PROXY 协议（代理协议)

PROXY 协议是一种由 HAProxy 提出的轻量协议,用于在负载均衡器或反向代理转发连接时,把客户端的真实源地址和端口等信息传递给后端服务器,解决代理转发后源 IP 被替换的问题。

概述

当客户端经过负载均衡或代理访问后端时,后端看到的源地址往往是代理的地址,原始客户端地址丢失,给日志记录、访问控制和限流带来困难。对 HTTP 可以用转发头传递,但对非 HTTP 的 TCP 连接则缺乏通用手段。PROXY 协议应运而生,在连接建立后、业务数据之前,由代理先发送一小段头部,携带原始连接的地址信息。

核心特点

• 前置头部:代理在转发的连接最前面附加一行或一段二进制头,声明原始源目地址和端口。
• 两个版本:v1 为可读文本格式,v2 为紧凑的二进制格式,后者解析更高效并支持扩展字段。
• 协议无关:工作在 TCP 连接层面,不依赖上层是否为 HTTP,适用于各种基于 TCP 的服务。
• 需双方支持:代理端负责发送头部,后端服务需要显式开启解析,否则会把头部误当成业务数据。

应用场景

PROXY 协议广泛用于四层负载均衡、TLS 终结前置代理和反向代理链路,让后端应用能拿到真实客户端 IP,用于日志审计、地域识别、访问控制和限流。Nginx、HAProxy 以及许多云负载均衡都支持该协议。

常见问题

问:PROXY 协议和 HTTP 的转发头有什么区别?答:转发头是 HTTP 应用层机制,只适用于 HTTP;PROXY 协议工作在 TCP 连接前部,适用于任意基于 TCP 的协议,包括数据库、邮件等非 HTTP 服务。

问:后端没开启解析会怎样?答:后端会把 PROXY 头部当作正常业务数据处理,导致协议解析错误或连接异常,因此发送端和接收端必须协商一致开启。