宝塔面板配合CDN无法直接获取访客真实IP，必须通过配置Nginx/Apache反向代理头或使用宝塔自带的“获取真实IP”插件来解决，否则日志记录将全部指向CDN节点IP。
很多站长在接入CDN加速后,都会遇到一个头疼的问题：后台登录记录、访客统计、甚至安全防火墙的拦截日志，显示的都是阿里云、腾讯云或Cloudflare的节点IP，而不是用户真实的家庭或公司宽带IP，这不仅让数据分析失去意义，更可能导致误封正常用户，解决这个问题并非无解，核心在于理解HTTP请求头（Header）的传递机制，并在Web服务器层面正确解析这些头信息。
为什么CDN会隐藏真实IP
要解决问题,先要理解原理，当用户访问网站时，请求先到达CDN边缘节点，CDN节点为了加速，会代表用户向源站（你的服务器）发起请求，默认情况下，源站看到的请求来源IP是CDN节点的IP，这就好比你去邮局寄信，邮局的地址写的是中转站的地址，而不是你家的地址。
业内专家指出,这种机制在架构设计上是必要的，它保护了源站IP不被直接暴露，从而抵御DDoS攻击，但代价就是源站失去了对真实访客的感知能力，我们需要一种“透传”机制，让CDN在转发请求时，把原始IP信息塞进HTTP请求头里，然后让Web服务器（如Nginx或Apache）读取这个头信息，而不是直接使用连接层的源IP。
常见CDN服务商的透传机制对比
不同的CDN服务商,其透传IP所使用的HTTP头字段名称不同，如果配置错误，宝塔面板或Nginx就无法识别，以下是几种主流场景的对比：
- 阿里云/腾讯云CDN：通常使用
X-Forwarded-For或自定义头X-Real-IP。 - Cloudflare：使用
CF-Connecting-IP。 - 百度云加速：使用
X-Forwarded-For。 - 七牛云/又拍云：通常遵循标准
X-Forwarded-For。
如何确认你的CDN使用了哪个头字段
你可以使用浏览器的开发者工具（F12），在“网络”标签页中查看任意一个请求的“请求头”，查找包含“IP”或“Forwarded”字样的字段，如果找不到，请联系你的CDN服务商客服，询问“获取访客真实IP”需要配置哪个HTTP Header。
宝塔面板Nginx环境配置实操
绝大多数使用宝塔面板的用户都采用Nginx作为Web服务器,Nginx本身不解析 X-Forwarded-For 为远程地址，我们需要通过一段简单的配置指令来实现。
使用宝塔内置插件（推荐新手）
宝塔面板为了降低用户门槛,开发了专门的插件来自动处理这个问题，这是最安全、最不易出错的方式。
- 登录宝塔Linux面板。
- 进入左侧菜单的“软件商店”。
- 在“已安装”或“推荐应用”中搜索“获取真实IP”。
- 找到由宝塔官方提供的插件,点击“安装”。
- 安装完成后,插件会自动修改Nginx配置文件，并重启Nginx服务。
- 验证：查看网站日志，确认IP是否已变为访客真实IP。
手动修改Nginx配置文件（高级用户）
如果你不喜欢安装额外插件,或者使用的是非宝塔标准的Nginx环境，可以手动修改配置文件，此方法适用于宝塔Nginx获取真实IP的场景。
- 打开宝塔面板,点击“网站”，找到对应站点，点击“设置”。
- 进入“配置文件”选项卡。
- 在
http { ... }块内部，或者针对该站点的server { ... }块外部，添加以下代码，注意：不同CDN的头字段不同，请根据前文确认的方法选择。
以阿里云/腾讯云为例，配置如下：
set_real_ip_from 0.0.0.0/0; real_ip_header X-Forwarded-For; real_ip_recursive on;
set_real_ip_from：允许信任的IP段，对于CDN，通常建议设置为CDN厂商提供的IP段列表，而不是0.0.0/0（全信任），以防伪造，但为了简单起见，多数用户直接使用0.0.0/0。real_ip_header：指定读取哪个HTTP头，如果是Cloudflare，则改为CF-Connecting-IP。real_ip_recursive：开启递归解析，确保获取的是最原始的IP，而不是经过多层代理后的最后一个IP。
保存配置,并点击“重载配置”或“平滑重启”Nginx。
Apache环境下的配置方案
