Nginx反向代理HashiCorp Vault时App Role IP限制失效求助

我来帮你梳理下问题的核心和关键排查方向：你遇到的问题本质是Vault没有正确获取到客户端的真实IP，而是拿到了Nginx所在服务器/容器的IP，导致secret_id_bound_cidrs的校验失败。结合你的配置，这里有几个必须修正的点：

1. 启用Nginx的Proxy Protocol转发 #

你在Vault里设置了proxy_protocol_behavior="use_always"，这意味着Vault只接受带有Proxy Protocol头的请求，但你的Nginx配置并没有开启这个功能。没有Proxy Protocol头的情况下，Vault会把Nginx的IP当作请求来源IP，自然过不了CIDR校验。

修改你的Nginx location配置，添加proxy_protocol on;：

location /vault/ {
  proxy_set_header X-Real-Ip $remote_addr;
  proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
  proxy_set_header Host $host;
  # 关键：启用Proxy Protocol，把客户端真实IP传递给Vault
  proxy_protocol on;
  proxy_pass http://vault:8200/;
}

2. 完善Vault的Listener配置，信任Nginx的Proxy Protocol请求 #

为了安全，你需要让Vault只信任来自Nginx的Proxy Protocol请求，避免非法请求伪造Proxy Protocol头。修改Vault的listener配置，添加proxy_protocol_acl：

{
  "backend": {
    "consul": {
      "address": "consul:8500",
      "path": "vault/"
    }
  },
  "listener": {
    "tcp":{
      "address": "0.0.0.0:8200",
      "tls_disable": 1,
      # 替换成你的Nginx容器IP或所在CIDR段（比如Docker网络里的IP）
      "proxy_protocol_acl": ["172.18.0.3/32"],
      "proxy_protocol_behavior": "use_always"
    }
  },
  "ui": true
}

这里的proxy_protocol_acl指定了允许发送Proxy Protocol请求的IP，也就是你的Nginx服务的IP，这样Vault只会处理来自这个IP的合法代理请求。

3. 验证IP是否正确传递 #

修改配置后重启Nginx和Vault服务，然后从客户端发起一次App Role认证请求，之后可以通过以下方式验证：

• 查看Vault的审计日志（如果已启用）：日志中的remote_address字段应该显示客户端的真实IP，而不是Nginx的IP。
• 调用Vault的sys/internal/ui/metrics API（需要对应权限），检查请求的来源IP是否正确。

4. 备选方案：使用X-Forwarded-For头获取客户端IP #

如果因为网络环境限制无法使用Proxy Protocol，你可以让Vault优先使用X-Forwarded-For头来获取客户端IP。修改Vault配置如下：

{
  "backend": {
    "consul": {
      "address": "consul:8500",
      "path": "vault/"
    }
  },
  "listener": {
    "tcp":{
      "address": "0.0.0.0:8200",
      "tls_disable": 1,
      # 信任来自Nginx的X-Forwarded-For头
      "x_forwarded_for_acl": ["<Nginx容器IP/CIDR>"],
      # 指定使用X-Forwarded-For作为客户端IP来源
      "client_addr_header": "X-Forwarded-For"
    }
  },
  "ui": true
}

这种方式下，Vault会读取X-Forwarded-For头中的第一个IP作为客户端IP，用于secret_id_bound_cidrs的校验，你的Nginx已经正确设置了X-Forwarded-For头，这部分不需要额外修改。

5. 确认App Role的CIDR配置格式 #

最后检查你的App Role配置，确保secret_id_bound_cidrs的格式是正确的CIDR写法，比如"x.x.x.x/32"（注意引号，如果是用CLI设置的话，要确保参数格式正确）。比如用CLI更新角色的命令：

vault write auth/approle/role/your-role-name secret_id_bound_cidrs="x.x.x.x/32"

内容的提问来源于stack exchange，提问作者Pradeep Tyagi