XFF

3. 사용

X-Forwarded-For 헤더는 HTTP 프록시 서버가 요청을 전달할 때 추가되거나 수정된다. 서버는 클라이언트의 주소를 기존 X-Forwarded-For 헤더에 쉼표로 구분하여 추가하거나, 클라이언트 주소를 값으로 하는 새로운 X-Forwarded-For 헤더를 생성한다.

X-Forwarded-For 필드는 위조하기 쉽기 때문에 제공된 정보를 주의해서 사용해야 한다. 가장 오른쪽에 있는 IP 주소는 항상 마지막 프록시에 연결하는 IP 주소이므로 가장 신뢰할 수 있는 정보 출처이다. X-Forwarded-For 데이터는 순방향 또는 역방향 프록시 시나리오에서 사용할 수 있다. 서버가 신뢰할 수 있는 리버스 프록시 뒤에 있고 해당 프록시에서만 연결을 허용하는 경우, 헤더 값은 일반적으로 신뢰할 수 있다고 간주할 수 있다.

단순히 X-Forwarded-For 필드를 로깅하는 것만으로는 항상 충분하지 않다. 체인에서 마지막 프록시 IP 주소는 X-Forwarded-For 필드 내에 포함되지 않고 실제 IP 헤더에 있기 때문이다. 웹 서버는 완전성을 위해 요청의 소스 IP 주소와 X-Forwarded-For 필드 정보를 모두 로깅해야 한다.

4. 대안

2014년을 기준으로 IETF RFC 7239는 XFF에 비해 더 많은 기능을 제공하는 `Forwarded` HTTP 헤더를 표준화하였다.^[36] `Forwarded` 헤더의 문법 예시는 다음과 같다.

Forwarded: for=192.0.2.60;proto=http;by=203.0.113.43

HAProxy는 "XFF"의 대안으로 PROXY 프로토콜을 도입하였는데, 이는 래퍼 PROXY 프로토콜 파싱에 더 효율적이다.^[37] 이 프로토콜은 여러 전송 프로토콜에 사용 가능하며 내부 프로토콜 점검이 필요하지 않아 HTTP에 국한되지 않는다. RFC 7239는 `X-Forwarded-For` HTTP 헤더와 유사한 목적을 가지면서 더 많은 기능을 가진 `Forwarded` HTTP 헤더를 표준화했다.^[4] `Forwarded` 헤더의 구문 예시는 다음과 같다.

Forwarded: for=192.0.2.60;proto=http;by=203.0.113.43

Forwarded: for="[2001:db8::1234]"

HAProxy는 `X-Forwarded-For` 또는 `Forwarded` 헤더를 사용하지 않고 발신 클라이언트의 IP 주소를 전달할 수 있는 PROXY 프로토콜을 정의한다.^[5] 이 프로토콜은 HTTP뿐만 아니라 여러 전송 프로토콜에서 사용할 수 있으며, 내부 프로토콜을 검사할 필요가 없다.

5. 지원 제품

X-Forwarded-For 필드는 다양한 프록시 서버, 캐시 엔진, 웹 서버 및 로드 밸런서에서 지원된다.

대부분의 웹 서버는 로그 파일에 X-Forwarded-For 필드에 포함된 IP 주소를 기록하도록 설정할 수 있다.

5. 1. 프록시 서버 및 캐시 엔진

5. 2. 로드 밸런서

• "Zeus Traffic Manager"와 "Zeus Load Balancer"는 X-Forwarded-For 필드를 지원한다.
• Radware의 로드 밸런서는 One-armed router|원암 라우터^영어[22]와 multi-armed 설정을 위한 X-Forwarded-For를 지원한다.
• 시트릭스 시스템즈의 "NetScaler"는 클라이언트의 IP 주소를 클라이언트의 연결 요청에 삽입하기 위해 X-Forwarded-For를 비롯한 사용자 정의 필드를 지원한다.^[23]
• "Cisco Ace Load Balancing Modules"는 송신원 네트워크 주소 변환(source NAT, SNAT)을 실행하기 위해 로드 밸런서를 설정할 때나, 로드 밸런서의 one-armed 설정을 유효하게 한 경우, 이 필드를 삽입할 수 있다. 일반적으로 그것으로 충분하지만, 한편, 클라이언트의 송신원 IP 주소를 위해 실체 서버가 이용할 수 있는 구조를 이 제품은 제공한다. 제품 매뉴얼에는 "x-forward"라고 기술되어 있지만, 이것은 X-Forwarded-For의 대체라고 추정된다.^[24]
• CAI Networks의 로드 밸런서는 one-armed single network 설정을 위한 X-Forwarded-For를 지원한다.
• F5 네트웍스의 로드 밸런서는 one-armed와 multi-armed 설정을 위한 X-Forwarded-For를 지원한다.^[25]
• jetNEXUS의 로드 밸런서는 one-armed와 multi-armed 설정을 위한 X-Forwarded-For를 지원한다.
• KEMP Technologies|KEMP Technologies^영어 "LoadMaster"는 one-armed와 multi-armed 설정 모두에서 비투과적 부하 분산 처리를 위해 X-Forwarded-For를 지원한다.^[26]
• Coyote Point Systems|Coyote Point Systems^영어 "Equalizer"는 one-armed와 multi-armed 설정 모두에서 부하 분산 처리를 위해 X-Forwarded-For 필드를 지원한다.^[27]
• HAProxy는 one-armed와 multi-armed 설정 모두에서 비투과적 또는 투과적 부하 분산 처리를 위해 X-Forwarded-For를 지원한다.
• OpenBSD "relays"는 이 필드를 삽입하거나 개변할 수 있다.^[28]
• 아마존의 Elastic Load Balancing 서비스는 IPv4, IPv6 모두에서 이 필드를 지원한다.^[29]
• "LBL LoadBalancer"는 one-armed와 multi-armed 설정을 위해 X-Forwarded-For를 지원한다.

