Alguem sabe porque isso acontece?
Isso acontece porque o CloudFlare age como um proxy, o usuário conecta num servidor do CloudFlare mais próximo e então o CloudFlare se conecta ao seu servidor, se for necessário, pois alguns conteúdos podem estar em cache. Se não estiver em cache o CloudFlare irá obter uma resposta do servidor e irá entregar ao usuário.
Basicamente:
Usuário (1.2.3.4) -> CloudFlare (5.6.7.8) -> Servidor (9.1.2.3)
Supondo que isto sejam IPs, você irá obter 5.6.7.8 pelo método comum.
Existe uma forma melhor de pegar o IP do usuário?
Justamente por servir como um proxy ele inclui o header X-Forwarded-For
, mas isso não é tão seguro, mas ele também inclui o CF-Connecting-IP
.
O header X-Forwarded-For
:
Na condição de não existir este cabeçalho definido, o CloudFlare irá criar:
X-Forwarded-For: 1.2.3.4
Logo, 1.2.3.4 é o IP do cliente.
Na condição de já existir um definido, o CloudFlare irá acrescentar:
X-Forwarded-For: 1.2.3.4, A.A.A.A, X.X.X.X
Em teoria o primeiro seria o IP do cliente, pois o X-Forwarded-For
é definido por proxy, mas na prática a situação é outra, porque o usuário pode falsificar o X-Forwarded-For
, desta forma o último seria o verdadeiro.
O header CF-Connecting-IP
:
O CloudFlare cria este header, isso irá oferecer o último IP, este geralmente é o mesmo valor do X-Forwarded-For
, em situação "normal".
Solução rápida
PHP:
$_SERVER["REMOTE_ADDR"] = $_SERVER["HTTP_CF_CONNECTING_IP"];
Isso irá obter o cabeçalho informado contendo o IP do usuário e irá substituir na variável $_SERVER["REMOTE_ADDR"]
, isso pode reduzir as mudanças necessárias. ;)
Entretanto, isso cria um problema, porque se o tráfego não passar pelo CloudFlare o usuário poderá falsificar o IP enviando tal cabeçalho.
Solução
PHP:
$_SERVER["REMOTE_ADDR"] = $_SERVER["HTTP_CF_CONNECTING_IP"];
NGINX:
server {
listen 80;
# ...
# Impede acesso fora do CloudFlare:
allow 103.21.244.0/22;
allow 103.22.200.0/22;
allow 103.31.4.0/22;
allow 104.16.0.0/12;
allow 108.162.192.0/18;
allow 131.0.72.0/22;
allow 141.101.64.0/18;
allow 162.158.0.0/15;
allow 172.64.0.0/13;
allow 173.245.48.0/20;
allow 188.114.96.0/20;
allow 190.93.240.0/20;
allow 197.234.240.0/22;
allow 198.41.128.0/17;
allow 199.27.128.0/21;
allow 2400:cb00::/32;
allow 2405:8100::/32;
allow 2405:b500::/32;
allow 2606:4700::/32;
allow 2803:f800::/32;
allow 2c0f:f248::/32;
allow 2a06:98c0::/29;
deny all;
#####################################
# Define para salvar todos os logs com o IP do cliente:
set_real_ip_from 103.21.244.0/22;
set_real_ip_from 103.22.200.0/22;
set_real_ip_from 103.31.4.0/22;
set_real_ip_from 104.16.0.0/12;
set_real_ip_from 108.162.192.0/18;
set_real_ip_from 131.0.72.0/22;
set_real_ip_from 141.101.64.0/18;
set_real_ip_from 162.158.0.0/15;
set_real_ip_from 172.64.0.0/13;
set_real_ip_from 173.245.48.0/20;
set_real_ip_from 188.114.96.0/20;
set_real_ip_from 190.93.240.0/20;
set_real_ip_from 197.234.240.0/22;
set_real_ip_from 198.41.128.0/17;
set_real_ip_from 199.27.128.0/21;
set_real_ip_from 2400:cb00::/32;
set_real_ip_from 2405:8100::/32;
set_real_ip_from 2405:b500::/32;
set_real_ip_from 2606:4700::/32;
set_real_ip_from 2803:f800::/32;
set_real_ip_from 2c0f:f248::/32;
set_real_ip_from 2a06:98c0::/29;
real_ip_header CF-Connecting-IP;
#####################################
# ...
}
Se estiver utilizando Apache (ou qualquer outro) procure por funções equivalentes.
Essa lista pode mudar, consulte a versão mais recente em https://www.cloudflare.com/en-gb/ips/
Isso irá garantir que apenas seja possível acessar o website se passae pelo CloudFlare, que irá conter obrigatoriamente o HTTP_CF_CONNECTING_IP
, além disso o NGINX irá salvar todos os logs usando o IP do cliente e não mais do proxy. ;)