X-Forwarded-Forヘッダー偽装に負けないClientIPの決め方（With Gin）

まとめ
・X-Forwarded-Forヘッダーを使うと
中継サーバーがある通信でもクライアントIPを特定できる
・GinのClientIPメソッドは「プロキシを信頼した前提」で実装している(2025年10月時点)
・X-Forwarded-Forヘッダーは接続元のIPアドレスの偽装に使われる可能性がある
・信頼できるプロキシ経由のときだけX-Forwarded-Forヘッダーを解釈する

Transcript

1. X-Forwarded-Forヘッダー偽装に負けないClientIPの 決め方（With Gin） TRIAL Meetup #1 yamatai12 1
2. 自己紹介 yamatai12（Webエンジニア） SNS X(taiyama1212) Qiita(yamatai12) Zenn(yamatai12) 趣味は筋トレ 2
3. 最近トライした技術 IPアドレス周りの技術 中継サーバーを挟む場合にクライアントのIPアドレスを特定する方法 3
4. 背景 業務でIPアドレス制限の処理を触っていた そこで以下を理解した どのようにして中継サーバーを挟む場合にクライアントのIPアドレスを特定してい るのか X-Forwarded-Forヘッダーが接続元のIPアドレスの偽装に使われる可能性があるこ と 4
5. IPアドレスについて インターネットの世界で使われる、住所に相当する情報 https://wa3.i-3-i.info/img/data/10900/d010942-2.png 5
6. リモートIPアドレスについて 接続する（ or される）相手のIPアドレス https://wa3.i-3-i.info/img/data/10900/d010942-7.png 6
7. 中継サーバーがある通信ではクライアントのIPアドレ スを特定しづらい 一般的に負荷分散、ログ、分析等のために中継サーバーが挟まれる サーバが見えるのは “直前の相手” のIPだけ 7
8. X-Forwarded-Forヘッダー（1/2） 非標準だが事実上の標準ヘッダー X-Forwarded-For: クライアントIP, 中継機器1, 中継機器2 基本的に中継するたびに前のサーバーのIPをカンマで区切りながら追記する 8
9. X-Forwarded-Forヘッダー（2/2） X-Forwarded-Forヘッダーを使うと 中継サーバーがある通信でもクライアントIPを特定できる 9
10. ForwardedヘッダーではなくなぜX-Forwarded-Forヘ ッダーなのか 理由） X-Forwarded-Forヘッダーは広く使われていた 後発でX-Forwarded-Forの標準化版であるForwardedヘッダーが登場したから 10
11. Forwardedヘッダーについて Forwardedヘッダー X-Forwarded-Forの後に登場した（標準化は2014年） X-Forwarded-Forの標準化版 MDNのX-Forwarded-Forヘッダーの説明 現行のどの仕様書にも含まれていません。このヘッダーの標準化版は Forwarded ヘッダーです。 https://developer.mozilla.org/ja/docs/Web/HTTP/Reference/Headers/X-Forwarded-For#仕 様書 11
12. X-Forwarded-Forヘッダーは広く使われてきた Forwardedヘッダーを標準化したrfc7239で以下のように書かれていた https://datatracker.ietf.org/doc/html/rfc7239 ユーザーのIPアドレスは、広く使用されているヘッダーフィールドX-Forwarded- Forを介してプロキシによって既に転送されている可能性があることに注意してく ださい。 12
13. クライアントIPアドレスの特定の仕方（1/2） GinのClientIPメソッドの処理を見る https://pkg.go.dev/github.com/gin-gonic/gin#Context.ClientIP 前提） 信頼できるプロキシをサーバーで設定している router := gin.Default() router.SetTrustedProxies([]string{"192.168.1.2"}) https://pkg.go.dev/github.com/gin-gonic/gin#Engine.SetTrustedProxies 理由） Ginはデフォルトで全てのプロキシを信頼してしまう(2025年10月時点) 13
14. Ginはデフォルトで全てのプロキシを信頼してしまう https://gin-gonic.com/ja/docs/deployment/ 14
15. クライアントIPアドレスの特定の仕方（2/2） 15
16. なぜ「信頼されたプロキシーのIPアドレス」であるか を確認する必要があるのか 理由） X-Forwarded-Forヘッダーを悪用してクライアントIPアドレスの偽装ができる為 16
17. X-Forwarded-Forヘッダーを使ったクライアントIPア ドレスの偽装 悪意を持った攻撃者がリクエストヘッダーに以下を付与してリクエストする X-Forwarded-For: 1.2.3.4 サーバーが常にX-Forwarded-Forの左端を送信元として採用する設定をしている場合 クライアントIPアドレスの偽装が成立する 17
18. X-Forwarded-Forヘッダー偽装の対策 プロキシ側 受け取った偽装値は捨てて、観測した送信元だけにする nginxの例 proxy_set_header X-Forwarded-For $remote_addr; サーバー側 信頼できるプロキシ経由のときだけX-Forwarded-Forヘッダーを解釈する 18
19. まとめ GinのClientIPメソッドは「プロキシを信頼した前提」で実装して いる(2025年10月時点) X-Forwarded-Forヘッダーは接続元のIPアドレスの偽装に使われる 可能性がある 信頼できるプロキシ経由のときだけX-Forwarded-Forヘッダーを解 釈する 19
20. 今後勉強したいこと Forwardedヘッダーについて https://developer.mozilla.org/ja/docs/Web/HTTP/Reference/Headers/Forwarded X-Real-IPヘッダーについて プロキシサーバでできるクライアントIPの偽装対策 20
21. 参考 https://www.netassist.ne.jp/techblog/32879/ https://zenn.dev/villa_ak99/articles/316b6bfa103b44 https://tech.synapse.jp/entry/2024/03/18/170000 https://qiita.com/naka_kyon/items/8532cea02675180cb878 https://developer.mozilla.org/ja/docs/Web/HTTP/Reference/Headers/Forwarded https://pkg.go.dev/github.com/gin-gonic/gin#Engine.SetTrustedProxies https://gin-gonic.com/ja/docs/deployment/ https://pkg.go.dev/github.com/gin-gonic/gin#Context.ClientIP https://christina04.hatenablog.com/entry/2016/10/25/190000 https://wa3.i-3-i.info/word110942.html https://wa3.i-3-i.info/word172.html 21