6

Estou tendo um problema ao usar o: $_SERVER["REMOTE_ADDR"]; eventualmente ele pega um IP que não é o do usuário, no caso começou depois que eu passei a usar o CloudFlare...

Alguem sabe porque isso acontece? Existe uma forma melhor de pegar o IP do usuário?

4 Respostas 4

8

Alguem sabe porque isso acontece?

Isso acontece porque o CloudFlare age como um proxy, o usuário conecta num servidor do CloudFlare mais próximo e então o CloudFlare se conecta ao seu servidor, se for necessário, pois alguns conteúdos podem estar em cache. Se não estiver em cache o CloudFlare irá obter uma resposta do servidor e irá entregar ao usuário.

Basicamente:

Usuário (1.2.3.4) -> CloudFlare (5.6.7.8) -> Servidor (9.1.2.3)

Supondo que isto sejam IPs, você irá obter 5.6.7.8 pelo método comum.


Existe uma forma melhor de pegar o IP do usuário?

Justamente por servir como um proxy ele inclui o header X-Forwarded-For, mas isso não é tão seguro, mas ele também inclui o CF-Connecting-IP.

O header X-Forwarded-For:

Na condição de não existir este cabeçalho definido, o CloudFlare irá criar:

X-Forwarded-For: 1.2.3.4

Logo, 1.2.3.4 é o IP do cliente.

Na condição de já existir um definido, o CloudFlare irá acrescentar:

X-Forwarded-For: 1.2.3.4, A.A.A.A, X.X.X.X

Em teoria o primeiro seria o IP do cliente, pois o X-Forwarded-For é definido por proxy, mas na prática a situação é outra, porque o usuário pode falsificar o X-Forwarded-For, desta forma o último seria o verdadeiro.

O header CF-Connecting-IP:

O CloudFlare cria este header, isso irá oferecer o último IP, este geralmente é o mesmo valor do X-Forwarded-For, em situação "normal".


Solução rápida

PHP:

$_SERVER["REMOTE_ADDR"] = $_SERVER["HTTP_CF_CONNECTING_IP"];

Isso irá obter o cabeçalho informado contendo o IP do usuário e irá substituir na variável $_SERVER["REMOTE_ADDR"], isso pode reduzir as mudanças necessárias. ;)

Entretanto, isso cria um problema, porque se o tráfego não passar pelo CloudFlare o usuário poderá falsificar o IP enviando tal cabeçalho.

Solução

PHP:

$_SERVER["REMOTE_ADDR"] = $_SERVER["HTTP_CF_CONNECTING_IP"];

NGINX:

server {
    listen 80;
    # ...
    
    # Impede acesso fora do CloudFlare:
    allow 103.21.244.0/22;
    allow 103.22.200.0/22;
    allow 103.31.4.0/22;
    allow 104.16.0.0/12;
    allow 108.162.192.0/18;
    allow 131.0.72.0/22;
    allow 141.101.64.0/18;
    allow 162.158.0.0/15;
    allow 172.64.0.0/13;
    allow 173.245.48.0/20;
    allow 188.114.96.0/20;
    allow 190.93.240.0/20;
    allow 197.234.240.0/22;
    allow 198.41.128.0/17;
    allow 199.27.128.0/21;
    allow 2400:cb00::/32;
    allow 2405:8100::/32;
    allow 2405:b500::/32;
    allow 2606:4700::/32;
    allow 2803:f800::/32;
    allow 2c0f:f248::/32;
    allow 2a06:98c0::/29;
    deny all;
    #####################################

    # Define para salvar todos os logs com o IP do cliente:
    set_real_ip_from 103.21.244.0/22;
    set_real_ip_from 103.22.200.0/22;
    set_real_ip_from 103.31.4.0/22;
    set_real_ip_from 104.16.0.0/12;
    set_real_ip_from 108.162.192.0/18;
    set_real_ip_from 131.0.72.0/22;
    set_real_ip_from 141.101.64.0/18;
    set_real_ip_from 162.158.0.0/15;
    set_real_ip_from 172.64.0.0/13;
    set_real_ip_from 173.245.48.0/20;
    set_real_ip_from 188.114.96.0/20;
    set_real_ip_from 190.93.240.0/20;
    set_real_ip_from 197.234.240.0/22;
    set_real_ip_from 198.41.128.0/17;
    set_real_ip_from 199.27.128.0/21;
    set_real_ip_from 2400:cb00::/32;
    set_real_ip_from 2405:8100::/32;
    set_real_ip_from 2405:b500::/32;
    set_real_ip_from 2606:4700::/32;
    set_real_ip_from 2803:f800::/32;
    set_real_ip_from 2c0f:f248::/32;
    set_real_ip_from 2a06:98c0::/29;
    real_ip_header CF-Connecting-IP;
    #####################################

    
    # ...
    
}

Se estiver utilizando Apache (ou qualquer outro) procure por funções equivalentes.

