在Docker中通过HAProxy获取IPv6环境下的真实客户端IP

我之前也遇到过几乎一模一样的情况——双栈主机上跑HAProxy容器，IPv4能正常拿到真实IP，IPv6就是不行，折腾了好一阵才搞定。下面是我总结的几个关键排查点和解决方案：

1. 先确认Docker是否正确启用了IPv6支持 #

默认Docker daemon是关闭IPv6的，哪怕主机有IPv6地址，容器也没法正常处理IPv6流量，更别说传递源IP了。

• 编辑Docker daemon配置文件/etc/docker/daemon.json，添加IPv6相关配置：

{
  "ipv6": true,
  "fixed-cidr-v6": "fd00::/80",
  "ip6tables": true
}

这里的fixed-cidr-v6可以换成你自己的私有IPv6网段，只要不冲突就行。

• 重启Docker服务让配置生效：

sudo systemctl restart docker

2. 检查HAProxy的监听配置是否包含IPv6 #

如果你的HAProxy frontend只监听了IPv4地址，那根本接收不到IPv6的真实源IP。

把frontend的bind指令改成同时监听IPv4和IPv6：

frontend http_front
    bind [::]:80 v4v6
    bind [::]:443 v4v6 ssl crt /path/to/cert.pem
    option forwardfor header X-Forwarded-For
    # 其他配置...

这里的v4v6参数会让HAProxy在同一个端口上同时监听IPv4和IPv6，确保两种流量都能被正确接收。

3. 调整Docker端口映射的方式 #

默认的-p 80:80只会映射IPv4端口，IPv6的流量根本转不到容器里。你需要明确指定IPv6的端口映射：

启动容器时用：

docker run -d \
    -p [::]:80:80 \
    -p [::]:443:443 \
    --name haproxy \
    your-haproxy-image

这样Docker会把主机IPv6的80/443端口映射到容器的对应端口，并且保留IPv6的源IP信息。

4. 验证HAProxy的forwardfor配置是否适配IPv6 #

虽然你已经配置了option forwardfor，但有些旧版本的HAProxy默认可能只处理IPv4，需要明确指定转发的header，并且排除容器内部的IPv6网段，避免重复添加：

在frontend里添加：

option forwardfor header X-Forwarded-For except fd00::/80

这里的fd00::/80就是你之前在Docker daemon里设置的私有IPv6网段，这样HAProxy只会把外部的IPv6客户端IP添加到X-Forwarded-For头里。

5. 确认主机IPv6防火墙规则 #

最后别忘了检查主机的ip6tables规则，确保IPv6的80/443端口是放行的：

sudo ip6tables -A INPUT -p tcp --dport 80 -j ACCEPT
sudo ip6tables -A INPUT -p tcp --dport 443 -j ACCEPT

如果用的是ufw或者firewalld，也要确保对应的IPv6规则已经开启。

做完这些步骤后，重启HAProxy容器，再用IPv6地址访问测试一下，后端服务应该就能拿到真实的IPv6客户端IP了。

内容的提问来源于stack exchange，提问作者djsumdog