Proxy Protocol là gì? Cách giữ lại IP gốc qua proxy

Proxy Protocol là cơ chế truyền địa chỉ IP và cổng gốc của client qua proxy hoặc load balancer đến máy chủ đích. Bài viết dành cho anh em quản trị server, DevOps và người đang tìm hiểu hạ tầng proxy. Cùng ProxyVN làm rõ cách hoạt động, điểm khác với dịch vụ đổi IP và những trường hợp nên sử dụng giao thức này.

Proxy Protocol là gì và dùng để làm gì?

Proxy Protocol là giao thức do HAProxy phát triển để chuyển thông tin kết nối gốc qua NAT, TCP proxy hoặc bộ cân bằng tải. Dữ liệu gồm IP và cổng của hai đầu kết nối.

Giao thức Proxy

Khi load balancer kết nối tới backend, máy chủ thường chỉ thấy IP trung gian. Do đó, log và chính sách theo IP có thể nhận sai đối tượng.

Giao thức đặt dữ liệu ngắn ở đầu kết nối để backend khôi phục thông tin client. Đặc tả của HAProxy cho biết cơ chế có thể truyền dữ liệu qua nhiều lớp NAT hoặc TCP proxy.

Điểm cần nhớ: đây là giao thức bảo toàn thông tin IP, không phải dịch vụ giúp người dùng đổi IP hoặc tăng mức độ ẩn danh.

Cách Proxy Protocol chuyển IP gốc đến backend

Mô hình cơ bản gồm client, load balancer và backend. Khả năng nhận diện client phụ thuộc vào cấu hình giữa hai tầng cuối.

Cách giao thức proxy chuyển IP gốc đến backend

Khi chưa bật giao thức

Load balancer nhận kết nối của người dùng rồi mở kết nối khác tới backend. Máy chủ ứng dụng thường ghi nhận IP nguồn là IP của load balancer.

Điều này dễ tạo ra các vấn đề sau:

• Nhiều người truy cập xuất hiện dưới cùng một IP.

• Log, rate limit và danh sách chặn có thể nhận sai đối tượng.

Khi giao thức được bật

Thiết bị trung gian đặt thông tin gốc trước dữ liệu ứng dụng. Backend đọc phần này rồi xử lý nội dung còn lại.

Một dòng phiên bản 1 có thể trông như sau:

PROXY TCP4 203.113.45.67 192.168.0.1 12345 80

203.113.45.67 là IP nguồn, 192.168.0.1 là IP đích. Hai số cuối là cổng nguồn và cổng đích. IP thứ hai không mặc định là IP của proxy.

Dòng trên không phải HTTP header mà là phần mở đầu của luồng kết nối. Tài liệu NGINX ghi nhận khả năng sử dụng với HTTP, SSL, WebSocket và TCP.

Hai phiên bản phổ biến

• Phiên bản 1: định dạng văn bản, dễ kiểm tra thủ công.

• Phiên bản 2: định dạng nhị phân, gọn hơn và hỗ trợ metadata qua trường TLV.

HAProxy nhận được cả hai định dạng với accept-proxy. Hai đầu vẫn phải hỗ trợ cách giao tiếp đã chọn.

Điểm khác giữa Proxy Protocol và dịch vụ proxy

Khác biệt cốt lõi nằm ở mục đích. Giao thức này giữ thông tin client cho backend, còn dịch vụ proxy hướng ra Internet thường thay IP mà website đích nhìn thấy.

So với proxy 4G

• Proxy 4G cấp IP mạng di động để chuyển lưu lượng ra Internet. Giao thức truyền IP gốc không cấp IP mới mà chuyển thông tin client về backend.

So với datacenter proxy

• Datacenter proxy dùng IP trung tâm dữ liệu, phù hợp nhiều tác vụ tự động. Cơ chế của HAProxy chỉ trao đổi dữ liệu giữa các tầng hạ tầng đã được cấu hình tương thích.

So với residential proxy

• Residential proxy dùng IP gắn với ISP dân dụng. Giao thức bảo toàn IP không mô phỏng người dùng hộ gia đình; giá trị của nó nằm ở log và nhận diện kết nối chính xác.

