/nginx/conf.d/http_realip.conf;

之后刷新 Nginx 服务生效。

nginx -s reload

自动创建方法

为避免 CDN IP 变化后需要手动更新的麻烦，可以使用 Shell 脚本自动生成配置文件，并设置定时更新。

1. 创建 Shell 脚本

vi /etc/nginx/conf.d/http_realip.sh

2. Shell 脚本内容（CloudFlare 版）

#!/usr/bin/env bash

echo "# Restoring original visitor IPs" > /etc/nginx/conf.d/http_realip.conf;
for i in `curl https://www.cloudflare.com/ips-v4`; do
    echo "set_real_ip_from  $i;" >> /etc/nginx/conf.d/http_realip.conf;
done
for i in `curl https://www.cloudflare.com/ips-v6`; do
    echo "set_real_ip_from  $i;" >> /etc/nginx/conf.d/http_realip.conf;
done
echo "real_ip_header    X-Forwarded-For;" >> /etc/nginx/conf.d/http_realip.conf;
echo "real_ip_recursive on;" >> /etc/nginx/conf.d/http_realip.conf;
nginx -s reload

3. 赋予可执行权限

chmod +x /etc/nginx/conf.d/http_realip.sh

4. 使用 crontab -e 命令添加定时任务，内容如下（每月 1 号凌晨 5 点 30 运行更新）

30 5 1 * * /etc/nginx/conf.d/http_realip.sh 2>&1 > /dev/null

5. 编辑 /etc/nginx/nginx.conf 配置文件，在 http{...} 中加入引用参数。

注：通过 DNF 或 YUM 安装的 Nginx，可跳过这个步骤，因为 Nginx 配置文件已设置默认引用 /etc/nginx/conf.d 目录下的 *.conf 文件。

include /etc/nginx/conf.d/http_realip.conf;

6. 手动运行一次脚本，以生成配置文件，并刷新 Nginx 服务生效。

/etc/nginx/conf.d/http_realip.sh

刷新网站检查访客 IP 是否获取正常

刷新网站，查看访问日志里的 IP 是否是访客 IP（具体日志文件路径见站点配置文件）。

tail /var/www/log/example.com.access.log