proto.lib

PROXY Protocol: giữ đúng IP client qua proxy TCP

Một proxy L4 chấm dứt kết nối TCP của client rồi mở kết nối MỚI tới backend, nên backend chỉ thấy địa chỉ của proxy — mọi rate limit, audit log, rule theo geo đều sai; PROXY protocol chèn một header nhỏ (v1 text hoặc v2 binary) ở đầu kết nối mới để mang địa chỉ nguồn/đích thật, và backend phải được cấu hình để nhận diện, chỉ tin header này từ các địa chỉ proxy đáng tin.

TransportTrung bình2026-08-20
PROXY Protocol: giữ đúng IP client qua proxy TCP

Tags

#proxy-protocol#load-balancer#client-ip#x-forwarded-for#tcp#spoofing#l4-proxy

Tài liệu tham khảo

Mở rộng

Animation gốc là một file HTML tự chứa, có thể nhúng lại ở bất kỳ trang nào khác. Mở file gốc

Liên quan

TransportNâng cao

Proxy zero-copy bằng splice() (kernel pipe)

Một proxy TCP thuần chuyển tiếp byte có thể tránh copy dữ liệu vào userspace: thay vì read() vào buffer rồi write() ra, splice() di chuyển dữ liệu giữa hai socket qua một pipe trong kernel, giảm một nửa số lượt copy và syscall so với read/write thường.

#splice#zero-copy#proxy#pipe
TransportNâng cao

Lan truyền RST qua Proxy Lớp 4

Khi backend abort một kết nối, một proxy L4 có thể forward nguyên RST cho client (client thấy transfer thất bại/bị cắt) hoặc chuyển nó thành một close bình thường (client thấy response ngắn nhưng "thành công"); chọn sai nghĩa là client coi một response chưa đầy đủ là đã hoàn tất.

#rst#proxy#l4-proxy#tcp-reset
TransportNâng cao

TLS Resumption thất bại khi load balancer đổi node

Session ticket được mã hoá bằng khoá mà chỉ server ĐÃ PHÁT ra nó giữ, nên khi có nhiều terminator TLS sau một load balancer, client resume nhầm sang node khác sẽ phải bắt tay đầy đủ thay vì đi đường nhanh; khắc phục bằng khoá ticket dùng chung, xoay vòng định kỳ (hoặc session cache dùng chung) — đánh đổi bảo mật vì một khoá rò rỉ ảnh hưởng mọi server.

#tls#session-resumption#session-ticket#load-balancer