H3C的防火墙能够识别报文中的XFF字段吗

是的，H3C的防火墙能够识别报文中的X-Forwarded-For (XFF) 字段。

这个功能主要用于在CDN、反向代理等场景下，帮助防火墙获取经过代理转发的请求的真实客户端IP地址。

🔍 如何配置和使用XFF识别

要让防火墙识别XFF字段，主要通过“真实源IP提取”功能实现。以下是关键配置步骤：

1. 启用真实源IP提取功能：在系统视图下，配置防火墙从HTTP头的X-Forwarded-For字段提取真实源IP。

   text

   system-view inspect real-ip detect-field xff priority 100

   • priority：用于指定解析的优先级，数字越大优先级越高。

   • 多字段支持：如果使用自定义头部（如Ali-Cdn-Real-Ip），也可以配置为备选提取源。

2. 在安全策略中调用应用层检测引擎(DPI)：这是最关键的一步。仅有上述配置不够，必须在安全策略中引用DPI（深度包检测）引擎，该功能才会生效。

   text

   security-policy ip rule name "your_rule_name" action pass profile application inspect // 调用DPI引擎 source-zone trust destination-zone untrust

   注意：如果流量是HTTPS加密的，还需配置SSL解密功能，否则防火墙无法读取加密报文中的XFF字段。

⚙️ 典型应用场景

配置完成后，防火墙可以利用提取的真实IP进行多种操作：

• 基于真实IP的黑名单阻断：可以精准阻断某个真实客户端IP，而不是误封CDN节点IP。

• 在安全日志中记录真实IP：在WAF或IPS日志中记录攻击者的真实IP地址。

⚠️ 注意事项

• 仅适用于七层流量：XFF是HTTP头部字段，只对HTTP/HTTPS等七层流量有效。

• XFF取值规则：如果XFF字段包含多个IP（如client, proxy1, proxy2），防火墙默认取最左侧(client)的IP作为真实源IP。

• 与NAT日志的区别：XFF功能不影响防火墙自身的NAT会话日志，那些日志记录的仍是转换后的IP地址。