Essa lista pode mudar, consulte a versão mais recente em https://www.cloudflare.com/en-gb/ips/

Isso irá garantir que apenas seja possível acessar o website se passae pelo CloudFlare, que irá conter obrigatoriamente o HTTP_CF_CONNECTING_IP, além disso o NGINX irá salvar todos os logs usando o IP do cliente e não mais do proxy. ;)

2
3

Tente dessa forma:

$http_client_ip       = $_SERVER['HTTP_CLIENT_IP'];
$http_x_forwarded_for = $_SERVER['HTTP_X_FORWARDED_FOR'];
$remote_addr          = $_SERVER['REMOTE_ADDR'];

/* VERIFICO SE O IP REALMENTE EXISTE NA INTERNET */
if(!empty($http_client_ip)){
    $ip = $http_client_ip;
    /* VERIFICO SE O ACESSO PARTIU DE UM SERVIDOR PROXY */
} elseif(!empty($http_x_forwarded_for)){
    $ip = $http_x_forwarded_for;
} else {
    /* CASO EU NÃO ENCONTRE NAS DUAS OUTRAS MANEIRAS, RECUPERO DA FORMA TRADICIONAL */
    $ip = $remote_addr;
}

Espero que isso lhe ajude!

1
  • 1
    Acho que existe um problema nessa solução.
    – Inkeliz
    Commented 12/01/2017 às 4:41
-1

Consegui obter o ip real através do cloudflare com a seguinte alteração do código do colega @LocalHost:

$http_client_ip       = $_SERVER['HTTP_CLIENT_IP'];
$http_x_forwarded_for = $_SERVER['HTTP_X_FORWARDED_FOR'];
$remote_addr          = $_SERVER['REMOTE_ADDR'];
$http_cf_connecting_ip = $_SERVER["HTTP_CF_CONNECTING_IP"];

/* VERIFICO SE O IP partiu do cloudflare*/
if(!empty($http_cf_connecting_ip)){
    $ip = $http_cf_connecting_ip;
/* VERIFICO SE O IP REALMENTE EXISTE NA INTERNET */
}elseif(!empty($http_client_ip)){
    $ip = $http_client_ip;
    /* VERIFICO SE O ACESSO PARTIU DE UM SERVIDOR PROXY */
} elseif(!empty($http_x_forwarded_for)){
    $ip = $http_x_forwarded_for;
} else {
    /* CASO EU NÃO ENCONTRE NAS DUAS OUTRAS MANEIRAS, RECUPERO DA FORMA TRADICIONAL */
    $ip = $remote_addr;
}
-4

Passei por este mesmo problema hoje, precisava de uma solução que pegasse o IP do usuário e caso o site estivesse passando pelo Cloudflare também deveria funcionar. Peguei o exemplo do colega @LipESprY mas não funcionou, pois no $_SERVER, pra versão do PHP 7.3 pra cima não existe mais o HTTP_CLIENT_IP e alguns outros. Então eu fiz uma função com base no código dele debugando o que vinha no $_SERVER de produção passando pela cloudflare e produção sem cloudflare e cheguei na seguinte solução que funcionou pra mim: Criei uma função dentro de uma classe helper (pra ser chamada em qualquer lugar que eu precisar)

function get_ip()
{
    /* VERIFICO SE O IP partiu do cloudflare*/
    if (!empty($_SERVER['HTTP_CDN_LOOP']) && $_SERVER['HTTP_CDN_LOOP'] = "cloudflare")
    {
        if (!empty($_SERVER['PROXY_REMOTE_ADDR'])){
            $ip = $_SERVER['PROXY_REMOTE_ADDR'];
        }
    } else {
        /* CASO EU NÃO ENCONTRE NAS DUAS OUTRAS MANEIRAS, RECUPERO DA FORMA TRADICIONAL */
        $ip = $_SERVER['REMOTE_ADDR'];
    }

    return ["ip" => $ip, "agent" => $_SERVER['HTTP_USER_AGENT']];
}

Dessa forma funciona até mesmo quando desliga o cloudflare ou no seu localhost, e para pegar os valores para salvar no banco eu fiz assim:

$identifyUser = get_ip();
$this->ip = $identifyUser["ip"];
$this->agent = $identifyUser["agent"];

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .