Suponiendo que tengo mi sitio web que usa CloudFlare, ¿puedo configurar X-Forwarded-For con otra IP para que se reenvíe a mi servidor?
Estoy intentando hacerlo con una herramienta y el sitio web imprime la IP que configuré con X-Forwarded-For . ¿Cómo funciona esto?
Por lo que entendí, es bonito simple :
X-Forwarded-For
X-Forwarded-For es un encabezado HTTP bien establecido utilizado por proxies, incluyendo Cloudflare, para pasar a lo largo de otras direcciones IP en la solicitud. A menudo, esto es lo mismo que CF-Connecting-IP, pero puede haber múltiples capas de proxies en una ruta de solicitud.
Dos resultados posibles.
Primero, si no hubiera un encabezado "X-Forwarded-For" existente en el Solicitud enviada a Cloudflare, entonces el encabezado tendría un idéntico valor para el encabezado CF-Connecting-IP, como este:
"X-Forwarded-For: A.B.C.D"
donde A.B.C.D es la dirección IP del cliente, también conocida como la original Dirección IP del visitante.
Segundo, si hubiera un encabezado "X-Forwarded-For" presente en el solicitud enviada a Cloudflare, Cloudflare agrega la IP del cliente a su valor, como el último en la lista.
"X-Forwarded-For: A.B.C.D [ X.X.X.X, Y.Y.Y.Y,]"
donde A.B.C.D es la dirección IP del cliente, también conocida como la original Dirección IP del visitante. X.X.X.X y Y.Y.Y.Y en este ejemplo son IP direcciones a lo largo de la ruta en el valor del encabezado.
cuando no agrega el encabezado X-Forwarded-For , CloudFlare lo agregará implícitamente con la dirección IP real del visitante.
Cuando agregue manualmente con ese encabezado a su solicitud otra IP, la IP se falsificará correctamente a condición de que su servidor permita la opción Reenviar por, y usted será un reenviador confiable . Para bloquear X-Forwarded-For puede usar iptables u otro.
En algunos casos, este encabezado puede ser relevante para la seguridad del sitio web.
El encabezado HTTPX-Forwarded-For no se debe usar para ninguna verificación de la Lista de control de acceso (ACL) porque los atacantes pueden falsificarlo. Utilice la dirección IP real para este tipo de restricciones.