Amortisseur à ressort avec Tomcat intégré derrière le proxy Apache

votre mandataire a l'air bien, et l'appli backend aussi, jusqu'à un certain point, mais il ne semble pas voir le RemoteIpValve demande modifiée. Le comportement par défaut de l' RemoteIpValve inclut une correspondance de modèle pour l'adresse IP du mandataire (comme une vérification de sécurité) et ne modifie que les requêtes qu'il pense être d'un mandataire valide. Le modèle par défaut dans la botte de printemps à un ensemble bien connu d'adresses IP internes comme 10.*.*.* et 192.168.*.*, donc si votre proxy n'est pas sur l'un de ces, vous devez explicitement configurer, par exemple,

server.tomcat.internal-proxies=172\.17\.\d{1,3}\.\d{1,3}|127\.\d{1,3}\.\d{1,3}\.\d{1,3}

(en utilisant le format de fichier properties, ce qui signifie que vous devez double escape the backslashes).

Vous pouvez voir ce qui se passe dans le RemoteIpValve si vous définissez

logging.level.org.apache.catalina.valves.RemoteIpValve=DEBUG

ou définir un point d'arrêt.

une solution typique à ce problème est de laisser le proxy gérer toute réécriture requise. Par exemple, dans Apache, vous pouvez utiliser le rewrite_module et/ou headers_module pour corriger les en-têtes. Comme autre exemple, Nginx gère ce cas et d'autres similaires automatiquement pour vous après avoir configuré des serveurs amont.

En réponse aux commentaires:

Qu'est-ce que la configuration de démarrage à ressort remote_ip_header et protocol_header valeurs?

oublions la botte de printemps pendant un moment. Tomcat, le conteneur servlet intégré, dispose d'une valve appelée RemoteIpValve. Cette valve est un port de L'Apache remotip_module. Le but principal de cette soupape est de traiter "l'agent utilisateur qui a introduit la demande comme l'agent utilisateur d'origine" aux "fins d'autorisation et de journalisation". Pour cette vanne pour être utilisée, elle doit être configurée.

Veuillez trouver plus d'informations sur cette vanne ici.

démarrage à ressort prend en charge la configuration de cette valve via l'application.propriétés à travers le serveur.tomcat.remote_ip_header et serveur.tomcat.propriétés de protocol_header.

j'ai eu exactement le même cas en utilisant haproxy comme équilibreur de charge avec la configuration ci-dessous, ce qui m'a inquiété. La seule chose, c'est l'IP du client est dans request.getRemoteAddr() et pas "X-Forwarded-For" en-tête

frontend www
  bind *:80
  bind *:443 ssl crt crt_path
  redirect scheme https if !{ ssl_fc }
  mode http
  default_backend servers

backend servers
  mode http
  balance roundrobin
  option forwardfor
  server S1 host1:port1 check
  server S2 host2:port2 check
  http-request set-header X-Forwarded-Port %[dst_port]
  http-request add-header X-Forwarded-Proto https if { ssl_fc }

en application.propriétés:

 server.use-forward-headers=true

avez-vous essayé de définir

  server.context-path=/appname

Dans La Botte De Printemps?

Essayez de définir la règle de Réécriture comme: >>avant>> http://appserver:8080/appname

puis définissez le contexte de votre application à "appname" serveur.contexte-path=/appname

Donc localement, vous pouvez exécuter par http://appserver:8080/appname et via Proxy Inverse vous auriez accès via

depuis que j'utilise JBOSS, change en autonome.xm de jboss:

<http-listener name="default" socket-binding="http" redirect-socket="https" proxy-address-forwarding="true" enable-http2="true"/>

Tomcat aurait une configuration similaire, pour informer Tomcat (proxy-address-forwarding="true") de respecter l'adresse de forwarding du proxy.