‫مقابله با جعل آدرس IP در برنامه‌های ASP.NET Core پشت سرور پروکسی معکوس Nginx

چکیده: در معماری‌های وب متداول، سرویس برنامه‌های کاربردی دات‌نت (ASP.NET Core Kestrel) در لایه داخلی شبکه و پشت یک پروکسی معکوس مانند Nginx قرار می‌گیرد. در چنین چینش‌هایی، تشخیص صحیح آدرس IP واقعی کلاینت (Client IP) برای ثبت وقایع، محدودسازی نرخ تراکنش‌ها (Rate Limiting)، اعتبارسنجی‌های امنیتی و کشف حملات از اهمیت حیاتی برخوردار است. با این حال، استفاده نادرست از هدرهای HTTP نظیر X-Forwarded-For و X-Real-IP بدون اعتبارسنجی مرز اعتماد شبکه، منجر به آسیب‌پذیری جعل هدر (Header Spoofing / IP Spoofing) می‌شود. مهاجمان با ارسال هدرهای ساختگی (مانند آدرس‌های خصوصی نظیر 10.0.0.1) هویت واقعی خود را پنهان کرده و سدهای نظارتی و امنیتی نرم‌افزار را دور می‌زنند. این مقاله با تحلیل ریشه‌ای این آسیب‌پذیری در تعامل Nginx و Kestrel، خطرات پارس دستی هدرها در کدهای #C را بررسی کرده و راهکار استاندارد و دومرحله‌ای اصلاح پیکربندی Nginx و به‌کارگیری میدل‌ویر رسمی ForwardedHeadersMiddleware در دات‌نت را تشریح می‌کند.

proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;

X-Forwarded-For: 10.0.0.1

X-Forwarded-For: 10.0.0.1, 203.0.113.50

[ کلاینت / مهاجم ] 
       │
       ▼  (درخواست با هدرهای جعلی X-Forwarded-For: 10.0.0.1)
┌────────────────────────────────────────────────────────┐
│ Nginx (Reverse Proxy)                                  
│  - پاکسازی هدرهای قبلی                                 
│  - ست کردن هدر با IP سوکت فیزیکی ($remote_addr)        
└────────────────────────────────────────────────────────┘
       │
       ▼  (X-Forwarded-For: 203.0.113.50)
┌────────────────────────────────────────────────────────┐
│ ASP.NET Core (Kestrel)                                 
│  - ForwardedHeadersMiddleware                          
│  - اعتماد فقط به پروکسی معتبر (127.0.0.1)             
│  - ثبت دقیق در HttpContext.Connection.RemoteIpAddress   
└────────────────────────────────────────────────────────┘

server {
    listen 80;
    server_name example.com;

    location / {
        # بازنویسی قطعی با IP سوکت واقعی کلاینت (حذف هدرهای جعلی ورودی)
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $remote_addr;

        # حفظ متادیتای مورد نیاز پروتکل و دامنه
        proxy_set_header Host $host;
        proxy_set_header X-Forwarded-Proto $scheme;

        proxy_pass http://127.0.0.1:5000;
    }
}

sudo nginx -t && sudo systemctl reload nginx

using System.Net;
using Microsoft.AspNetCore.HttpOverrides;

var builder = WebApplication.CreateBuilder(args);

// ۱. تنظیم گزینه‌های هدرهای ارسالی
builder.Services.Configure<ForwardedHeadersOptions>(options =>
{
    options.ForwardedHeaders = ForwardedHeaders.XForwardedFor | ForwardedHeaders.XForwardedProto;

    // پاکسازی شبکه‌ها و پروکسی‌های پیش‌فرض
    options.KnownNetworks.Clear();
    options.KnownProxies.Clear();

    // تعیین دقیق مرز اعتماد: تنها Nginx لوکال مجاز به بازنویسی هدرها است
    options.KnownProxies.Add(IPAddress.Loopback);
    options.KnownProxies.Add(IPAddress.IPv6Loopback);
});

var app = builder.Build();

// ۲. ثبت میدل‌ویر در ابتدای پایپ‌لاین قبل از احراز هویت و لاگینگ
app.UseForwardedHeaders();

app.MapGet("/api/client-ip", (HttpContext context) =>
{
    // مقدار RemoteIpAddress به طور خودکار حاوی آدرس واقعی کلاینت خواهد بود
    var clientIp = context.Connection.RemoteIpAddress?.ToString();
    return Results.Ok(new { ClientIP = clientIp });
});

app.Run();

نکته کلیدی در معماری امن: متغیرهای KnownProxies و KnownNetworks دیواره آتشین میدل‌ویر هستند. اگر بسته‌ای مستقیماً (با دور زدن Nginx) به پورت Kestrel ارسال شود، چون فرستنده آن در لیست KnownProxies نیست، ASP.NET Core هدرهای X-Forwarded-* را نادیده گرفته و دست‌کاری رد خواهد شد.

var rawIp = context.Connection.RemoteIpAddress;
var normalizedIp = rawIp is not null && rawIp.IsIPv4MappedToIPv6 
    ? rawIp.MapToIPv4() 
    : rawIp;

• استفاده از $remote_addr آدرس گره‌های CDN را ثبت می‌کند.
• راهکار امن، بهره‌گیری از ماژول ngx_http_realip_module در Nginx است:
• با دستور set_real_ip_from، تنها بازه‌های IP رسمی سرورهای CDN به عنوان مبدا معتبر معرفی می‌شوند.
• هدر ارائه‌شده توسط CDN (مانند CF-Connecting-IP) به عنوان منبع استخراج آدرس واقعی کلاینت معین می‌گردد.

# نمونه مسدودسازی در Nginx
deny 203.0.113.50;

• در سطح وب‌سرور (Nginx): هدرهای غیرمطمئن ارسالی از سوی کلاینت‌ها با مقدار $remote_addr جایگزین شوند تا جعل هدر در لایه لبه متوقف شود.
• در سطح برنامه دات‌نت: با جایگزینی متدهای دستی با میدل‌ویر استاندارد ForwardedHeadersMiddleware و تعیین صریح KnownProxies، اطلاعات هویتی درخواست به شکل ایمن و شفاف در چرخه حیات HttpContext در دسترس قرار گیرد.