Cloudflareでアクセス元(クライアント)のIPを取得する方法【WordPress】

はじめに

※本記事はWordPress向けです。
使用サーバー: さくらのレンタルサーバー スタンダード

Cloudflareを使っていると、リバースプロキシ(Cloudflare)経由のIPアドレスになって、
特定のIPからのログインを遮断したりする時等に、困っていませんか?。

実はCloudflareにはリバースプロキシ(Cloudflare)を経由したクライアントのIPアドレスをオリジンに転送し、
クライアントのIPを取得できるHTTPヘッダがあるのは知っていましたか？
このヘッダーは、X-Forwarded-Forヘッダより、セキュア(安全)です。

また、WordPressでしか動作確認をしていませんが、コードの内容的にWordPress以外での応用も効くと思います。

wp-config.phpに数行の記載をするだけで、簡単にこの問題を解決できるので今回はそれを解説していきたいと思います。

なぜCloudflareのクライアントのIPを取得できるHTTPヘッダのほうがセキュアなのか

思ったよりアクセスが多かったので理由を追記しました。(2025/1/04)

主な理由として、X-Forwarded-For HTTPヘッダは容易にヘッダーを偽装することが簡単だからです。
ですが、Cloudflare独自のクライアントのIPを取得するヘッダーのほうが偽造が難しく、よりセキュアです。

例として、特定のIPのみ(今回の場合は、118.86.51.98 )管理画面にログインするのを許可している場合、
X-Forwarded-For HTTPヘッダー の場合、先ほども記述したとおり、容易に偽装ができます。

本当は、xxx.xx.xx.xxx というIPなのに、管理者のみのIPアドレス( 118.86.51.98)に偽装することができてしまいます。

ですが、CF-Connecting-IPというHTTPヘッダーを使用すると、実際にアクセスしたIPしかオリジンに転送しないので、
X-Forwarded-For HTTPヘッダーよりセキュリティが高く安全です。

この X-Forwarded-For HTTPヘッダーを偽装するのをIPスプーフィング攻撃と言ったりします。

やり方

今回はこのGitHubに転がってた有能な人が作ったコードをベースとして使おうと思います。

Gist

WordPress Config: Use X-Forwarded-For HTTP Header to Get Visitor's Real IP Ad...

https://gist.github.com/ryanjbonnell/9509696

WordPress Config: Use X-Forwarded-For HTTP Header to Get Visitor's Real IP Address - wp-config.php

// CF-Connecting-IPを使い、実際のクライアントのIPを取得する
// これは適当な位置で大丈夫です。推奨としては、「注意:」と書いてある下辺りです。
// それなら確実に動作します。(私の環境で確認済み)

if ( isset( $_SERVER['HTTP_CF_CONNECTING_IP'] ) ) {
	$http_x_headers = explode( ',', $_SERVER['HTTP_CF_CONNECTING_IP'] );

	$_SERVER['REMOTE_ADDR'] = $http_x_headers[0];
}

このコードの意味(簡易的)は、まずは CF-Connecting-IP ヘッダが存在するか確認して、
このHTTPヘッダが存在した場合、WordPressが認識する $_SERVER['REMOTE_ADDR']を、
CF-Connecting-IPの中身でオーバーライド(上書き)するということです。

確認

うまくできていたら、このように実際にクライントのIPが表示されます。
ちなみに、もちろんCloudflareのIPではなく、これはJ:COMのIPアドレスです。

まとめ

wp-config.phpに数行記載し、CloudflareのHTTPヘッダで、クライアントのIPが取得できます。

IPアドレスに基づいて、ログインロックをするプラグインなどがあるので、クライアントのIPを取得するのは、
非常に重要なセキュリティ対策だと思います。

参考
https://gist.github.com/ryanjbonnell/9509696

https://developers.cloudflare.com/support/troubleshooting/restoring-visitor-ips/restoring-original-visitor-ips/