群晖在Frp内网穿透下获取真实IP，以及自动切换内外网

转载请注明出处，本文仅用于学习交流，不对之处，恳请指正，部分图片摘取网络，如有侵权请联系

群晖在内网穿透工具下，如果使用的是HTTPS，或者TCP的方式，则无法正确获取用户的真实IP，这将影响群晖基于IP的功能，如防火墙拉黑暴力破解的IP等。那么我们可以考虑通过Proxy Protocol的方式来解决该问题。

前言

我们在将内网的NAS发布到公网的方式一般有使用公网IP，或者通过内网穿透等方式。我使用的是Frp（高性能反向代理应用）这个工具。今天刚好跟朋友林陈陈的小站闲聊的时候：提到了群晖在内网穿透的情况下，如何获取真实IP的问题。

刚好我之前有写过群晖WebDAV使用，并在穿透下获取真实IP，于是便想顺便将群晖网页服务如何获取真实IP的方式也记录下来。

需求

1. 群晖默认通过Header中的X-Forwarded-For来获取用户的真实IP，而Frp的HTTP类型也默认开启该功能。获取用户真实 IP。所以如果你使用的是HTTP类型来访问你的NAS，则将Frp的流量指向对应的NAS IP地址即可

2. 如果你使用的是TCP或者HTTPS的方式来访问你的NAS，则需要使用Proxy Protocol协议来获取用户的真实IP。刚好群晖使用的是Nginx作为网页服务器，Nginx支持Proxy Protocol协议。

3. 随着现在IPv6的普及，我们大多数宽带都拥有IPv6的公网IP，那么我们再通过IPv6直连NAS的时候，也应该获取到对应的真实IP。

4. 附加需求：当我们回到局域网的时候，应自动切换到局域网的IP进行访问，以保证我们的最佳访问速度。

测试环境

1. OpenWrt：Frpc插件 0.42.0 版本
2. Debian11：Frps服务端 0.42.0 版本
3. 群晖：DS3617xs 6.2.3版本

方案

随便画，将就看...

Frpc 配置

本文着重于如何使用Proxy Protocol协议

Frpc 代码配置

1. 如果你使用的是独立的Frpc客户端，则你可以通过以下代码配置来开启Proxy Protocol

   # 中括号内填入你的服务的唯一标识
   [alainlam.cn]
   # 类型可以是http，https，tcp等
   type=https
   # 自定义域名，需要将你的域名解析到对应的FRPS服务器IP
   custom_domains=alainlam.cn
   # 局域网内NAS服务器的IP
   local_ip=192.168.1.1
   # 为了满足公网IPv6以及局域网的IPv4也能够获取正确的真实IP
   # 我们可以将Nginx监听的Proxy Protocol协议放在其他端口上
   local_port=55001
   # 开启Proxy Protocol V2版本
   proxy_protocol_version=v2
   # 启用加密
   use_encryption=true
   # 启用压缩
   use_compression=true

2. 重启Frpc客户端

   systemctl restart frpc.service

OpenWrt中配置Frpc

kuoruan/openwrt-frp

OpenWrt支持Frpc插件，我们可以使用该插件来配置Frpc。

1. 在服务中，找到Frp内网穿透

2. 在基础配置中写入你的服务器配置信息

   

3. 在服务列表中新增一项服务，并启用Proxy Protocol协议

   

4. 点击保存，Frpc会自动重启

群晖使用Proxy Protocol协议

1. 使用ssh连接到群晖

2. 切换到root用户

   sudo -i

3. 阅读群晖的nginx的配置文件

   cat /etc/nginx/nginx.conf

   我们可以在配置文件的结尾看到以下代码，故我们可以将我们的Nginx配置文件放置在/etc/nginx/conf.d/目录下，并以http.*.conf格式命名，这样群晖的Nginx会自动引用相应的配置文件，且不会被系统所覆盖修改。

   注意我这里使用的是DS3617xs 6.2.3版本，请注意查阅你的版本是否相同！

   

4. 编写反向代理配置，并开启Proxy Protocol协议，请根据你的具体情况以及以下注释说明进行适当调整

   server {
       # 监听IPv4，并开启Proxy Protocol协议
       listen 55001 ssl proxy_protocol;
   
