H3C F1070 如何配置xff

1.1.30  inspect real-ip detect-field xff

inspect real-ip detect-field xff命令用来配置X-Forwarded-For字段的提取位置。

undo inspect real-ip detect-field xff命令用来缺省情况。

【命令】

inspect real-ip detect-field xff { head | tail [ number ] }

undo inspect real-ip detect-field xff

【缺省情况】

X-Forwarded-For字段的提取位置为最后一项。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

head：表示X-Forwarded-For字段中的第一项。

tail：表示X-Forwarded-For字段中的最后一项。

number：表示提取X-Forwarded-For字段中的最后number个地址，取值范围为2～10。若未配置本参数，则表示仅提取X-Forwarded-For字段中的最后一个地址。

【使用指导】

在客户端通过HTTP代理连接到Web服务器的场景中，HTTP报文的首部可能会携带X-Forwarded-For字段。X-Forwarded-For字段中携带多个地址，标准的格式为X-Forwarded-For: <client>, <proxy1>, <proxy2>,…<proxyn>。如果一个报文通过多个代理，则会列出每个代理服务器的IP地址。即，最右边（tail）的proxyn是最新的代理服务器的IP地址，最左边（head）的client是原始客户端的IP地址。

管理员可通过配置参数number，提取多个地址，方便对客户端的代理情况进行分析。

【举例】

# 配置X-Forwarded-For字段的提取位置为第一项。

<Sysname> system-view

[Sysname] inspect real-ip detect-field xff head

你提到的“日志里源地址和目的地址相反”这个问题，仅靠配置X-Forwarded-For（XFF）字段是无法直接解决的。

 问题根源分析

“日志里源地址和目的地址相反”，这实际上是防火墙的地址转换功能（NAT）的正常行为，而不是XFF能处理的问题。

• X-Forwarded-For的工作原理：XFF字段主要用于在HTTP或HTTPS的请求报文中，携带客户端的真实源IP地址。它只影响应用层（第7层）的数据内容。

• 你的日志来源：防火墙记录的是IP报文的头部信息（第3层），即数据包从哪里来、到哪里去。当数据包经过NAT后，源IP和目的IP被重写，日志记录的也是转换后的地址。

• “地址相反”的原因：你看到的“地址相反”，是因为防火墙在记录一个从服务器到客户端的响应数据包。这个响应包的源地址是服务器（公网IP），目的地址是转换前的客户端（内网IP），所以看起来“颠倒了”。这是NAT会话的双向记录，并非故障。

 XFF能解决和不能解决的问题

简单来说，XFF是给最终服务器看的“乘客名单”，而无法改变防火墙自己的行车记录。

• 可以解决：如果你的后端服务器收到的请求日志里，源IP都变成了防火墙的IP，可以通过XFF让服务器知道真实客户端的IP。

• 无法解决：防火墙自身生成的NAT日志或安全告警日志，记录的仍是NAT转换后的IP地址，XFF无法改变这一点。

 如何让日志显示真实IP (进阶配置)

如果你的核心需求是让防火墙的安全策略或日志能基于真实的客户端IP进行阻断或记录（例如在CDN场景下），H3C防火墙的Comware V7平台提供了“真实源IP提取”功能。

配置步骤如下：

1. 配置真实源IP的提取规则：在系统视图下，指定从HTTP头的X-Forwarded-For字段提取真实IP。

   system-view

   [Sysname] inspect real-ip detect-field xff

2. 在安全策略中调用该功能：在对应的安全策略中，必须引用DPI（深度包检测）应用层检测引擎，该功能才能生效。

   [Sysname] security-policy ip

   [Sysname-security-policy-ip] rule name detect-real-ip
   [Sysname-security-policy-ip-1-detect-real-ip] action pass
   [Sysname-security-policy-ip-1-detect-real-ip] profile application inspect
   [Sysname-security-policy-ip-1-detect-real-ip] source-zone trust
   [Sysname-security-policy-ip-1-detect-real-ip] destination-zone untrust
   [Sysname-security-policy-ip-1-detect-real-ip] quit

3. 启用真实IP黑名单（可选）：如果需要阻断某个真实IP，可以将其加入黑名单。

   [Sysname] blacklist global enable

   [Sysname] blacklist ip 真实客户端IP地址
   注意：对于HTTPS流量，需配置SSL解密策略，否则防火墙无法解密并读取HTTP头中的XFF字段。

一、为什么日志 “源内网、目的公网”，看起来反了？

1. 正向流（内网访问公网）
   • 原始：Src = 内网 IP，Dst = 公网 IP
   • NAT 后：Src = 公网出口 IP，Dst = 公网 IP
2. 反向流（公网回包给内网）
   • 原始：Src = 公网 IP，Dst = 公网出口 IP
   • NAT 后：Src = 公网 IP，Dst = 内网 IP

二、什么时候才需要配 XFF？

• 内网有反向代理 / 负载均衡 / WAF 时
• 代理把真实用户 IP 写到 XFF 头里
• 后端服务器 / 防火墙读取 XFF，拿到真实客户端 IP（而不是代理 IP）

三、F1070 正确配置：日志看真实攻击 IP（不用 XFF）

1. 先确认 NAT 和安全策略（你应该已有）

2. 开启 “威胁日志 / 攻击日志”（关键）

3. 查看日志的正确命令

四、总结

1. 源目相反不是 XFF 问题：是你看了内网→外网的流日志；攻击要看威胁日志。
2. 出口直连公网，无前置代理 → 不需要 XFF。
3. F1070 配置重点：开启 anti-attack 日志、正确配置安全策略和 NAT。