Trust Proxy Headers -asetusten konfigurointi

Miksi trust proxy headers -asetuksia tarvitaan?

Kun palvelimesi on käänteisproksin, kuten Cloudflaren, AWS ALB:n tai kuormantasaajan takana, sovelluksesi näkevät proksin IP-osoitteen kävijän todellisen IP:n sijaan. Tämä rikkoo:

• Pyyntöjen rajoittaminen — kaikki pyynnöt näyttävät tulevan yhdestä IP:stä
• Geolokalisointi — sijaintitieto on väärä
• IP-estolistat — yksittäisiä kävijöitä ei voi estää
• Tarkistuslokit — request.ip palauttaa proksin IP:n

Trust Proxy Headers -asetus käskee Traefikia lukemaan todellisen asiakas-IP:n välitetyistä otsakkeista (X-Forwarded-For, X-Real-IP).

Palveluntarjoajan esiasetusten käyttäminen

Server Compass sisältää valmiit esiasetukset yleisimmille palveluntarjoajille:

1. Siirry Palvelimen asetukset > Proksi -välilehdelle
2. Avaa Trust Proxy Headers -osio
3. Valitse esiasetus pudotusvalikosta:
   • Cloudflare — täyttää automaattisesti kaikki Cloudflaren IPv4/IPv6 CIDR-alueet
   • AWS ALB/ELB — syötä VPC CIDR (esim. 10.0.0.0/16)
   • DigitalOcean Load Balancer — syötä VPC CIDR
   • Hetzner Load Balancer — syötä yksityisverkon CIDR
   • Mukautettu — lisää luotetut IP-alueet manuaalisesti
4. Napsauta Tallenna – Traefik käynnistyy automaattisesti uudelleen

PROXY-protokolla (edistynyt)

Kuormantasaajille, kuten AWS NLB tai HAProxy, jotka käyttävät PROXY-protokollaa HTTP-otsakkeiden sijaan:

1. Laajenna Proxy Protocol -osio
2. Ota PROXY-protokolla käyttöön
3. Lisää kuormantasaajan luotetut IP-alueet
4. Tallenna – Traefik konfiguroidaan hyväksymään PROXY-protokolla sekä HTTP- että HTTPS-lähtöpisteissä

Turvallisuus ja palautus

Server Compass suojaa väärinkonfiguraatiolta:

• Automaattinen varmuuskopio — traefik.yml varmuuskopioidaan ennen jokaista muutosta
• Terveystarkistus — Traefikin uudelleenkäynnistyksen jälkeen Server Compass tarkistaa, että kontti toimii
• Automaattinen palautus — jos Traefik ei käynnisty, varmuuskopio palautetaan ja Traefik käynnistetään edellisellä konfiguraatiolla
• Epäturvallinen tila -varoitus — "Luota kaikkiin lähteisiin" on merkitty vain kehityskäyttöön ja haavoittuva IP-väärentämiselle