經(jīng)常有站長(zhǎng)使用百度云加速的同時(shí)使用寶塔的防火墻，不過(guò)如何設(shè)置不對(duì)就會(huì)導(dǎo)致結(jié)果是無(wú)法正常攔截CC攻擊，甚至寶塔防火墻攔截百度節(jié)點(diǎn)，出現(xiàn)502,520錯(cuò)誤的情況，所以正確實(shí)配置很重要。

在打開(kāi)網(wǎng)站防火墻同時(shí)使用百度云加速CDN后可能無(wú)法獲取到用戶的真實(shí)IP,那么就無(wú)法防御,造成服務(wù)器防火墻誤封CDN IP的情況。

解決辦法是獲取真實(shí)用戶IP

一種方法是獲取 header中的 X-FORWARDED-FOR 來(lái)判斷用戶IP,但是眾所周知這個(gè)字段是可以偽造的.

可靠的方法是獲取百度云加速中的 CF-CONNECTING-IP 字段,實(shí)測(cè)這個(gè)字段無(wú)法偽造,是百度服務(wù)器直接發(fā)送到用戶服務(wù)器,那么我們獲取這個(gè)字段就可以獲取到用戶的真實(shí)IP

開(kāi)啟cdn后,nginx獲取真實(shí)IP的方法:
原理:使用Nginx自帶的Realip模塊獲取用戶真實(shí)IP
修改nginx配置:http{}中添加如下:

map?$HTTP_CF_CONNECTING_IP??$clientRealIp?{
????""????$remote_addr;
????~^(?P<firstAddr>[0-9.]+),?.*$????$firstAddr;
}
log_format??main??'$clientRealIp?[$time_local]?"$request"?'
??????????????????'$status?$body_bytes_sent?"$http_referer"?'
??????????????????'$http_user_agent?$remote_addr?$request_time';

然后在網(wǎng)站記錄的日志定義使用main這個(gè)日志格式

比如

access_log ?/www/wwwlogs/www.bnxb.com.log main;

2、PHP獲取使用CloudFlare CDN環(huán)境下的訪客真實(shí)IP

<?php
$realip?=$_SERVER['HTTP_CF_CONNECTING_IP'];?
echo?$realip;
//也可以用下面這個(gè)
$clientIP?=?isset($_SERVER['HTTP_CF_CONNECTING_IP'])???$_SERVER['HTTP_CF_CONNECTING_IP']?:?$_SERVER['REMOTE_ADDR'];
echo?$clientIP;
?>

以上就是獲取百度云加速環(huán)境下真實(shí)IP功能

最后我們?cè)龠M(jìn)入寶塔防火墻設(shè)置

步驟:

打開(kāi)網(wǎng)站防火墻->使用cdn->添加HEADER,把cf-connecting-ip加進(jìn)去,原來(lái)的x-forwarded-for 和x-real-ip都刪掉

完工，這樣寶塔的防火墻就能利用百度云加速傳遞過(guò)來(lái)的真實(shí)訪客IP對(duì)攻擊者進(jìn)行封禁

最后我們還是需要把百度云加速的IP段加白下到寶塔防火墻哈，以免被防火墻誤殺。