Azure环境下VB.NET获取客户端公网IP的方案咨询

你的核心问题是当前依赖X-Forwarded-For和REMOTE_ADDR的逻辑，在前端代理/VPN不传递X-Forwarded-For时，会拿到私网IP。结合你的部署架构（Azure VM + FortiWeb WAF），可以从WAF配置、代码优化、Azure网络验证三个维度解决：

1. 先搞定FortiWeb WAF的请求头配置 #

因为所有流量都要经过FortiWeb才能到你的Azure VM，这是最关键的一步：

• 登录FortiWeb控制台，找到对应的负载均衡规则，开启强制添加X-Forwarded-For请求头的配置，把客户端的原始公网IP（包括VPN/代理的出口IP）作为头的值。
• 不管前端的代理/VPN有没有传这个头，WAF都会直接覆盖或注入正确的公网IP，这样后端代码就能稳定拿到这个值。

2. 优化VB.NET代码逻辑 #

现有代码只取第一个X-Forwarded-For值，但要考虑多层代理的情况，还要过滤掉私网IP，确保返回的是公网IP：

Function GetClientPublicIp() As String
    Dim clientIp As String = String.Empty
    
    ' 优先读取WAF注入的X-Forwarded-For
    Dim xForwardedFor As String = HttpContext.Current.Request.ServerVariables("HTTP_X_FORWARDED_FOR")
    If Not String.IsNullOrEmpty(xForwardedFor) Then
        ' 分割可能存在的多层代理IP列表，从左到右找第一个有效公网IP
        Dim ipList As String() = xForwardedFor.Split(","c).Select(Function(ip) ip.Trim()).ToArray()
        For Each ipStr As String In ipList
            Try
                Dim ip As Net.IPAddress = Net.IPAddress.Parse(ipStr)
                ' 过滤私网、环回、链路本地IP
                If Not IsPrivateIp(ip) Then
                    clientIp = ip.ToString()
                    Exit For
                End If
            Catch
                ' 跳过格式无效的IP
            End Try
        Next
    End If
    
    ' 如果X-Forwarded-For没拿到有效IP，检查REMOTE_ADDR
    If String.IsNullOrEmpty(clientIp) Then
        Dim remoteAddr As String = HttpContext.Current.Request.ServerVariables("REMOTE_ADDR")
        Try
            Dim ip As Net.IPAddress = Net.IPAddress.Parse(remoteAddr)
            If Not IsPrivateIp(ip) Then
                clientIp = remoteAddr
            End If
        Catch
        End Try
    End If
    
    Return clientIp
End Function

' 辅助函数：判断是否为私网/环回/链路本地IP
Private Function IsPrivateIp(ip As Net.IPAddress) As Boolean
    Dim ipBytes As Byte() = ip.GetAddressBytes()
    Select Case ipBytes(0)
        Case 10 : Return True ' 10.0.0.0/8
        Case 172 : Return ipBytes(1) >= 16 AndAlso ipBytes(1) <= 31 ' 172.16.0.0/12
        Case 192 : Return ipBytes(1) = 168 ' 192.168.0.0/16
        Case 127 : Return True ' 环回地址
        Case 169 : Return ipBytes(1) = 254 ' 169.254.0.0/16 链路本地
        Case Else : Return False
    End Select
End Function

3. Azure VM网络配置验证 #

• 检查VM的网络安全组（NSG），确保只允许FortiWeb WAF的IP段访问，避免其他未知来源的流量导致REMOTE_ADDR异常。
• 确认VM所在的虚拟网络路由表没有把WAF的流量转发到其他内部代理节点，保证WAF直接和VM通信，此时REMOTE_ADDR会是WAF的公网IP（如果WAF没注入X-Forwarded-For的话，作为兜底）。

特殊场景说明 #

• 如果用户的VPN/代理本身不暴露自身公网IP，WAF会捕获到VPN/代理的出口公网IP，这正好符合你的地理定位需求，因为地理API只认公网IP对应的地域。
• 对于伪造X-Forwarded-For的匿名代理，WAF的强制注入会覆盖伪造值，确保拿到真实的入口公网IP。

内容的提问来源于stack exchange，提问作者Sumit Mandlik