FRP项目中TCP转发获取真实公网IP的技术实现

在FRP项目中，当使用TCP端口转发功能时，服务端往往只能识别到来自本地FRPC客户端的连接（127.0.0.1），而无法获取真实的客户端公网IP地址。这一现象源于TCP转发的本质特性，但通过适当的技术手段可以实现真实IP的传递。

问题本质分析

在典型的FRP部署场景中：

1. 客户端B通过公网访问FRPS服务端的转发端口
2. FRPS将连接请求转发给内网的FRPC
3. FRPC最终与内网服务A建立连接

由于FRPC是作为中间代理与服务A建立连接，服务A自然只能看到来自本机FRPC的连接（127.0.0.1），而无法感知原始客户端B的真实IP。

解决方案：Proxy Protocol

FRP支持通过Proxy Protocol协议传递真实客户端IP信息。Proxy Protocol是HAProxy开发的一种简单协议，它能够在建立TCP连接前，先发送一个包含原始连接信息的头部。

实现要点

1. FRPC配置：需要在FRPC的配置文件中为对应的TCP转发启用Proxy Protocol功能。这通常通过添加proxy_protocol_version = "v2"参数实现。

2. 服务端适配：服务A需要能够解析Proxy Protocol头部。现代Web服务器如Nginx、Apache等都支持此协议。对于自定义TCP服务，需要自行实现协议解析逻辑。

3. 协议版本选择：Proxy Protocol有v1和v2两个版本，v2是二进制格式，效率更高，推荐使用。

其他技术考量

1. 安全性：启用Proxy Protocol后，服务端必须验证Proxy Protocol头部的合法性，防止IP欺骗。

2. 性能影响：Proxy Protocol会增加少量网络开销，但在大多数场景下可以忽略不计。

3. 协议兼容性：不是所有TCP服务都能原生支持Proxy Protocol，可能需要额外的适配层。

实施建议

对于需要获取真实客户端IP的场景，建议：

1. 优先考虑使用HTTP(S)协议转发，FRP对HTTP协议有更好的真实IP支持
2. 对于必须使用TCP转发的场景，确保服务端支持Proxy Protocol
3. 在无法修改服务端代码的情况下，可考虑在FRPC和服务A之间增加Nginx等支持Proxy Protocol的反向代理

通过合理配置FRP的Proxy Protocol功能，开发者可以有效地在TCP转发场景中获取真实的客户端IP地址，满足各种业务需求。