Cloudfalre大问题:

wawos

没有找到可以添加自定义Http头的地方,

导致网站不能100%可信的获取访问者真实IP,

导致网站的基于IP判断的所有安全规则全部无效

mylove1

不是都在nginx配置么

puper

你需要信任cf的ip段

2019年

1. 可以设置，让你识别到真实的ip
2. 也可以cf里配ip规则啊

wawos

本帖最后由 wawos 于 2024-12-24 14:59 编辑

mylove1 发表于 2024-12-24 14:41

不是都在nginx配置么

首先这个X-FORWARDED-FOR别人访问者是可以随意自定义,

通过CF设置的X-FORWARDED-FOR这个确实可以获取到访问者IP,


但是网站是别人既可以通过Cloudfalre来访问, 也可以不通过CF直接来访问的


如果不是通过CF来访问的, 就只能以它的Remote-Addr来作为真实IP,

会遇到的情况是: 一个访问者带有X-FORWARDED-FOR头IP, 你怎么确定它真的是通过CF来访问的呢?
                        j既然不能确定, 那取哪个作为它的真实IP呢?

Kvm

real ip 设定cf 的 ip 段

你挂个 phpinfo 看 变量不就一目了然了

wawos

2019年 发表于 2024-12-24 14:43

1. 可以设置，让你识别到真实的ip
2. 也可以cf里配ip规则啊

具体设置在CF哪里呢,

之前用过阿里云的CDN, 可以自定义一个http头, 比如加一个名字是: aaabbb (这个名称外人是不知道的),
当源网站发现当前访问有这个 aaabbb 的http头时, 就能确定它是通过CDN来访问的,
就才能取X-FORWARDED-FOR最后一个作为它的真实IP

allnetstore

居然开放非CF的入站，那还用CF干啥呢

wawos

Kvm 发表于 2024-12-24 14:50

real ip 设定cf 的 ip 段

你挂个 phpinfo 看 变量不就一目了然了

那不通过CF来访问, 比如机器人, 它故意也给自己设一个 real-ip, 这种http头是想设多少都行的,

是没法判断的


看我 7楼回复: 阿里云可以自定义设置http, 这个才能做到判断

wawos

allnetstore 发表于 2024-12-24 14:54

居然开放非CF的入站，那还用CF干啥呢

用的美西联通4837中国优化网络, 但是4837对移动不行,

CF对移动用户好, 域名解析对移动用户到CF的节点IP

就是这样咯,  然后问题产生, 没法可信的取用户真实IP, 阿里云就不存在这个问题