Cloudflare 获取客户端 IP 的正确姿势是什么

This topic created in 1169 days ago, the information mentioned may be changed or developed.

CF 设置:
安全等级低
DDOS 设置阻止中
WAF 威胁分数小于 1 and 验证客户端证书允许
速率限制 / 阻止 10 秒钟 100 次请求
网络 Pseudo IPv4 覆盖

Nginx 设置：
set_real_ip_from 0.0.0.0/0;
proxy_set_header Host $host;
real_ip_header CF-Connecting-IP;

在客户端引用了个外部获取 IP 的链接和服务器获取的 IP 记录日志做对比，
好多 IP 都不一致。去查 IP 所在地显示的是保留地址。

例如：

```
183.***.78.238 183.***.78.238 正确
39.***.59.121 245.***.112.100 不正确
14.***.210.68 243.120.78.159 不正确
```

正确

客户端

host

获取

4 replies • 2023-03-05 19:30:09 +08:00

lslqtz

Mar 5, 2023

```
if (!empty($_SERVER['HTTP_CF_CONNECTING_IP'])) {
$clientIP = $_SERVER['HTTP_CF_CONNECTING_IP'];
} else if (!empty($_SERVER['HTTP_X_FORWARDED_FOR'])) {
// Amazon CloudFront
#$clientIP = explode(',', $_SERVER['HTTP_X_FORWARDED_FOR'])[0];
// Cloudflare
/*
$clientIPList = explode(',', $_SERVER['HTTP_X_FORWARDED_FOR']); // 临时使用, 其它代理 IP 不应纳入列表.
$clientIP = $clientIPList[((count($clientIPList) > 1) ? 1 : 0)];
*/
$clientIP = explode(',', $_SERVER['HTTP_X_FORWARDED_FOR'])[0];
} else if (!empty($_SERVER['HTTP_CLIENT_IP'])) {
$clientIP = explode(',', $_SERVER['HTTP_CLIENT_IP'])[0];
} else {
$clientIP = $_SERVER['REMOTE_ADDR'];
}
```
这边自己在程序里直接用的...

lslqtz

Mar 5, 2023

你这个应该是因为 Pseudo IPv4 吧.
https://developers.cloudflare.com/support/network/understanding-and-configuring-cloudflares-ipv6-support/
看看这个.

tmkook

PRO

Mar 5, 2023 via iPhone

@lslqtz 谢谢，取消 pseudo 然后关闭 ipv6 是吗？我试试

yumusb

Mar 5, 2023 via Android

不要设置 0.0.0.0/0