5. 3. 웹 서버

6. 한국 인터넷 환경에서의 활용 및 고려사항

(이전 출력이 비어있으므로, 수정할 내용이 없습니다. 원본 소스(`source`)가 제공되어야 'XFF' 문서의 '한국 인터넷 환경에서의 활용 및 고려사항' 섹션 내용을 작성하고, 그 내용을 바탕으로 수정 작업을 진행할 수 있습니다.)

참조

_[1] 웹사이트 Overview of parsed mail headers http://mailheader.ma[...] 2014-05-05
_[2] 웹사이트 squid : follow_x_forwarded_for configuration directive http://www.squid-cac[...] 2017-11-12
_[3] 웹사이트 X-Forwarded-For https://developer.mo[...] 2020-11-06
_[4] IETF Forwarded HTTP Extension IETF 2014-06
_[5] 문서 Willy Tarreau: The PROXY protocol http://haproxy.1wt.e[...] 2012-12-24
_[6] 웹사이트 X-Forwarded-For Spoofer https://addons.mozil[...] addons.mozilla.org 2011-07-08
_[7] 문서 Squid configuration directive forwarded_for http://www.squid-cac[...]
_[8] 문서 SquidFaq/ConfiguringSquid http://wiki.squid-ca[...]
_[9] 문서 mod_proxy http://httpd.apache.[...]
_[10] 문서 リバース・プロキシーとしての IHS の構成 http://publib.boulde[...]
_[11] 문서 Pound proxy http://www.apsis.ch/[...]
_[12] 문서 HAProxy 設定マニュアル http://haproxy.1wt.e[...]
_[13] 문서 Varnish FAQ https://varnish-cach[...]
_[14] 문서 IronPort Web Security Appliances http://www.cisco.com[...]
_[15] 문서 Apache または PHP で "X-Forwarded-For" を使用する http://devcentral.f5[...]
_[16] 문서 Bluecoat Knowledge Base Article 2996 https://kb.bluecoat.[...]
_[17] 문서 Cisco Cache Engine ユーザガイド Version 2.1.0 - Appendix A: Command Reference - グローバル設定コマンド - "http" http://www.cisco.com[...]
_[18] 문서 Web キャッシュを調節 - NetApp NetCache C720 http://www.isp-plane[...]
_[19] 문서 TMG, ISA サーバと IIS 向け X-Forwarded-For http://www.winfrasof[...]
_[20] 문서 TMG2010 向け X-Forwarded-For フリー・ウェブフィルター http://itboard.ro/bl[...]
_[21] 문서 IIS7 向け X-Forwarded-For HTTP Module, ソースも提供! http://devcentral.f5[...]
_[22] 문서 VLAN間でのルーティングに利用されるルーターの設定
_[23] 문서 Citrix NetScaler Traffic Management Guide - Release 9.1 http://support.citri[...]
_[24] 문서 Cisco ACE with Source NAT and Client IP Header http://www.cisco.com[...]
_[25] 문서 Using the X-Forwarded-For HTTP header field to preserve the original client IP address for traffic translated by a SNAT http://support.f5.co[...]
_[26] 문서 LoadMaster Product Manual http://www.kemptechn[...]
_[27] 문서 Equalizer User Guide http://www.coyotepoi[...]
_[28] 문서 relayd.conf manual page http://www.openbsd.o[...]
_[29] 문서 Using IPv6 with Elastic Load Balancing http://docs.amazonwe[...]
_[30] 웹사이트 Extended X-Forwarded-For Logging with Apache http://www.gadgettra[...] www.gadgettrail.com 2005-01-11
_[31] 문서 LogFormat
_[32] 문서 "X-Forwarded-For"ヘッダー情報をIHSアクセス・ログに記録する方法 (NTWK-09-036) http://www-06.ibm.co[...]
_[33] 문서 Winfrasoft X-Forwarded-For for IIS http://www.winfrasof[...]
_[34] 문서 Client-ip not logged on application server when using ARR http://blogs.iis.net[...]
_[35] 웹인용 squid : follow_x_forwarded_for configuration directive http://www.squid-cac[...] 2017-11-12
_[36] 웹인용 RFC 7239 - Forwarded HTTP Extension https://tools.ietf.o[...] 2015-05-08
_[37] 문서 Willy Tarreau: The PROXY protocol http://haproxy.1wt.e[...] haproxy.1wt.eu 2012-12-24