Récupérer real IP derriere IPLB

Une capture de ce a quoi ressemblent les ips que je récupère (elles ne correspondent pas au NAT qui est 10.71.64.8/29):

Bonjour,

Les ranges d'adresses IP utilisées pour faire le NAT ont changées lors de la migration qui a eu lieu fin Août, les nouvelles ranges correspondent bien aux entrées dans les logs (10.108.xxx.xxx).

La configuration qui devrait fonctionner :
set_real_ip_from 10.108.0.0/16;
real_ip_header X-Forwarded-For;

Merci pour ta réponse mais ça marche pas avec ça, j'avais déjà essayé.
C bien le bon header qui est transmis par ipbl (majuscules, minuscules) ?
Tu arrives à récupérer tes ips visiteurs avec une conf identique ?

Oui, je viens de valider à nouveau. Sans les options en question, l'ip réelle apparait en fin de ligne du log nginx par défaut. Avec les options, l'ip en premier élément dans les logs est remplacée par l'ip réelle.

Sans option :
10.108.24.201 - - [26/Oct/2016:11:26:38 +0200] "GET / HTTP/1.1" 200 612 "-" "curl/7.43.0" "213.186.33.34"

Avec option :
213.186.33.34 - - [26/Oct/2016:11:27:25 +0200] "GET / HTTP/1.1" 200 612 "-" "curl/7.43.0" "213.186.33.34"

Ma configuration de test est celle par défaut, au delta des options dont nous parlons :

user nginx;
worker_processes 1;

error_log /var/log/nginx/error.log warn;
pid /var/run/nginx.pid;


events {
worker_connections 1024;
}


http {
include /etc/nginx/mime.types;
default_type application/octet-stream;
set_real_ip_from 10.108.0.0/16;
real_ip_header X-Forwarded-For;

log_format main '$remote_addr - $remote_user [$time_local] "$request" '
'$status $body_bytes_sent "$http_referer" '
'"$http_user_agent" "$http_x_forwarded_for"';

access_log /var/log/nginx/access.log main;

sendfile on;
#tcp_nopush on;

keepalive_timeout 65;

#gzip on;

include /etc/nginx/conf.d/*.conf;
}

@ArnaudJ, sur la page web nginx de base, ca marche, j'arrive a avoir la bonne ip cliente.

Par contre sur mon site en prod qui utilise https et http2, j'ai toujours les ips privées de l'IPLB.
Mon load balancing ne gere pas le ssl, je le gere au niveau des serveurs web.

D'après toi, c'est possible que ca soit ca qui pose problème (le ssl), ou je dois chercher autre part dans ma conf ?

Sans aucun doute, c'est bien cela qui provoque l'absence du header.

Dans la mesure ou le flux est chiffré, IPLB est incapable de le modifier, et donc d'ajouter le header X-Forwarded-For.

Il y a plusieurs manière de gérer ce cas.
1) Tu remontes le certificat coté IPLB et tu laisse le flux en clair entre IPLB et ton serveur
2) Tu remontes le certificat coté IPLB et tu le laisse aussi coté serveur, en précisant a IPLB, via l'api, que tu souhaite joindre ton serveur en https. Le flux sera alors déchiffré coté IPLB, et re-chiffré avant de joindre ton serveur.