IIS7在七层独享型ELB转发下获取客户端真实IP，核心答案是启用ARR模块并配置X-Forwarded-For头传递，配合修改注册表与IIS变量映射即可完成。
为什么七层独享型ELB转发下IIS7拿不到真实IP
先看一个典型场景：你的网站部署在云服务器上，前面挂着一台七层独享型ELB，用户访问时，请求先打到ELB，再由ELB转发到后端IIS7服务器，此时IIS7日志里记录的客户端IP，全部变成了ELB的内网地址，比如10.0.x.x，这种现象在各云厂商的七层负载均衡产品中普遍存在，原因在于ELB作为反向代理,转发请求时会把源IP改写成自己的IP。
想要在iis7配置获取客户端真实ip，必须理解这一层转发机制，七层ELB工作在HTTP/HTTPS协议层，它接收到用户请求后，会与后端服务器建立新的TCP连接，因此后端看到的源IP必然是ELB的地址，ELB会把原始客户端IP写入HTTP头部的X-Forwarded-For字段，我们需要做的,就是让IIS7识别并信任这个头字段。
独享型ELB与共享型负载均衡在IP透传上的差异
很多用户会问：独享型ELB和共享型负载均衡在获取真实IP方面有什么区别？行业共识认为，共享型负载均衡出于性能和资源隔离考虑，往往默认不提供完整的IP透传能力，部分云厂商甚至需要提交工单才能开启，而七层独享型ELB在架构上为每个用户分配独立的实例资源，在X-Forwarded-For头的传递和自定义配置上更加灵活，也更适合对日志分析、风控有较高要求的业务场景。
七层转发与四层转发的本质区别
四层负载均衡直接转发TCP/UDP报文，客户端IP可以原样透传给后端服务器，IIS7不需要额外配置就能拿到真实IP，而七层转发必须经过HTTP协议的重新封装，源IP必然丢失，你会在七层独享型ELB下配置获取客户端真实IP，而四层场景基本不需要操心这个问题，了解这一点,可以帮你快速判断自己到底需不需要做下面这些配置。
IIS7配置获取客户端真实IP的前置条件
动手操作前,先确认三件事：
- 你的ELB确实是七层独享型，且开启了X-Forwarded-For头传递功能（一般默认开启,可在ELB控制台确认）
- IIS7服务器已安装ARR（Application Request Routing）模块，这是微软官方提供的反向代理扩展组件
- 服务器有管理员权限，因为需要修改注册表和IIS配置
多数情况下，云厂商的七层独享型ELB都会在HTTP头中携带X-Forwarded-For，但不同厂商的字段格式可能略有差异，有的还附带X-Forwarded-Proto等额外信息，建议先用浏览器开发者工具或curl命令确认一下ELB实际转发过来的头信息,再继续配置。
iis7配置获取客户端真实IP的具体操作步骤
下面这套配置基于IIS7.5和Windows Server 2008 R2环境,其他版本的操作路径大同小异。
第一步：安装ARR模块
ARR模块是IIS7获取X-Forwarded-For的关键前置组件，微软官方提供了Web Platform Installer,也可以通过IIS管理器直接安装。
- 打开IIS管理器，单击根节点
- 在“管理”区域双击“Web Platform Installer”
- 搜索“Application Request Routing”，点击安装
- 安装完成后重启IIS管理器
业内专家指出，ARR模块本身是URL重写工具的扩展，它负责把X-Forwarded-For头信息转换为服务器变量，供IIS日志和应用程序调用，没有安装ARR,后面所有配置都无法生效。
第二步：修改注册表启用X-Forwarded-For支持
这一步是让IIS7的日志记录功能识别X-Forwarded-For头，打开注册表编辑器（regedit）,找到以下路径：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\HTTP\Parameters在右侧新建一个DWORD（32位）值，命名为EnableXffLogging，把数值数据改为1，然后重启HTTP服务,重启命令需要管理员权限执行：
net stop http
net start http
net start w3svc需要注意的是，重启HTTP服务会短暂中断站点访问，建议在业务低峰期操作，如果服务器上跑了多个站点，这个注册表设置对所有站点生效,属于全局配置。
第三步：配置ARR的serverVariables映射
打开IIS管理器,依次进行以下操作：
- 在左侧连接树中选中服务器根节点
- 双击“Application Request Routing Cache”
- 在右侧操作面板点击“Server Proxy Settings”
- 勾选“Enable proxy”，并确认“Preserve client IP”复选框已勾选
- 点击“应用”保存
接下来配置URL Rewrite规则，把X-Forwarded-For头映射到服务器变量：
- 进入站点层级，双击“URL Rewrite”
- 点击“View Server Variables”
- 点击“Add”，添加变量名HTTP_X_FORWARDED_FOR
- 回到URL Rewrite主界面，点击“Add Rule(s)”，选择“Blank Rule”
- 规则名称随意,XFFPass”
- 匹配URL部分使用正则
- 在“Server Variables”区域点击“Add”，变量名填
HTTP_X_FORWARDED_FOR，值填写{HTTP_X_FORWARDED_FOR} - 操作类型选择“Rewrite”，重写URL为
{R:1} - 应用规则
