Hvað REMOTE_ADDR í PHP segir þér í raun og veru bak við VPN
Þetta er gildi sem vefþjónninn þinn gaf, ekki fyrirspurn inn í göngin. Fylgdu ferli beiðninnar, athugaðu hver má endurskrifa hana og haltu auðkenninu í forritinu.
Einhver spyr hvers vegna VPN notandi birtist í atburðaskrá forritsins með vistfangi sem tilheyrir gáttinni, eða með vistfangi sem breyttist eftir hádegi. Svarið byrjar á því hvað þetta gildi er: færsla sem vefþjónninn setti í umhverfi beiðninnar. Það er ekki fyrirspurn inn í göngin, ekki auðkenni skírteinis og ekki loforð um að númerið tilheyri einni manneskju. Að lesa það sem eitt af þessum þrennu gefur örugg svör sem eru röng á mismunandi vegu.
Gildið kemur frá þjóninum, ekki úr göngunum
PHP tekur við umhverfi beiðninnar frá því sem keyrði skriftuna. PHP tilvísunin fyrir þjónbreytur lýsir þessum færslum sem búnar til af vefþjóninum, með framboði sem fer eftir því hvernig beiðnin barst.
Skrifta sem keyrð er sem skipanalínukrókur VPN er algjörlega annað keyrsluumhverfi. Hún hefur enga vefbeiðni, engan biðlara socket og ekkert REMOTE_ADDR, og þess vegna gefur vefkóði sem er afritaður í krók tóm gildi í stað rangra. Krókurinn hefur sitt eigið umhverfi sem daemon fyllir og er skjalfest sér. Að teygja sig þangað í REMOTE_ADDR er að teygja sig í breytu sem var aldrei stillt.
Hafðu þennan mun í huga áður en þú berð saman tvær skrár. Þú ert kannski að bera saman síðubeiðni og krók, og það er alls ekki samanburður. Athugaðu keyrsluumhverfið fyrst og vistfangið síðan.
Fylgdu ferli beiðninnar áður en þú treystir númerinu
Tilkynnta vistfangið er jafnaldri þeirrar tengingar sem vefþjónninn sá. Settu eitthvað milli biðlarans og þess þjóns og jafnaldrinn breytist. Þýðing, lokun og álagsdreifing færa hver um sig athugunina eitt stökk lengra frá notandanum.
Fjögur algeng ferli gefa fjórar ólíkar athuganir.
| Path to the listener | What can be reported |
|---|---|
| Client routed straight to the private listener, no translation | The client's tunnel address |
| Gateway translates the source before forwarding | The gateway's translated address |
| Reverse proxy terminates the client and opens its own backend connection | The proxy's backend address |
| Load balancer in front of two proxies | Whichever hop the server treats as its peer |
Skrifaðu ferlið niður með nafni áfangastaðar, vistfangafjölskyldu og hverjum þýðingarpunkti. Án þess kurzuliðs líta rétt og röng gildi eins út í skrárlínu. Tvær línur af skýringarmynd spara síðdegi af rifrildi.
Utskipti eiga sér stað aðeins þar sem þau eru stillt
Þjónn eða umgjörð getur viljandi skipt út vistfangi biðlarans. remote-IP eining Apache og real-IP eining NGINX gera bæði þetta, og gildið sem PHP fær fer eftir þeirri stillingu auk breytanna sem sendar eru til skriftuhandfangsins.
Þannig að REMOTE_ADDR er ekki alltaf ósnertur TCP jafnaldri. Hann er jafnaldrinn eins og þjónninn valdi að tilkynna hann eftir að hafa beitt eigin stefnu. Sá munur ræður því hvort gildið er sönnun eða skraut.
Spurðu eiganda þjónsins hvaða svið sé valdbært í þessari uppsetningu og hvernig upprunalegi jafnaldrinn varðveitist þegar utskipti eiga sér stað. Ef enginn getur svarað sannar skráin ennþá ekkert.
Ekki lesa framsendingarhausa á trausti
Kallandinn getur sent framsendingarhausa sjálfur. Að meðhöndla fyrstu kommuaðgreindu færsluna sem staðfesta notendavistfang er ákvörðun um að trúa hverjum sem tengist, þveröfugt við tilgang haussins. Hausinn lýsir keðju og aðeins traust lag getur ábyrgst þá keðju.
Notaðu stuðning þjónsins eða umgjarðarinnar við treystu milliþjóna með raunverulegu milliþjónakeðjunni stilltri, og leyfðu honum að henda gildum frá upptökum utan þeirrar keðju. Handskrifuð greining er þar sem flest áhugaverðu mistökin búa.
Vistfang sem milliþjónn tilkynnir breytir heldur ekki pakkaupptökunum sem eldveggur ofar sér. Haltu HTTP lýsigögnum og netfyrirferð sem aðskildum athugunum, því þau svara ólíkum spurningum.
Notaðu auðkenni forritsins fyrir ákvarðanir
Fyrir aðgang að skrám notanda skaltu treysta á staðfesta aðilann og heimildarreglur forritsins. Hægt er að endurúthluta innra vistfangi og eitt þýtt vistfang getur táknað hundruð samtímis notenda. Ekkert þessara eiginleika er hægt að laga með vistfangaprófun.
Ef reksturinn þarf að tengja beiðni við VPN setu, tengdu athugaða vistfangið og tímastimplinn við valdbærar setuskrár samkvæmt þýðingarlíkaninu sem þú skjalfestir. Það myndar tengsl sem þú getur varið; vistfang eitt og sér gerir það ekki.
Fyrir greiningu skaltu skrá fáein svið sem þú þarft í stað alls þjónfylkisins, sem getur borið hausa og auðkenningarefni. Gagnleg niðurstaða segir hvað þetta gildi þýðir í þessari uppsetningu, ekki hvaða gildi líkist biðlara mest.