

## 目次

1. はじめに

2. X-Forwarded-Forヘッダーとは

3. クライアントIP取得の課題

4. X-Forwarded-For設定方法

5. アプリケーションでのX-Forwarded-Forの活用

6. セキュリティ考慮

7. まとめ

## 1. はじめに

WebアプリケーションをLoad Balancer（LB）を介してデプロイする際、クライアントのIPアドレスがサーバー上で取得できない問題が生じることがあります。この問題は通常、リバースプロキシやロードバランサーがクライアントとの初期接続をハンドルし、リクエストをバックエンドサーバーに転送するために起こります。

## 2. X-Forwarded-Forヘッダーとは

X-Forwarded-For（XFF）ヘッダーは、クライアントの実際のIPアドレスをバックエンドサーバーに伝達するために使用されるHTTPヘッダーです。LBがクライアントからリクエストを受け取ると、元のクライアントIPをX-Forwarded-Forヘッダーに追加し、リクエストをバックエンドサーバーに転送します。

## 3. クライアントIP取得の課題

多くのシステムでは、リクエストの送信元IPアドレスをログに記録し、分析やセキュリティ上の理由で利用します。しかし、LBを介すとバックエンドサーバーはリバースプロキシのIPしか認識せず、実際のクライアントIPを取得できません。この問題を解決するためにXFFヘッダーが役立ちます。

## 4. X-Forwarded-For設定方法

X-Forwarded-Forを有効化するための設定手順は、使用するロードバランサーやWebサーバーによって異なります。

### 4.1 Nginxでの設定

![img](/mosaic-code.jpg)

### 4.2 Apacheでの設定

![img](/mosaic-code.jpg)

これにより、XFFヘッダーに基づいてクライアントのIPアドレスがログに記録されます。

## 5. アプリケーションでのX-Forwarded-Forの活用

多くのWebアプリケーションフレームワーク（Django, Flask, Expressなど）は、標準でXFFヘッダーをサポートしており、以下のように簡単に設定できます。

### Django設定例

![img](/mosaic-code.jpg)

### Express設定例

![img](/mosaic-code.jpg)

## 6. セキュリティ考慮

X-Forwarded-Forヘッダーは簡単に偽造される可能性があるため、セキュリティを強化するために以下の点に注意してください：

- リバースプロキシのIPレンジのみからのXFFを信頼する

- 信頼できないXFFヘッダーをクリアする

- IP検証機構やIP制限を適用する場合は、必ずセキュリティ対策を講じる

## 7. まとめ

X-Forwarded-Forヘッダーは、ロードバランサーを経由する際にクライアントのIPアドレスを正しく取得するために非常に重要です。適切な設定を行うことで、ネットワーク構成が複雑でも信頼性の高いログを取得できるようになります。しかし、ヘッダー情報が簡単に偽装される可能性があるため、セキュリティにも十分注意を払う必要があります。適切な設定とセキュリティ対策を組み合わせることで、安全かつ効率的なシステム運用が可能になります。



## 目次

1. はじめに

2. X-Forwarded-Forヘッダーとは

3. クライアントIP取得の課題

4. X-Forwarded-For設定方法

5. アプリケーションでのX-Forwarded-Forの活用

6. セキュリティ考慮

7. まとめ

## 1. はじめに

WebアプリケーションをLoad Balancer（LB）を介してデプロイする際、クライアントのIPアドレスがサーバー上で取得できない問題が生じることがあります。この問題は通常、リバースプロキシやロードバランサーがクライアントとの初期接続をハンドルし、リクエストをバックエンドサーバーに転送するために起こります。

## 2. X-Forwarded-Forヘッダーとは

X-Forwarded-For（XFF）ヘッダーは、クライアントの実際のIPアドレスをバックエンドサーバーに伝達するために使用されるHTTPヘッダーです。LBがクライアントからリクエストを受け取ると、元のクライアントIPをX-Forwarded-Forヘッダーに追加し、リクエストをバックエンドサーバーに転送します。

## 3. クライアントIP取得の課題

多くのシステムでは、リクエストの送信元IPアドレスをログに記録し、分析やセキュリティ上の理由で利用します。しかし、LBを介すとバックエンドサーバーはリバースプロキシのIPしか認識せず、実際のクライアントIPを取得できません。この問題を解決するためにXFFヘッダーが役立ちます。

## 4. X-Forwarded-For設定方法

X-Forwarded-Forを有効化するための設定手順は、使用するロードバランサーやWebサーバーによって異なります。

### 4.1 Nginxでの設定

```nginx

http {

    ...

    set_real_ip_from 192.168.0.0/24;  # ロードバランサーのIPアドレスレンジ

    real_ip_header X-Forwarded-For;

    ...

}

```

### 4.2 Apacheでの設定

```apache

LoadModule remoteip_module modules/mod_remoteip.so

RemoteIPHeader X-Forwarded-For

RemoteIPInternalProxy 192.168.0.0/24

```

これにより、XFFヘッダーに基づいてクライアントのIPアドレスがログに記録されます。

## 5. アプリケーションでのX-Forwarded-Forの活用

多くのWebアプリケーションフレームワーク（Django, Flask, Expressなど）は、標準でXFFヘッダーをサポートしており、以下のように簡単に設定できます。

### Django設定例

```python

# settings.py

USE_X_FORWARDED_HOST = True

```

### Express設定例

```javascript

// app.js

app.set('trust proxy', true);

```

## 6. セキュリティ考慮

X-Forwarded-Forヘッダーは簡単に偽造される可能性があるため、セキュリティを強化するために以下の点に注意してください：

- リバースプロキシのIPレンジのみからのXFFを信頼する

- 信頼できないXFFヘッダーをクリアする

- IP検証機構やIP制限を適用する場合は、必ずセキュリティ対策を講じる

## 7. まとめ

X-Forwarded-Forヘッダーは、ロードバランサーを経由する際にクライアントのIPアドレスを正しく取得するために非常に重要です。適切な設定を行うことで、ネットワーク構成が複雑でも信頼性の高いログを取得できるようになります。しかし、ヘッダー情報が簡単に偽装される可能性があるため、セキュリティにも十分注意を払う必要があります。適切な設定とセキュリティ対策を組み合わせることで、安全かつ効率的なシステム運用が可能になります。

目次

1. はじめに

続きを読むには単価診断を受けてください（30秒）