CDN経由の場合にクライアントのIPを取得する

Question

CDNを介した場合、オリジンサーバはCDNサーバのIPがクライアントIPとして認識してしまうため
x-forwarded-forのヘッダーでクライアントIPを引き継ぐのが一般的　というところまで理解できました。

1つ疑問なのはこの手の対応をするときに必ず下記の注意説明があります。

ヘッダーを利用する際は信頼できるIP(CDNのIP)からに制限すべき

nginxでの場合、set_real_ip_fromというものです
CloudFlareの場合：https://qiita.com/i35_267/items/73f760b377273526d3c8

この場合、なぜreal_ip_header CF-Connecting-IP;が信頼できないのかご教示お願いいたします。

x-forwarded-forならまだわかりますが、
CloudFlareがリクエストされた時のヘッダ：CF-Connecting-IPを上書きしてしまうのでしょうか？

Answer 1

クライアント(ブラウザ)が最初からリクエストヘッダに CF-Connecting-IP を付ける(偽装する)ことを想定しているのではないでしょうか。

---

(追記)

CF-Connecting-IP を付けたリクエストが、CDN を経由せず、直接オリジンサーバーに届く場合、CF-Connecting-IP は信頼できませんよね。
なので、set_real_ip_from の条件でこのヘッダを無視します。

Comments

[退会済みユーザー]

ご回答いただきありがとうございます。
そうなると、CloudFlareとしてはIPレイヤーで取得したIPがあるのにHTTPレイヤーで該当ヘッダー名を含むリクエストがある場合はわざわざ上書きするということなんでしょうか？
どうもしっくりせず。。

[退会済みユーザー]

よくわかりました。ありがとうございました。