So với X-Forwarded-For

• X-Forwarded-For chuyển IP trong yêu cầu HTTP. Phần mở đầu PROXY hoạt động ở cấp kết nối, nên còn phù hợp với dịch vụ TCP không sử dụng HTTP.

Ứng dụng thực tế của Proxy Protocol

Giao thức hữu ích khi thiết bị trung gian làm backend mất IP nguồn. Ba ứng dụng dưới đây thể hiện rõ giá trị này.

Ứng dụng của giao thức proxy

Cân bằng tải và ghi log

HAProxy hoặc NGINX chuyển thông tin nguồn để máy chủ ghi đúng IP client, hỗ trợ đối chiếu log và điều tra lỗi.

Tài liệu AWS cho biết Network Load Balancer hỗ trợ phiên bản 2 nhưng mặc định tắt. Quản trị viên cần chủ động bật và chuẩn bị backend tương thích.

Kiểm soát truy cập

Khi nhận đúng IP nguồn, hệ thống áp dụng rate limit và danh sách chặn chính xác hơn. Nếu mọi kết nối cùng hiện dưới IP load balancer, chính sách dễ áp dụng nhầm.

Dù vậy, dữ liệu chỉ đáng tin khi đến từ thiết bị trung gian được cho phép. Nhận phần mở đầu PROXY trực tiếp từ nguồn công khai có thể tạo nguy cơ giả mạo IP.

Hạ tầng nhiều lớp

Trong chuỗi gồm edge proxy, firewall, load balancer và backend, IP nguồn dễ biến mất. Giao thức giúp chuyển dữ liệu qua các lớp có hỗ trợ.

Cloudflare Spectrum hỗ trợ chuyển IP client tới origin. Điều đó không đồng nghĩa mọi dịch vụ Cloudflare đều bật cơ chế này mặc định.

Đối tượng nên tìm hiểu Proxy Protocol

Nhóm sử dụng chính gồm kỹ sư DevOps, quản trị mạng, đội bảo mật và đơn vị vận hành load balancer.

Người làm marketing, SEO hoặc quản lý nhiều tài khoản thường cần đổi IP đầu ra. Khi đó, proxy 4G, datacenter hoặc residential phù hợp hơn.

Cách chọn nhanh: cần backend biết client gốc, hãy xem xét giao thức bảo toàn IP. Cần website đích nhìn thấy một IP khác, hãy chọn dịch vụ proxy.

Kinh nghiệm triển khai Proxy Protocol an toàn

Một lỗi thường gặp là backend bật chế độ nhận nhưng load balancer chưa gửi phần mở đầu. Máy chủ chờ đúng định dạng nên có thể từ chối kết nối.

Ngược lại, load balancer gửi dòng PROXY nhưng backend coi đó là nội dung ứng dụng. Vấn đề nằm ở sự thiếu đồng bộ giữa hai đầu, không nhất thiết do đường truyền.

Trước khi đưa vào môi trường chính, anh em nên kiểm tra:

• Xác nhận thiết bị gửi và backend hỗ trợ cùng phiên bản.

• Chỉ nhận dữ liệu từ IP proxy hoặc load balancer tin cậy.

• Thử trên một backend nhỏ trước khi mở rộng.

• Kiểm tra log đã nhận đúng IP nguồn và cổng.

• Theo dõi tỷ lệ kết nối lỗi sau khi đổi cấu hình.

• Chuẩn bị phương án quay lại nếu ứng dụng chưa tương thích.

Một case điển hình là website vẫn mở nhưng log còn hiện IP load balancer. Đội vận hành phải đối chiếu thêm IP và cổng nguồn.

Giao thức không tự đổi IP, mã hóa hay xác thực dữ liệu. Vì vậy, anh em vẫn cần bảo vệ đường truyền, giới hạn nguồn tin cậy và bật cấu hình tương ứng ở cả hai đầu.

Proxy Protocol không phải công cụ đổi IP mà giúp backend nhận diện đúng client sau load balancer. Hiểu đúng bản chất hỗ trợ ghi log, kiểm soát truy cập và tránh nhầm với proxy 4G. Khi cần dịch vụ đổi IP ổn định, anh em có thể tham khảo Proxy.vn - Nhà cung cấp dịch vụ proxy chất lượng hàng đầu Việt Nam; hạ tầng server cần cấu hình Proxy Protocol đồng bộ.