1. 确认攻击请求本身是否携带了 XFF 字段

• 排查方法：请确认发起攻击的流量是否经过了 CDN 或其他七层代理？如果攻击者是直接绕过 CDN，直接攻击 WAF 的 IP，那么 HTTP 请求头里本身就不会存在 X-Forwarded-For 字段，WAF 自然也就记录不到。
• 验证：你可以用浏览器或抓包工具正常访问一次业务，看看正常请求里是否带有 XFF 字段。

2. 检查 WAF 的“七层代理/代理接入”开关

• 排查方法：登录 WAF 控制台，找到你接入防护的域名配置。检查是否有类似 “是否使用七层代理”、“代理接入” 或 “开启代理” 的开关。
• 正确设置：如果你的 WAF 前面有 CDN、高防或其他代理，务必将此开关打开（选择“是”）。如果该开关关闭，WAF 会默认认为客户端是直连的，只会记录 TCP 连接的源 IP（即上一级代理的 IP），而不会去解析 XFF。

3. 核对 WAF 的“IP标记”或“源IP获取方式”

• 排查方法：在 WAF 的域名防护配置中，寻找 “IP标记”、“客户端IP头” 或 “源IP获取方式” 等高级设置。
• 正确设置：
  • 确保这里配置的是 X-Forwarded-For（有些 WAF 默认可能是 X-Real-IP 或其他自定义头部）。
  • 如果你的架构非常复杂（例如：客户端 -> CDN -> 自建Nginx -> WAF），WAF 可能需要配置提取 XFF 中的第几个 IP（常规情况是提取最左侧/第一个 IP）。

4. 检查日志服务器（SIEM/Syslog）的字段映射

• 排查方法：
  1. 先在 WAF 本地的攻击日志页面（网页控制台）仔细查看单条攻击日志的“详情”或“原始报文/攻击payload”页签，确认 WAF 自身是否解析出了 XFF。
  2. 如果 WAF 本地能看到，但日志服务器（如 Splunk、ELK、自建 Syslog）收不到，说明是日志转发时的字段映射（Field Mapping）出了问题。很多 WAF 转发日志时，真实 IP 可能会被放在 real_client_ip、src_ip 或 client_ip 等独立字段中，而不是直接保留 http_x_forwarded_for 这个原始字符串。建议检查日志服务器的接收模板。

5. 极端情况：IPv6 或报文超长

H3C WAF 攻击日志缺失 X-Forwarded-For 字段排查方案（本地页面、远端日志服务器均无法展示）
核心故障四类配置遗漏，优先处理前两项即可解决绝大多数场景
一、未配置代理地址信任列表（高发故障，页面勾选 XFF 仍不生效）
设备识别到前端负载均衡、防火墙、WEB 中间件、CDN 等转发设备后，需将转发设备地址录入可信地址清单；不在清单内的设备携带的 XFF 请求头会被设备判定为非法数据直接丢弃，无法解析落地日志。
命令行配置参考：
plaintext
system-view
# 单台设备录入
waf xff trust-ip 10.1.1.1 255.255.255.255
# 整网段批量录入
waf xff trust-ip 10.1.1.0 255.255.255.0
查询已配置可信网段：display waf xff-config
二、日志输出模板未勾选 XFF 字段（本地与远端日志同步缺失根源）
XFF 解析开关开启后，需要在日志模板中选定对应字段，否则无论本地日志还是远端 syslog 服务器都不会生成该字段记录。
WEB 操作路径：系统→日志→日志模板→找到攻击日志模板并编辑，勾选 X-Forwarded-For 字段后保存生效。
查询现有日志模板配置：display waf log template
配套优化：站点防护配置内，日志存储等级调整为详细模式；默认精简模式会裁剪请求头相关扩展信息。
三、WEB 防护、CC 防护功能未开启 XFF 识别开关
全局配置不等于策略生效，Web 防护配置文件与 CC 防护规则两处需要独立开启识别：
WEB 界面：对象→安全配置文件→Web 应用防护，编辑对应配置启用 XFF 识别；
CC 防护命令行配置：
plaintext
system-view
cc-defense policy 自定义策略名
rule name 对应规则名称
xff-detection enable
四、前端转发设备未完成请求头转发配置（报文源头无 XFF 数据）
在 WAF 入站口抓取应用报文，校验 HTTP 头部是否携带 XFF 字段：
plaintext
debugging waf http packet inbound
抓包无 XFF 字段：调整前端负载均衡、防火墙、NGINX 等设备配置，开启请求头转发；NGINX 示例配置：proxy_set_header X-Forwarded-For $remote_addr;
抓包存在 XFF 字段但日志不显示：回头补齐可信 IP 与日志模板配置。
补充：远端日志服务器无 XFF 字段专项排查
WAF 侧 syslog 参数绑定自定义修改后的日志模板，禁止沿用出厂默认模板；
日志接收平台侧，修改日志解析规则，新增 XFF 字段解析展示，部分日志系统默认屏蔽扩展字段。
临时查看方式：在 WAF 攻击日志列表点开单条详情，列表页不展示的 XFF 信息，详情原始请求头内完整留存。
即时查询源 IP 应急办法
查看单条攻击日志详情，调取原始 HTTP 头部内容查看真实来访地址；
站点开启全量访问审计日志，访问日志默认收录 XFF 信息；
批量导出攻击日志为 CSV 文档，表格文件内含完整 XFF 数据（前端列表隐藏，导出可见）。
优化落地小结
录入前端转发设备可信 IP（必配）；
修改攻击日志模板添加 XFF 字段，调整日志详细级别（必配）；
WEB 与 CC 防护分别开启 XFF 识别；
抓包核验上游设备正常转发 XFF 头部；
日志服务器同步调整字段解析规则。