虽然Nginx占主流,但仍有部分用户使用Apache，Apache获取真实IP的逻辑与Nginx不同，需要加载特定的模块。
启用mod_remoteip模块
- 在宝塔面板的“软件商店”中，确保已安装Apache。
- 进入Apache的“配置”或“模块管理”。
- 找到
mod_remoteip模块并启用，如果找不到，可能需要手动编译安装。 - 在Apache的配置文件（通常是
httpd.conf或站点虚拟主机配置）中添加：
RemoteIPHeader X-Forwarded-For RemoteIPTrustedProxy 0.0.0.0/0
重启Apache服务。
宝塔Apache插件支持
类似于Nginx,宝塔也有针对Apache的“获取真实IP”插件，建议在“软件商店”中搜索并安装，这比手动修改Apache配置更安全，因为Apache的配置结构较为复杂，手动修改容易出错导致服务无法启动。
验证与常见问题排查
配置完成后,必须验证是否生效，不要只看后台显示，要看底层日志。
如何验证IP是否生效
-
查看Nginx/Apache访问日志：
- 在宝塔面板中,进入“网站”，点击“日志”。
- 刷新你的网站页面（建议使用手机4G网络或不同城市的网络，避免IP被CDN缓存或本地DNS解析为同一节点）。
- 查看最新的一条日志记录,如果IP地址是一串类似
114.114.114或你当前宽带IP的段，则配置成功，如果显示的是2.3.4（CDN节点IP），则配置失败。
-
使用在线工具：
- 访问
whatismyipaddress.com或类似网站，记录显示的IP。 - 在服务器终端执行
tail -f /www/wwwlogs/你的域名.log。 - 对比两者IP是否一致。
- 访问
常见错误：IP显示为内网IP或0.0.0.0
如果日志中显示 0.0.0 或 :1，通常是因为：
- 你正在通过本地回环地址访问服务器,而非通过公网域名。
- Nginx的
real_ip_recursive
配置错误，导致解析层级混乱。
- 使用了错误的HTTP头字段,对阿里云CDN使用了Cloudflare的头字段。
安全注意事项与最佳实践
获取真实IP虽然重要,但必须注意安全风险，如果配置不当，攻击者可以伪造 X-Forwarded-For 头，绕过你的IP黑名单或防火墙。
限制信任的CDN IP段
在生产环境中,不建议使用 0.0.0/0 作为 set_real_ip_from 的值，你应该定期下载CDN厂商提供的IP段列表（如阿里云的IP段JSON文件），并更新到你的配置中，虽然宝塔插件可能不支持动态更新IP段，但你可以手动编辑Nginx配置，将常用的CDN IP段写入，以提高安全性。
结合宝塔防火墙使用
宝塔面板自带的“网站防火墙”可以识别真实IP，在配置完获取真实IP后，确保防火墙规则是基于“访客IP”而非“连接IP”进行拦截，否则，防火墙可能会因为CDN节点的频繁请求而误封整个CDN节点，导致大量用户无法访问。
Q&A：宝塔CDN获取真实IP常见问题
宝塔CDN获取真实IP插件收费吗？
宝塔面板的“获取真实IP”插件是免费的，属于宝塔官方提供的系统级辅助插件，无需额外购买授权，用户可以直接在软件商店中搜索并一键安装，安装后会自动处理Nginx或Apache的配置修改，无需手动编写代码。
为什么配置后IP还是CDN的IP？
这种情况通常由三个原因导致：第一，CDN服务商使用的HTTP头字段与配置不符，例如Cloudflare必须使用 `CF-Connecting-IP` 而非 `X-Forwarded-For`；第二，Nginx配置修改后未执行平滑重启或重载操作；第三，浏览器缓存了旧的日志视图，建议清除浏览器缓存或使用无痕模式重新访问并查看最新日志。
获取真实IP会影响网站速度吗？
获取真实IP的过程是在Web服务器解析HTTP头时进行的，这是一个极轻量的内存操作，对CPU和IO的影响微乎其微，几乎可以忽略不计，它不会增加额外的网络请求，也不会影响CDN的缓存命中率，因此不会降低网站访问速度，相反，准确的日志记录有助于优化服务器资源分配，从长远来看能提升运维效率。
首发原创文章，作者：世雄 - 原生数据库架构专家，如若转载，请注明出处：https://idctop.com/article/285784.html
