配置信任代理头部

为什么需要信任代理头部？

当您的服务器位于 Cloudflare、AWS ALB 或负载均衡器等反向代理后面时，您的应用程序看到的是代理的 IP 地址，而不是真实访客的 IP。这会导致：

• 速率限制 — 所有请求看起来都来自同一个 IP
• 地理位置 — 位置数据错误
• IP 黑名单 — 无法屏蔽单个访客
• 审计日志 — request.ip 返回代理 IP

信任代理头部告诉 Traefik 从转发头部（X-Forwarded-For、X-Real-IP）中读取真实的客户端 IP。

使用提供商预设

Server Compass 包含常用提供商的内置预设：

1. 前往 服务器设置 > 代理 标签页
2. 打开 信任代理头部 部分
3. 从下拉菜单选择预设：
   • Cloudflare — 自动填充所有 Cloudflare IPv4/IPv6 CIDR 范围
   • AWS ALB/ELB — 输入您的 VPC CIDR（例如 10.0.0.0/16）
   • DigitalOcean 负载均衡器 — 输入您的 VPC CIDR
   • Hetzner 负载均衡器 — 输入您的私有网络 CIDR
   • 自定义 — 手动添加受信任的 IP 范围
4. 点击 保存 — Traefik 自动重启

PROXY 协议（高级）

对于使用 PROXY 协议而非 HTTP 头部的负载均衡器（如 AWS NLB 或 HAProxy）：

1. 展开 PROXY 协议 部分
2. 启用 PROXY 协议
3. 添加负载均衡器的受信任 IP 范围
4. 保存 — Traefik 配置为在 HTTP 和 HTTPS 入口点接受 PROXY 协议

安全和回滚

Server Compass 防止配置错误：

• 自动备份 — 每次更改前备份 traefik.yml
• 健康检查 — 重启 Traefik 后，Server Compass 验证容器是否运行
• 自动回滚 — 如果 Traefik 启动失败，恢复备份并用之前的配置重启 Traefik
• 不安全模式警告 — "信任所有来源" 标记为仅限开发使用，容易受到 IP 欺骗攻击