負載均衡獲得真實源IP的6種方法
除了X-FORWARD-FOR，負載均衡中獲得真實源IP的方法還有很多種，
本文拋磚引玉，主要介紹獲得真實源IP的多種方法，而不是具體配置，
負載均衡獲得真實IP的方法有很多種，將形成專題文章，
本文為第一篇，主要做介紹和優劣對比。
小慢哥的原創文章，歡迎轉載
獲得真實IP的6種方法
當資料包從負載均衡器往後端轉發時候，真實源IP可在L3、L4、L7實現，並且分別有2種方法可以獲得真實IP，因此共有6種方法:
保持L3層源IP不變，根據連線次數可以分為
一次連線模式，如lvs
二次連線模式，如haproxy的透明模式
在L4層資料裡，新增源IP資訊，有2種模式
在4層的option欄位裡增加源IP資訊，比如tcp option、udp option
在4層末尾和7層開頭之間，增加proxy protocol資訊
在L7層資料裡，增加源IP資訊，有2種模式
協議自帶，例如HTTP的X-FORWARD-FOR
業務程式自行實現
一次連線與二次連線
一次連線：負載均衡器對資料包僅做轉發，而不對後端重新發起三次握手
二次連線：和一次連線相對應，在tcp轉發時候，對後端重新進行了三次握手。上面所講的L4和L7方法的負載均衡，都是二次連線
可以通過對比源埠是否有改變來簡單判斷是一次連線還是二次連線，埠沒改變，可以理解為一次連線，有改變就是二次連線
方法1: L3的一次連線模式
介紹：是指在網路層不對源IP做修改，直接將資料包轉發給後端，當後端接收到資料的時候，源IP就是真實IP。
實現：LVS-DR、LVS-NAT、LVS-TUNNEL模式。其中LVS-TUNNEL比較特別，是在原有資料包的開頭封裝了IP頭，當後端收到資料的時候，將封裝的IP頭進行解封裝，獲得的就是原有資料包。
優點：邏輯簡單，當負載均衡器故障切換的時候，從客戶端到後端的tcp連線不會中斷
缺點：對網路架構有要求，比如DR模式，要求後端配VIP，並且回包要能直接回到客戶機；NAT模式，要求回包經過負載均衡器；TUNNEL模式要求後端支援IPIP隧道
方法2: L3的二次連線模式
介紹：是指負載均衡器和後端重新進行三次握手，但保持資料包的源IP為真實IP。
實現：haproxy（開啟tproxy透明代理模式）+ iptables（fwmark打標記）+ 策略路由這3者組合才能實現
優點：可以實現L7層（如HTTP/HTTPS）的負載均衡，而一次連線主要實現L4層的負載均衡
缺點：配置最複雜，同時要求回包經過負載均衡器
方法3: L4的toa模式
介紹：在4層的option欄位裡增加源IP資訊，比如在tcp option裡增加源IP資訊（稱為toa）、udp option裡增加源IP資訊（稱為uoa）
實現：負載均衡器配置lvs-fullnat（只支援toa），iqiyi/dpvs（支援toa和uoa）；後端要載入toa、uoa模組，這個模組的作用是替換了後端應用程式獲取IP的系統介面的鉤子
優點：對網路架構要求低
缺點：lvs-fullnat需要編譯核心，且只支援rhel/centos 6的核心，另外多年未更新；iqiyi/dpvs功能強大，但需要dpdk的支援；後端都需要載入toa/uoa模組，且只支援linux系統。
方法4: L4的proxy protocol模式
介紹：在L7層開頭增加proxy protocol資料（該協議是haproxy發明），目前有v1（明文）和v2（二進位制）版本
實現：負載均衡器和後端同時開啟proxy protocol，haproxy和nginx均支援，不過haproxy的配置顆粒度更小，另外nginx轉發資料時候只支援v1
優點：對網路架構要求低，只要程式支援即可，因此理論上沒有作業系統限制
缺點：目前支援proxy protocol的程式較少，且兩端只能都開啟或者都不開啟該協議，不能一端開一端不開
方法5: L7協議自帶，例如HTTP的X-FORWARD-FOR
介紹：最常見的方法，協議自帶源IP資訊，或者可定製插入
實現：例如HTTP協議有X-FORWARD-FOR，也可以自己將源IP插入到HTTP頭部資訊裡
優點：對網路架構要求低，配置簡便
缺點：容易被偽造
方法6: L7層業務程式自行實現
介紹：最好的方法，就是業務方自行實現
實現：業務自行實現，例如在client端插入源IP資訊，帶到server端
優點：對網路架構無要求，只要網路可通即可，只要安全做好，不容易被偽造
缺點：業務方要有一定開發能力
總結
如果能做到無狀態，不需要真實源IP，是最好的。因為這樣對底層架構沒有要求，底層架構就可以做的更高階更彈性。
如果一定要獲得真實源IP，推薦方案的順序就是倒推，從L7到L3，即首選方法6，如果不行再選用方法5，以此類推到方法1。
加入知數堂
挑戰40萬+年薪！
知數堂
葉金榮與吳炳錫聯合打造
領跑IT精英培訓
行業資深專家強強聯合，傾心定製
MySQL實戰/MySQL優化/MongoDB / Python/ SQL優化
數門精品課程
“閱讀原文”可獲更多正課試聽視訊
密碼：hg3h
緊隨技術發展趨勢，定期優化培訓教案
融入大量生產案例，貼合企業一線需求
社群陪伴學習，一次報名，可學1年
DBA、開發工程師必修課
上千位學員已華麗轉身，薪資翻番，職位提升
改變已悄然發生，你還在等什麼？
掃碼加入知數堂4群-王者峽谷
（QQ群號：650149401）