株式会社サーバーワークス's job postings
- ソリューションアーキテクト
- プロジェクトマネージャー
- テクニカルオペレーション
- Other occupations (4)
- Development
- Business
- Other
こんにちは、技術4課の井関です。入社して半年ほど経過しましたが、初のブログ投稿となります。
ポートをTCPにしてロードバランシングした場合、バッググランドのEC2では送信元のIPアドレスを取得することができません。 クライアント証明書を利用したい時などは、要件にとってTCPを利用するケースがあるかと思います。
バッググランドのEC2で送信元のIPアドレスを扱う方法をご紹介いたします。
デフォルトでProxy Protocolに対応していないため、mod_myfixip モジュールをインストールします。
# Apacheのインストール
yum install httpd
# mod_myfixipインストールするための必須ライブラリ
yum install -y httpd-devel
yum install -y gcc
# mod_myfixipのインストール
curl -O https://raw.githubusercontent.com/ggrandes/apache22-modules/master/mod_myfixip.c
apxs -c -i mod_myfixip.c
インストール後、httpd.confを修正し、再起動します。
# httpd.confの修正
・・・
LoadModule version_module modules/mod_version.so
LoadModule myfixip_module modules/mod_myfixip.so # この行を追加
・・・
# ErrorLog logs/dummy-host.example.com-error_log
# CustomLog logs/dummy-host.example.com-access_log common
#</VirtualHost>
<IfModule mod_myfixip.c>
RewriteIPResetHeader off
RewriteIPAllow 10.20.0.0/16 # VPCのCIDRを指定
</IfModule>
・・・
以下コマンドにて、モジュールが有効になっているか確認しておきます。
httpd -M
Loaded Modules:
・・・
myfixip_module (shared)
・・・
ロードバランサのIPアドレスが出力されています。
10.20.8.75 - - [16/Apr/2018:09:59:26 +0000] "GET /test.html HTTP/1.1" 200 11 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/65.0.3325.181 Safari/537.36"
1.ポリシーの作成
aws --region ap-northeast-1 elb create-load-balancer-policy --load-balancer-name ロードバランサ名 --policy-name ポリシー名 --policy-type-name ProxyProtocolPolicyType --policy-attributes AttributeName=ProxyProtocol,AttributeValue=True
2.対象ポート番号(今回は80)に対してポリシーを設定
aws --region ap-northeast-1 elb set-load-balancer-policies-for-backend-server --load-balancer-name ロードバランサ名 --policy-name ポリシー名 --instance-port 80
3.設定内容の確認
aws --region ap-northeast-1 elb describe-load-balancers --load-balancer-names ロードバランサ名
{
"LoadBalancerDescriptions": [
{
"Subnets": [
"subnet-xxxxxxxx",
"subnet-xxxxxxxx"
],
"CanonicalHostedZoneNameID": "xxxxxxxxxxxxxx",
"CanonicalHostedZoneName": "clb-xxxxxxxxxx.ap-northeast-1.elb.amazonaws.com",
"ListenerDescriptions": [
{
"Listener": {
"InstancePort": 80,
"LoadBalancerPort": 80,
"Protocol": "TCP",
"InstanceProtocol": "TCP"
},
"PolicyNames": []
}
],
"HealthCheck": {
"HealthyThreshold": 10,
"Interval": 30,
"Target": "TCP:80",
"Timeout": 5,
"UnhealthyThreshold": 2
},
"VPCId": "vpc-xxxxxxxx",
"BackendServerDescriptions": [
{
"InstancePort": 80,
"PolicyNames": [
"ポリシー名"
]
}
],
"Instances": [
{
"InstanceId": "i-xxxxxxxxxxxxxxxxxx"
}
],
"DNSName": "clb-xxxxxxxxxx.ap-northeast-1.elb.amazonaws.com",
"SecurityGroups": [
"sg-xxxxxxxx"
],
"Policies": {
"LBCookieStickinessPolicies": [],
"AppCookieStickinessPolicies": [],
"OtherPolicies": [
"ポリシー名"
]
},
"LoadBalancerName": "clb",
"CreatedTime": "2018-04-16T09:57:19.500Z",
"AvailabilityZones": [
"ap-northeast-1a",
"ap-northeast-1c"
],
"Scheme": "internet-facing",
"SourceSecurityGroup": {
"OwnerAlias": "xxxxxxxxxxxx",
"GroupName": "clb"
}
}
]
}
クライアントのIPアドレスが出力されていることが確認できました。
xx.xx.xx.xx - - [16/Apr/2018:10:55:12 +0000] "GET /test.html HTTP/1.1" 200 11 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/65.0.3325.181 Safari/537.36"
今回はCLBにて検証を行いましたが、NLB(Network Load Balancer)でも同様のことができるかと思いますので、次はNLBにて検証してみたいと思います。 NLBの場合、Proxy Protocolの有効化はマネジメントコンソール上で実施することができます。