ٹرسٹ پراکسی ہیڈرز کنفیگر کرنا

پراکسی ہیڈرز پر بھروسہ کیوں؟

جب آپ کا سرور Cloudflare، AWS ALB، یا لوڈ بیلنسر جیسے ریورس پراکسی کے پیچھے ہو، تو آپ کی ایپلیکیشنز اصل وزیٹر کا IP کی بجائے پراکسی کا IP ایڈریس دیکھتی ہیں۔ اس سے یہ خراب ہوتا ہے:

• Rate limiting — تمام درخواستیں ایک IP سے آتی نظر آتی ہیں
• Geolocation — مقام کا ڈیٹا غلط ہوتا ہے
• IP block lists — انفرادی وزیٹرز کو بلاک نہیں کر سکتے
• Audit logs — request.ip پراکسی IP لوٹاتا ہے

Trust Proxy Headers Traefik کو فارورڈڈ ہیڈرز (X-Forwarded-For، X-Real-IP) سے اصل کلائنٹ IP پڑھنے کی ہدایت دیتا ہے۔

فراہم کنندہ پریسیٹس استعمال کرنا

Server Compass عام فراہم کنندگان کے لیے بلٹ ان پریسیٹس شامل کرتا ہے:

1. Server Settings > Proxy ٹیب پر جائیں
2. Trust Proxy Headers سیکشن کھولیں
3. ڈراپ ڈاؤن سے پریسیٹ منتخب کریں:
   • Cloudflare — تمام Cloudflare IPv4/IPv6 CIDR رینجز خودکار بھرتا ہے
   • AWS ALB/ELB — اپنا VPC CIDR درج کریں (مثلاً 10.0.0.0/16)
   • DigitalOcean Load Balancer — اپنا VPC CIDR درج کریں
   • Hetzner Load Balancer — اپنا پرائیویٹ نیٹ ورک CIDR درج کریں
   • Custom — قابل اعتماد IP رینجز دستی شامل کریں
4. Save پر کلک کریں — Traefik خودکار ریسٹارٹ ہوتا ہے

PROXY Protocol (ایڈوانسڈ)

AWS NLB یا HAProxy جیسے لوڈ بیلنسرز کے لیے جو HTTP ہیڈرز کی بجائے PROXY Protocol استعمال کرتے ہیں:

1. Proxy Protocol سیکشن پھیلائیں
2. PROXY Protocol فعال کریں
3. اپنے لوڈ بیلنسر کے لیے قابل اعتماد IP رینجز شامل کریں
4. محفوظ کریں — Traefik HTTP اور HTTPS دونوں اینٹری پوائنٹس پر PROXY Protocol قبول کرنے کے لیے کنفیگر ہوتا ہے

حفاظت اور رول بیک

Server Compass غلط کنفیگریشن سے تحفظ کرتا ہے:

• خودکار بیک اپ — ہر تبدیلی سے پہلے traefik.yml بیک اپ ہوتی ہے
• ہیلتھ چیک — Traefik ریسٹارٹ کے بعد Server Compass تصدیق کرتا ہے کہ کنٹینر چل رہا ہے
• آٹو رول بیک — اگر Traefik شروع نہ ہو تو بیک اپ بحال ہوتی ہے اور Traefik پچھلی کنفیگ سے ریسٹارٹ ہوتا ہے
• غیر محفوظ موڈ وارننگ — "Trust All Sources" صرف ڈویلپمنٹ کے لیے نشان زد ہے اور IP سپوفنگ کے لیے خطرناک ہے