XTLS/Xray-core中Haproxy反代Reality时获取真实IP的配置问题

背景介绍

XTLS/Xray-core是一款高性能的网络传输工具，其Reality功能提供了更安全的TLS流量伪装能力。在实际部署中，很多用户会选择在前端使用Haproxy进行负载均衡和流量分发，同时希望保留客户端的真实IP地址。

问题现象

在使用Haproxy反代Xray-core的Reality服务时，发现无法通过send-proxy-v2参数传递客户端真实IP。虽然不使用该参数时服务可以正常运行，但会导致后端无法获取客户端真实IP，给访问控制和日志分析带来不便。

技术分析

Haproxy配置要点

Haproxy作为前端代理时，正确的配置应该使用send-proxy而非send-proxy-v2参数。配置示例如下：

backend xray
  mode tcp
  option ssl-hello-chk
  timeout server 1h
  retry-on conn-failure empty-response response-timeout
  server xray /dev/shm/xray/xtls.socket send-proxy tfo

Xray-core配置要点

在Xray-core服务端配置中，acceptProxyProtocol参数的位置至关重要。常见错误是将它放在了realitySettings部分，实际上它应该位于streamSettings层级。

正确的配置位置示例：

"streamSettings": {
  "network": "tcp",
  "security": "reality",
  "acceptProxyProtocol": true,
  "realitySettings": {
    // 其他reality配置
  }
}

解决方案

1. Haproxy配置调整：

   • 使用send-proxy替代send-proxy-v2
   • 确保Haproxy版本支持PROXY协议

2. Xray-core配置调整：

   • 将acceptProxyProtocol移到正确的位置
   • 确保Unix域套接字权限设置正确

3. 稳定性考虑：

   • 注意send-proxy可能导致偶发性错误
   • 建议在生产环境进行全面测试

技术原理

PROXY协议是Haproxy开发的一种在TCP连接前添加额外头部信息的方法，用于传递连接的真实源信息。Xray-core通过解析这个头部来获取客户端真实IP。在Reality模式下，TLS握手过程会干扰PROXY协议的解析，因此需要特别注意配置的位置和顺序。

最佳实践建议

1. 在测试环境验证配置后再部署到生产环境
2. 监控日志中的"REALITY: processed invalid connection"信息
3. 考虑使用Xray-core的日志级别调整来排查问题
4. 保持Haproxy和Xray-core版本更新

通过以上配置调整和注意事项，可以解决Haproxy反代Xray-core Reality服务时的真实IP传递问题，同时保证服务的稳定性和安全性。