プロキシの背後にあるExpress

trueの場合、クライアントのIPアドレスはX-Forwarded-Forヘッダーの左端のエントリとして認識されます。

falseの場合、アプリはクライアントに直接面しているものとして認識され、クライアントのIPアドレスはreq.socket.remoteAddressから取得されます。これはデフォルト設定です。

リバースプロキシとして信頼するIPアドレス、サブネット、またはIPアドレスとサブネットの配列。次のリストは、事前に構成されたサブネット名を示しています。

• loopback - 127.0.0.1/8、::1/128
• linklocal - 169.254.0.0/16、fe80::/10
• uniquelocal - 10.0.0.0/8、172.16.0.0/12、192.168.0.0/16、fc00::/7

IPアドレスは、次のいずれかの方法で設定できます。

app.set('trust proxy', 'loopback') // specify a single subnet
app.set('trust proxy', 'loopback, 123.123.123.123') // specify a subnet and an address
app.set('trust proxy', 'loopback, linklocal, uniquelocal') // specify multiple subnets as CSV
app.set('trust proxy', ['loopback', 'linklocal', 'uniquelocal']) // specify multiple subnets as an array

指定された場合、IPアドレスまたはサブネットはアドレス決定プロセスから除外され、アプリケーションサーバーに最も近い信頼されていないIPアドレスがクライアントのIPアドレスとして決定されます。これは、req.socket.remoteAddressが信頼されているかどうかを確認することで機能します。信頼されている場合、X-Forwarded-For内の各アドレスは、最初の信頼されていないアドレスが見つかるまで、右から左にチェックされます。

Expressアプリケーションから最大nホップ離れたアドレスを使用します。req.socket.remoteAddressは最初のホップであり、残りはX-Forwarded-Forヘッダー内で右から左に検索されます。値0は、最初の信頼されていないアドレスがreq.socket.remoteAddressであることを意味します。つまり、リバースプロキシはありません。

カスタム信頼の実装。

app.set('trust proxy', (ip) => {
  if (ip === '127.0.0.1' || ip === '123.123.123.123') return true // trusted IPs
  else return false
})