       # 监听IPv6，并开启Proxy Protocol协议
       listen [::]:55001 ssl proxy_protocol;
   
       # 监听的域名，与你的Frpc服务所配置的custom_domains一致
       server_name alainlam.cn;
   
       # 排除Cloudflare CDN的IP
       # 如果你有使用到CDN的服务的话，一般NAS不会使用到此类IP
       # 仅供参考
       set_real_ip_from 173.245.48.0/20;
       set_real_ip_from 103.21.244.0/22;
       set_real_ip_from 103.22.200.0/22;
       set_real_ip_from 103.31.4.0/22;
       set_real_ip_from 141.101.64.0/18;
       set_real_ip_from 108.162.192.0/18;
       set_real_ip_from 190.93.240.0/20;
       set_real_ip_from 188.114.96.0/20;
       set_real_ip_from 197.234.240.0/22;
       set_real_ip_from 198.41.128.0/17;
       set_real_ip_from 162.158.0.0/15;
       set_real_ip_from 104.16.0.0/13;
       set_real_ip_from 104.24.0.0/14;
       set_real_ip_from 172.64.0.0/13;
       set_real_ip_from 131.0.72.0/22;
       set_real_ip_from 2400:cb00::/32;
       set_real_ip_from 2606:4700::/32;
       set_real_ip_from 2803:f800::/32;
       set_real_ip_from 2405:b500::/32;
       set_real_ip_from 2405:8100::/32;
       set_real_ip_from 2a06:98c0::/29;
       set_real_ip_from 2c0f:f248::/32;
   
       # 排除本地IP，请根据你的具体情况配置
       set_real_ip_from 192.168.1.0/24;
       set_real_ip_from 10.0.0.0/8;
   
       # 排除服务器IP
       set_real_ip_from 你运行Frps的服务器IP地址
   
       # 真实IP使用proxy_protocol协议
       real_ip_header proxy_protocol;
   
       # 开启排除IP功能
       real_ip_recursive on;
   
       proxy_headers_hash_max_size 512;
       proxy_headers_hash_bucket_size 128;
   
       # 反向代理
       location / {
           # 目标地址，群晖默认HTTPS地址为5001，请根据实际情况调整
           proxy_pass https://localhost:5001;
   
           # 兼容http
           # proxy_set_header Upgrade-Insecure-Requests 1;
   
           # 告诉后端使用ssl
           proxy_ssl_server_name on;
   
           # 客户端使用的http协议
           proxy_set_header X-Forwarded-Proto $scheme;
           proxy_set_header X-Scheme $scheme;
   
           # 客户端host
           proxy_set_header Host $host;
           proxy_set_header REMOTE-HOST $remote_addr;
           proxy_set_header X-Forwarded-Host $http_host;
   
           # 完整URI
           proxy_set_header X-Original-URI $request_uri;
   
           # 客户端使用的端口
           proxy_set_header X-Real-Port $proxy_protocol_port;
   
           # 多层代理IP
           proxy_set_header X-Forwarded-For $proxy_protocol_addr;
   
           # 客户端IP，群晖默认会通过X-Real-IP获取用户IP
           proxy_set_header X-Real-IP $proxy_protocol_addr;
   
           # 支持Websocket
           # 如果你使用诸如Docker bash此类的功能，则需要开启Websocket
           proxy_set_header Upgrade $http_upgrade;
           proxy_set_header Connection Upgrade;
           proxy_connect_timeout 60s;
           proxy_read_timeout 60s;
           proxy_send_timeout 12s;
       }
   }

5. 测试nginx配置是否正确

   nginx -t

   正确则返回

   nginx: the configuration file /etc/nginx/nginx.conf syntax is ok
   nginx: configuration file /etc/nginx/nginx.conf test is successful

6. 重载Nginx

   nginx -s reload

7. 完成

局域网与公网自动切换

如果我们的电脑或者手机的网关以及DNS服务器指向是我们的主路由局域网IP地址，则我们可以在路由器中对相应的域名进行拦截。

比如在OpenWrt中：

参考

1. 群晖WebDAV使用，并在穿透下获取真实IP
2. 获取用户真实 IP