使用CDN后无法获取用户真实IP，是因为CDN作为反向代理拦截了源站请求，必须通过配置HTTP头（如X-Forwarded-For）或启用CDN厂商提供的特定接口才能还原真实客户端IP。
为什么开启CDN后源站拿不到真实IP
当你的网站接入了内容分发网络（CDN），流量不再直接到达你的源服务器，而是先经过CDN的边缘节点，这就好比快递中转站，包裹先送到最近的驿站，再由驿站配送到你手中，对于源站来说，发起请求的“人”变成了CDN节点，而不是最终的用户，源站日志里记录的IP地址，全是CDN节点的IP，而非用户的真实IP。
业内专家指出,这种架构设计虽然牺牲了直接获取IP的便利性，但换来了更高的安全性和访问速度，CDN隐藏了源站IP，防止了直接针对源站的DDoS攻击，这是现代Web架构的基本共识。
CDN代理机制的工作原理
理解这一过程,需要看清数据流向，用户浏览器发起请求 -> CDN边缘节点接收 -> CDN判断缓存 -> 若未命中，向源站回源 -> 源站返回内容 -> CDN返回给用户，在这个过程中，源站只与CDN节点建立了TCP连接。
HTTP协议中的IP记录限制
在标准的HTTP/1.1协议中，服务器通过TCP连接的远程地址获取客户端IP，由于连接方是CDN节点，所以获取到的自然是节点IP，除非CDN厂商在HTTP头部额外添加信息，否则源站无从得知“幕后”的真实用户是谁。
如何配置以获取用户真实IP地址
解决这个问题的核心思路是：让CDN在转发请求时，把用户的真实IP“塞”进HTTP请求头里，然后让源站程序去读取这个特定的头部字段。
主流CDN厂商的配置方案
不同厂商的操作路径略有差异,但逻辑一致，以下是常见场景下的实操步骤。
- 阿里云CDN：在控制台开启“获取访客真实IP”功能，系统会自动添加X-Forwarded-For头部，源站需配置Nginx或Apache识别该头部。
- 腾讯云CDN：同样在控制台开启“回源HOST”和“获取真实IP”选项，推荐使用X-Real-IP头部，因为X-Forwarded-For可能被伪造。
- Cloudflare：默认开启Proxy模式，源站需信任Cloudflare的IP段，并读取CF-Connecting-IP头部，这是最准确的数据来源。
Web服务器层面的配置技巧
拿到CDN传来的IP头后,还需要在Web服务器层面进行解析，以Nginx为例，这是最常见的配置场景。
Nginx配置真实IP识别
在Nginx配置文件中,你需要告诉Nginx信任哪些上游IP（即CDN节点IP），并指定哪个头部包含真实IP。
- 设置trusted_addresses：将CDN厂商公布的IP段加入信任列表。
- 设置real_ip_header：指定头部名称，通常为X-Forwarded-For或CF-Connecting-IP。
- 设置set_real_ip_from：指定CDN节点的IP地址或网段。
配置完成后,Nginx访问日志中的$remote_addr字段就会显示用户的真实IP，而非CDN节点IP。
获取真实IP的安全风险与应对
虽然获取真实IP对业务分析至关重要,但也带来了新的安全隐患，攻击者可以轻易伪造HTTP头部中的X-Forwarded-For字段。
头部伪造攻击的原理
如果源站盲目信任所有来源的X-Forwarded-For头部，攻击者只需在请求头中手动添加一个伪造的IP，源站就会将其识别为真实客户端IP，这可能导致IP黑名单失效、地理位置定位错误，甚至绕过基于IP的频率限制。
防御伪造IP的最佳实践
业内共识认为,必须建立严格的信任链。
- 只信任CDN节点：在Nginx或Apache中，明确指定只信任CDN厂商的IP段，来自非CDN节点的请求，若包含X-Forwarded-For头部，应视为伪造并丢弃或忽略。
- 使用专用头部：优先使用CDN厂商提供的专用头部，如Cloudflare的CF-Connecting-IP，这些头部由CDN底层生成，难以被客户端伪造。
- 多层验证：对于高安全等级应用，结合TLS客户端证书验证或行为分析，不单纯依赖IP地址进行身份判断。
常见误区与排查指南
很多开发者在配置过程中会遇到“配置了但没生效”的情况，以下是高频问题的排查路径。
日志中依然显示CDN IP
这种情况通常由以下原因导致：
- 配置未重载：修改Nginx配置后，未执行nginx -s reload或systemctl restart nginx。
- 头部名称错误：CDN发送的是X-Real-IP，但Nginx配置读取的是X-Forwarded-For。
- 信任列表缺失：未将CDN IP加入trusted_addresses，Nginx认为该头部不可信，从而忽略它。
获取到的是内网IP
如果获取到的IP是10.x.x.x或192.168.x.x，说明CDN节点与源站之间可能经过了内网代理，或者配置错误导致读取了错误的头部层级，此时应检查CDN控制台是否开启了“内网回源”功能，并确认源站网络架构。
不同场景下的IP获取策略对比
根据业务需求,选择适合的IP获取方式至关重要。
| 场景 | 推荐头部 | 安全性 | 配置难度 |
|---|---|---|---|
| 普通博客/资讯站 | X-Forwarded-For | 中 | 低 |
| 电商/金融应用 | CF-Connecting-IP / X-Real-IP | 高 | 中 |
| 高防DDoS环境 | 专用API接口 | 极高 | 高 |
对于高防DDoS环境,HTTP头部可能被清洗或篡改，此时建议通过CDN厂商提供的API接口，异步查询IP地理位置和信誉度，而非实时依赖HTTP头部。
Q&A：关于CDN真实IP的常见问题
CDN开启后，如何获取用户真实IP地址
需在CDN控制台开启“获取访客真实IP”功能，并在源站Web服务器（如Nginx）中配置信任CDN IP段，读取X-Forwarded-For或专用头部字段，最后重载服务器配置使生效。
为什么配置了CDN真实IP获取功能还是无效
通常是因为源站未将CDN节点IP加入信任列表,或读取的头部名称与CDN发送的不一致，需核对CDN厂商文档中的头部名称，并确保Nginx的set_real_ip_from指令包含了所有CDN出口IP。
使用CDN后获取真实IP是否影响网站安全
若配置不当,攻击者可伪造HTTP头部绕过IP限制，通过仅信任CDN节点IP、使用不可伪造的专用头部（如CF-Connecting-IP）以及结合行为分析，可有效平衡IP获取需求与安全性。
首发原创文章，作者：世雄 - 原生数据库架构专家，如若转载，请注明出处：https://idctop.com/article/356706.html
