Docker Compose中Nginx的IP访问控制规则失效及Proxy Protocol报错

一、实现本地单个IP访问控制 #

Docker环境下，Nginx容器默认会识别到Docker网关的IP（如172.18.0.1）而非真实客户端IP，直接用allow/deny规则会失效，需先配置真实IP转发，再做访问限制：

1. Nginx配置文件（nginx.conf） #

server {
    listen 80;

    # 配置真实IP解析，适配Docker网络SNAT机制
    set_real_ip_from 172.17.0.0/16;  # 替换为你的Docker网络网段（可通过`docker network inspect`命令查看）
    real_ip_header X-Forwarded-For;
    real_ip_recursive on;

    # 仅允许指定本地IP访问
    allow 192.168.1.100;  # 替换为你的本地物理机IP
    deny all;

    # 代理后端业务服务
    location / {
        proxy_pass http://backend-service:8080;  # 替换为你的后端服务名和端口
        proxy_set_header Host $host;
        proxy_set_header X-Forwarded-For $remote_addr;
    }
}

2. Docker Compose配置（docker-compose.yml） #

version: '3.8'
services:
  nginx-proxy:
    image: nginx:alpine
    volumes:
      - ./nginx.conf:/etc/nginx/conf.d/default.conf
    ports:
      - "80:80"
    networks:
      - app-network

  backend-service:
    image: your-backend-image:latest  # 替换为你的后端业务镜像
    networks:
      - app-network

networks:
  app-network:
    driver: bridge

二、Proxy Protocol报错原因及修复 #

报错*2 broken header: "GET / HTTP/1.1" while reading PROXY protocol的核心原因：
你在Nginx中开启了proxy_protocol监听规则，但发起请求的客户端（如本地浏览器、Docker端口映射）并未发送Proxy Protocol格式的协议头，Nginx期望接收Proxy Protocol协议头，实际却收到普通HTTP请求，导致解析失败。

修复方案： #

• 无需Proxy Protocol时：直接移除Nginx配置中listen指令后的proxy_protocol参数，恢复普通HTTP监听即可。
• 确需Proxy Protocol时：确保前端代理（如外部负载均衡器）会发送Proxy Protocol协议头，同时保留Nginx的listen 80 proxy_protocol;配置，此时本地浏览器直接访问仍会报错，需通过支持Proxy Protocol的前端代理转发请求。

内容的提问来源于stack exchange，提问作者Aderounmu Bamgbose