哪吒面板(Nezha)中设置真实IP请求头导致Agent连接失败的解决方案

问题背景

在使用哪吒面板(Nezha)进行服务器监控时，很多用户会选择通过Nginx反向代理来接入CDN服务。根据官方文档的推荐配置，我们通常会在Nginx中设置真实IP请求头(nz-realip)，以便面板能够获取到客户端的真实IP地址。

然而，当我们在面板配置中启用了"真实IP请求头"选项后，Agent端却无法正常连接到面板，并报错"real ip header not found"。这是因为Agent连接和用户访问面板的路径不同，导致配置出现了冲突。

问题分析

连接路径差异

1. 用户访问路径：用户 -> CDN -> Nginx反向代理 -> 面板

   • 这个路径下，Nginx可以添加nz-realip头传递真实IP

2. Agent连接路径：Agent -> 面板(直接连接)

   • Agent通常直接连接到面板的GRPC端口，不经过Nginx
   • 因此无法自动获得nz-realip头

配置冲突

当我们在面板设置中启用"真实IP请求头"功能时，面板会要求所有连接(包括Agent连接)都必须携带这个头信息。但由于Agent是直接连接，无法自动获得这个头，导致连接被拒绝。

解决方案

方案一：统一连接路径

最彻底的解决方案是让Agent也通过Nginx反向代理连接面板：

1. 修改Agent配置，使其连接到Nginx代理的端口
2. 确保Nginx配置中对Agent连接也添加了nz-realip头

示例Nginx配置(增加对Agent连接的处理)：

server {
    listen 80;
    server_name your.domain.com;

    location / {
        proxy_pass http://127.0.0.1:8008;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header nz-realip $remote_addr;
    }

    location /grpc {
        grpc_pass grpc://127.0.0.1:56666;
        grpc_set_header nz-realip $remote_addr;
    }
}

方案二：分离连接端口

如果不想让Agent走反向代理，可以采用端口分离方案：

1. 面板配置中不启用"真实IP请求头"功能
2. 为面板配置两个访问端口：
   • 一个端口(如8008)通过Nginx反向代理，供用户访问
   • 另一个端口(如56666)直接暴露，供Agent连接

方案三：修改面板验证逻辑

对于有开发能力的用户，可以修改面板代码，使其对Agent连接不检查nz-realip头：

1. 找到面板中验证IP头的代码部分
2. 添加对Agent连接的特殊处理
3. 重新编译部署面板

最佳实践建议

1. 生产环境推荐：采用方案一，统一所有连接路径，便于管理和维护
2. 简单部署推荐：采用方案二，配置简单，但需要管理多个端口
3. 安全性考虑：无论采用哪种方案，都应确保Agent连接的安全性，可以考虑添加额外的认证机制

总结

哪吒面板中真实IP请求头的配置需要考虑到不同连接路径的差异。通过理解Agent和用户访问的不同路径，我们可以选择合适的解决方案来确保面板功能的正常运行。在实际部署中，建议根据具体环境和安全需求选择最适合的配置方案。