这一步的核心思路是，让IIS从请求头中读取X-Forwarded-For的值，并赋值给服务器变量HTTP_X_FORWARDED_FOR,这样IIS日志就能记录真实客户端IP了。
第四步：验证配置是否生效
配置完成后,用以下方式验证：
- 查看IIS日志文件，路径一般位于
C:\inetpub\logs\LogFiles\W3SVC1，打开最新日志，检查c-ip列是否已变为真实客户端IP - 在网站根目录放置一个ASP.NET页面或PHP文件，输出
$_SERVER['REMOTE_ADDR']或Request.ServerVariables["HTTP_X_FORWARDED_FOR"]，对比两者的值 - 使用手机流量访问网站，在日志中查找对应的IP段
如果日志中c-ip列仍然显示ELB的IP，而HTTP_X_FORWARDED_FOR列有真实IP，说明ELB转发正常，问题出在IIS日志格式配置上，此时需要检查W3C日志字段是否包含X-Forwarded-For列。
七层独享型ELB转发配置中的常见问题与排查思路
获取客户端真实IP的过程中，用户常遇到各种异常情况,下面用表格做一个直观对比：
| 问题现象 | 可能原因 | 排查方向 |
|---|---|---|
| 日志中全是ELB内网IP | 未安装ARR或未启用代理 | 检查ARR模块是否安装、Server Proxy Settings是否勾选 |
| X-Forwarded-For字段为空 | ELB未开启XFF头传递 | 登录云厂商控制台，检查ELB监听器配置 |
| 日志中IP为多个逗号分隔值 | 多层代理叠加 | 取第一个IP即为客户端真实IP，后续为链路中的代理节点 |
| 应用程序获取不到真实IP | 代码未读取XFF头 | 在后端代码中读取HTTP_X_FORWARDED_FOR变量 |
多层代理场景下的IP获取策略
如果你的架构是CDN + 七层独享型ELB + IIS7，那么X-Forwarded-For头会包含多个IP，格式类似客户端IP, CDN节点IP，此时IIS7默认取最后一个IP，但最后一个IP是CDN节点而不是真实客户端，这种情况下，需要在URL Rewrite规则中调整取值逻辑,用正则匹配第一个IP：
{HTTP_X_FORWARDED_FOR}改为：
{HTTP_X_FORWARDED_FOR:(.?),.}这里只取逗号前的第一个IP，也就是客户端真实IP，如果CDN和ELB之间还有WAF等其他代理节点,需要按实际链路层级调整正则表达式。
安全配置与IP伪造风险
配置完成后，不能忽视IP伪造问题，由于HTTP头可以人为构造，客户端请求时可以直接发送一个假的X-Forwarded-For头，如果ELB没有覆盖或清除客户端传入的XFF头，恶意用户就能伪造IP,绕过基于IP的风控规则。
七层独享型ELB通常会在转发时覆盖客户端传入的X-Forwarded-For头，但为了保险起见，建议在ELB控制台开启“覆盖X-Forwarded-For”选项，或在后端IIS的URL Rewrite规则中强制覆盖该头，对于安全要求较高的业务，还需要在代码层面对获取到的IP做格式校验,确保它是合法的IPv4或IPv6地址。
IIS7获取真实IP后的日志分析与应用场景
完成以上配置后，IIS日志中的c-ip列将记录真实客户端IP，这为后续的日志分析和业务决策提供了可靠的数据基础，在七层独享型ELB转发下获取客户端真实IP,主要解决以下需求：
- 用户行为分析：统计独立访客数、地域分布、访问时段
- 安全风控：识别恶意IP、防刷接口、限制频次
- 日志审计：满足等保合规要求，保留真实来源记录
- 故障排查：快速定位用户访问异常时所在的网络位置
据统计，多数企业运维团队在配置七层独享型ELB后，首要需求就是获取真实IP用于安全审计，如果你的业务同时涉及多个后端服务器，建议将日志集中收集到日志平台，结合ELB的访问日志做交叉比对,能更清晰地还原完整的请求链路。
七层独享型ELB获取真实IP的常见问题解答
Q：七层独享型ELB转发配置完成后，IIS7日志中c-ip和X-Forwarded-For字段的IP不一致，哪个才是真实客户端IP？
A：X-Forwarded-For字段中的IP才是真实客户端IP，c-ip记录的是ELB的内网IP，因为ELB与后端服务器建立连接时，源地址是ELB自身，X-Forwarded-For是HTTP协议层面的标准头字段，由ELB在转发时写入，承载链路中每一跳的原始IP信息,第一个IP为客户端真实IP。
Q：iis7配置获取客户端真实ip后，网站访问速度会不会变慢？
A：配置过程本身不涉及额外的网络传输，只是改变IIS读取和记录IP的方式，因此对访问速度没有直接影响，但需要注意，启用ARR模块会加载额外的扩展组件，极低配置的服务器可能会有轻微的内存占用增加，多数情况下，这种开销可以忽略不计，如果服务器资源紧张,建议在配置完成后观察一段时间的内存和CPU指标。
Q：七层独享型ELB与Nginx反代获取真实IP的配置思路一致吗？
A：思路一致，都是依赖X-Forwarded-For头传递客户端IP，但具体操作不同，Nginx通过proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for配置，IIS7则需要安装ARR模块并修改注册表，两者在多层代理场景下的IP取值逻辑相同，均取第一个IP作为客户端真实IP，如果你熟悉Nginx的配置逻辑,理解IIS7的配置原理会更容易。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/558990.html
