防火墙背后的Apache背后的Tomcat：AJP忽略X-Forwarded-Proto

Question

• 防火墙：终止https，添加“x-forwarded-proto：https”，通过http
转发到Apache
• Apache:通过ajp转发到Tomcat
• Tomcat:通过ajp-connector接收请求

我们已经将RemoteIpValve添加到Tomcat的server.xml中：

<Valve className="org.apache.catalina.valves.RemoteIpValve"
                   remoteIpHeader="x-forwarded-for"
                   protocolHeader="x-forwarded-proto"
            />

如果我们跳过Apache，直接从防火墙转到使用常规HTTP连接器的Tomcat，它就可以工作。在这种情况下，Tomcat使用https进行重定向和基URL。

<VirtualHost *:80>
    ServerName www.myserver.biz

    JkMount /* LoadBalancerHD
</VirtualHost>

工作人员。属性：

worker.list=LoadBalancerHD

worker.LoadBalancerHD.balance_workers=HDNode1,HDNode2
worker.LoadBalancerHD.type=lb
worker.LoadBalancerHD.sticky_session=True

worker.HDNode1.type=ajp13
worker.HDNode1.host=webserver01
worker.HDNode1.port=8010
worker.HDNode1.distance=0

worker.HDNode2.type=ajp13
worker.HDNode2.port=8010
worker.HDNode2.host=webserver02
worker.HDNode2.distance=1

Answer 1

在研究了mod_jk文档之后，我发现mod_jk计算Apache环境变量https以检测HTTPS。通常，如果Apache处理https通信量本身，则该变量由mod_ssl设置。但事实并非如此，因为HTTPS在Apache之前就已经终止了。

只需根据http标头设置环境变量即可：

SetEnvIfNoCase X-Forwarded-Proto https HTTPS=on

顺便说一下：由mod_jk计算的环境变量可以使用jkHttpSindicator指令进行更改（请参见mod_jk文档）。以下也是如此：

SetEnvIfNoCase X-Forwarded-Proto https EXTERNAL_TRAFFIC_IS_HTTPS=on
JkHTTPSIndicator EXTERNAL_TRAFFIC_IS_HTTPS