Forwarded Headerとは

Forwardedは、Proxyが元の接続情報を後段へ伝えるために標準化されたHTTPヘッダーです。for、by、host、protoなどの要素を持てます。

何が分かるのか

構成によっては、Proxyへ接続したクライアントの候補IP、利用されたProtocol、元のHostなどを読み取れます。複数の中継を通ると複数要素が並ぶ場合があります。

NetKarteでの見方

HTTP情報カードの「転送ヘッダー」でForwarded行を読みます。入力は不要です。IPに採用されたかを知るには、ネットワーク診断上部IPカードの「取得元」とIPアドレスを照合します。IP判定では管理下リバースプロキシから届いたことを信頼境界として扱い、単に値が存在するだけでは無条件に信用しません。

誤解されやすい点

Forwardedは利用者自身も送信できるため、信頼できるProxyが上書き・検証していない値は真正性を保証しません。値がないことも、Proxyを一切利用していない証明にはなりません。

区切りとパラメーターを読む

次は説明用の例です。

for=192.0.2.20;proto=https;host=example.com, for=198.51.100.8

セミコロンは同じ中継情報内の項目、カンマは中継情報の区切りです。for はその段階の接続元、by は中継側、proto は元の方式、host は元の要求先を示します。IPv6では引用符や角括弧を使う場合があり、文字列を単純にコロンで切ると誤読します。

NetKarteの採用値と見比べる

転送ヘッダーの表示と、接続元IPとしての採用は別です。現在のNetKarteは、転送情報を信頼する設定のときにForwarded内の有効なIP候補を他の候補より先に調べます。Protocol表示は別途X-Forwarded-Protoを参照するため、Forwardedのprotoが必ず採用されるわけではありません。

この例から実在の通信経路を推測することはできません。管理者が調査する場合は、各中継がどの値を削除・上書き・追加するかを確認し、表示文字列だけで認証やアクセス制御を決めないでください。