IPアドレスの取得元とは

リバースプロキシの背後にあるApplication Serverは、TCP接続元としてProxyのアドレスしか見えないことがあります。そのため、管理下のProxyは元の接続情報をForwarded、X-Forwarded-For、X-Real-IPなどのHeaderで引き渡します。

NetKarteでの見方

ネットワーク診断上部のIPカードで「取得元」を読み、HTTP情報カードの「転送ヘッダー」にある同名の行と照合します。診断画面を開くと自動で表示されるため、IPやヘッダーを入力する必要はありません。ここで比較するのは、受信した生のヘッダーと、表示IPに採用された取得元です。

NetKarteはTRUST_PROXY_HEADERS=trueの信頼設定がある場合に限り、Forwarded、X-Forwarded-For、X-Real-IPの順で有効なIP候補を探します。「取得元」は、上部に表示したIPをどのHeaderから採用したかを示します。

値の読み方

X-Forwarded-Forと表示されれば、そのHeaderの先頭から取得できたIP候補が表示IPです。Forwardedなら標準Headerのforパラメータを利用しています。これはIPの由来を説明する情報であり、Proxyの種類や安全性を判定するものではありません。

注意点

Forwarding Headerは外部から偽装できます。NetKarteの設計は、Internetから来た値を管理下Proxyが適切に削除・上書きする信頼境界を前提とします。一般のHeader値を無条件に「本当のIP」とみなしてはいけません。

ヘッダーが複数ある場合

説明用の例として、Forwardedに有効なIPがあり、X-Forwarded-Forに別のIPがあるとします。現在のNetKarteはForwardedを優先するため、後者が画面に表示されていても上部のIPへ採用されるとは限りません。

まず上部の取得元を読み、次にHTTP情報の同名ヘッダーを照合してください。信頼設定が無効、または利用できる候補がなければIPは取得不可になります。これは回線が切れたという判定ではありません。サーバー管理者は、外部からヘッダーを持ち込めない設定と中継経路を確認します。一般利用者がブラウザーへヘッダーを追加して直す項目ではありません。