PROXY プロトコルのサポートにより、SecurityGatewayはHAProxyなどのロードバランサーやリバースプロキシの背後に配置されても、プロキシ自身のIPアドレスではなく、元のクライアントの真のIPアドレスを認識できます。SecurityGatewayは、HAProxyおよび互換プロキシで使用されるテキストベースのPROXY プロトコルバージョン1と、バイナリ形式のバージョン2の両方を自動的に検出し、サポートします。PROXY プロトコルのサポートはグローバルオプションであり（ドメインごとに設定することはできません）、有効にすると新規接続に対して変更が即座に反映されます。
構成
全てのSMTPとHTTPポートにPROXYプロトコルを有効にする
このボックスをオンにすると、すべてのSMTPおよびHTTPリスニングポートでPROXY プロトコルのサポートが有効になります。以下で指定された信頼するプロキシIPアドレスからの接続は、TCP接続が開かれた直後にPROXY プロトコルを使用することが必須になります。プロキシヘッダーが直ちに送信されない場合、その接続の続行は許可されません。それ以外のIPからの接続はPROXY プロトコルの使用を許可されず、通常の直接接続として扱われます。
信用するプロキシーIPアドレス
ここに信頼するプロキシIPアドレスを一覧登録します。これらのIPアドレスからの接続では、PROXY プロトコルヘッダーの送信が必須となります。唯一の例外はlocalhostです。localhostを信頼するプロキシIPアドレスの一覧に追加した場合、localhost接続についてはPROXY プロトコルの使用は任意になります。
|
SecurityGatewayが、ソケット上でPROXY プロトコルヘッダーらしきデータを検出したものの、その接続が信頼リスト内のIPからのものではなかった場合、そのヘッダーに基づいて処理を行う代わりに、システムログに警告を記録します。この警告が表示される場合、通常は新しいロードバランサーやプロキシのIPを信頼リストに追加する必要があるか、あるいは何らかの送信元が送信元アドレスを偽装しようとして偽造されたPROXYヘッダーを送信していることを意味します。いずれの場合も調査する価値があります。 |
追加
SecurityGatewayへ接続を転送するプロキシまたはロードバランサーのIPアドレスを入力し、[追加]をクリックして一覧に追加します。各エントリは、有効な単一のIPv4またはIPv6アドレスである必要があります。アドレスマスク、ワイルドカード、CIDR範囲はここではサポートされていません。
削除
信用するプロキシーIPアドレスの一覧から1つまたは複数のエントリを選択し、[削除]をクリックして削除します。
