0

Установлен docker. Фронт слушает nginx-proxy, который проксирует запросы внутрь на nginx.

Данная конструкция установлена на двух машинах, на одной centos7, там все поднялось и работает.

На второй centos8, сайты работают, запросы проксируются, но передается в запросах ip адрес контейнера nginx-proxy.

Все настройки идентичные.

В логах рабочего nginx-proxy (centos7) виден ip адрес клиента

nginx.1    | site.ru 77.88.5.92 - - [29/Mar/2020:14:21:41 +0000] "GET /264.html HTTP/1.1" 200 10759 "-" "Mozilla/5.0 (compatible; YandexBot/3.0; +http://yandex.com/bots)"
D kj

В логах nginx-proxy (centos8) идет ip контейнера, половина данных нет

nginx.1    | _ 172.18.0.1 - - [29/Mar/2020:14:03:34 +0000] "GET / HTTP/1.1" 400 157 "-" "-"

Контейнер nginx-proxy собирается в docker-compose.yml

version: '3.0'
services:
    proxy:
      image: jwilder/nginx-proxy
      # image: jwilder/nginx-proxy:alpine
      restart: always

      ports:
        - 80:80
        - 443:443
      volumes:
        - /var/run/docker.sock:/tmp/docker.sock:ro
        - /home/adkondrdo8/docker_site/disshelp.com/docker/nginx/ssl:/etc/nginx/certs
      networks:
        - proxy

    whoami:
      image: jwilder/whoami
      restart: always
      environment:
        - VIRTUAL_HOST=whoami.local
networks:   
  proxy:
    # driver: bridge

На бекэнде в настойках виртуального хоста в разделе server:

set_real_ip_from 172.18.0.0/24;
set_real_ip_from 172.18.0.1;
set_real_ip_from 172.18.0.2;
real_ip_header X-Real-IP;

В centos8 есть особенность в новой подсистеме брандмауэра - nftables, а Docker поддерживает только iptables, может быть в этом загвоздка, при установке не подымался DNS в контейнерах, было решено добавлением правила маскарада

firewall-cmd --zone=public --add-masquerade --permanent

Проверка наличия модуля http_realip_module показывает его присутствие

2>&1 nginx -V | tr -- - '\n' | grep --color realip_module

http_realip_module
stream_realip_module
4
  • Достаточно очевидно ожидать на конечном nginx ip адрес интерфейса nginx-proxy смотрящего в его сторону. Так работает сеть и по другому работать не будет. Я крайне не уверен что вы сможете добится на конечном прокси адресов клиентов, однако вы можете оригинальные адреса запросов передавать в соответсвующих заголовках и уже плясать с этой точки отчета. Вот например easyengine.io/tutorials/nginx/forwarding-visitors-real-ip
    – zalex
    Commented 29 мар. 2020 в 18:42
  • К сожалению не работает, на бекэнде именно так и было настроено set_real_ip_from 172.18.0.0/24; set_real_ip_from 172.18.0.1; set_real_ip_from 172.18.0.2; real_ip_header X-Real-IP; все равно определяется ip контейнера
    – Adkondr
    Commented 30 мар. 2020 в 8:57
  • 1
    По умолчанию этот модуль не собирается, его сборку необходимо разрешить с помощью конфигурационного параметра --with-http_realip_module. Я не специалист в nginx однако я предполагаю что на "первом" nginx у вас нет заголовка X-Real-IP из которого и будет собственно говоря браться реальный ip. Я не думаю что он туда попадает автоматически. Т.е. по сути нужно в конфиге первого nginx попробовать сделать вот такое "proxy_set_header X-Real-IP $remote_addr;" тем самым добавив заголовок в запрос и не забудьте убедиться что данный заголовок в итоге приходит на "второй" nginx.
    – zalex
    Commented 30 мар. 2020 в 11:29
  • В первом нжинксе пробрасываются настройки прокси /etc/nginx/proxy.conf , не работает # HTTP 1.1 support proxy_http_version 1.1; proxy_buffering off; proxy_set_header Host $host; proxy_set_header Upgrade $http_upgrade; proxy_set_header Connection $proxy_connection; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $remote_addr; proxy_set_header X-Forwarded-Host $remote_addr; proxy_set_header X-Forwarded-Proto $proxy_x_forwarded_proto; proxy_set_header X-Forwarded-Ssl $proxy_x_forwarded_ssl; proxy_set_header X-Forwarded-Port $proxy_x_forwarded_port;
    – Adkondr
    Commented 30 мар. 2020 в 17:11

1 ответ 1

0

Проблема решена, проблема была в том что сложности работы docker на centos8 ввиду замены iptables, c которой работает docker на nftables. Помогло отключение firewalld c перезагрузкой. Сейчас видимо придется переходит на nftables

1
  • Третий день борюсь с этим netfilter, никак не хочет заголовки пропускать, без разницы через что настраивать, пробовал и firewalld и iptables и netfilter. Все равно где то режутся заголовки. Причем именно в centos8, все те же конструкции и фильтры успешно работают в cenos7,
    – Adkondr
    Commented 2 апр. 2020 в 6:09

Ваш ответ

Нажимая «Отправить ответ», вы соглашаетесь с условиями пользования и подтверждаете, что прочитали политику конфиденциальности.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.