Registrar las IP de los clientes IIS detrás de un proxy

Cuando un proxy inverso reenvía solicitudes a IIS, el campo Client IP Address (c-ip) suele contener la IP del proxy. Transmita la IP original en X-Forwarded-For, añada la cabecera a los registros IIS y habilite su lectura en RdpGuard para HTTP o RD Web Access.

Configure el proxy para transmitir la IP original a IIS en la cabecera X-Forwarded-For. El ajuste depende del software; siga su documentación. El siguiente ejemplo utiliza Nginx.

Si Nginx recibe directamente las conexiones de los clientes, abra la configuración del sitio y añada esta directiva al bloque location que reenvía las solicitudes a IIS:

proxy_set_header X-Forwarded-For $remote_addr;

Esto reemplaza cualquier valor X-Forwarded-For del cliente por la IP de origen de la conexión. En cambio, la variable habitual $proxy_add_x_forwarded_for conserva la cabecera recibida y le añade una dirección. RdpGuard lee la primera dirección : por tanto, un cliente no fiable no debe poder proporcionarla. Consulte la documentación de cabeceras proxy de Nginx.

En Linux, pruebe y recargue la configuración de Nginx :

sudo nginx -t && sudo nginx -s reload

Si un CDN, equilibrador de carga u otro proxy precede a Nginx, configure primero las direcciones de confianza y el procesamiento de la IP del cliente; de lo contrario, $remote_addr identificará ese proxy anterior. Nginx proporciona el módulo real IP para ello. Restrinja el acceso directo a IIS para impedir que se eluda el proxy.

Los siguientes pasos utilizan los campos de registro personalizados de IIS 8.5 y posteriores. Configúrelos en el nivel del sitio ; no están disponibles en el nivel del servidor.

1. Abra el IIS Manager, seleccione el sitio en Connectionsy haga doble clic en Logging en el grupo IIS.

   

2. La página Logging :

   

   Elija W3C en Format. En Log Event Destination, elija Log file only o Both log file and ETW event para proporcionar un archivo a RdpGuard. Haga clic en Select Fields....

3. En W3C Logging Fields, haga clic en Add Field... :

   

4. Se abre el cuadro de diálogo Add Custom Field :

   

   Introduzca estos valores:

   • Field Name:X-Forwarded-For
   • Source Type:Request Header
   • Source:X-Forwarded-For

   Utilice exactamente este nombre de campo para que RdpGuard encuentre la columna. Haga clic en Aceptar en ambas ventanas y después en Apply en el panel Actions.

Comprobar X-Forwarded-For en los registros IIS

Realice una solicitud a través del proxy y abra el registro más reciente del sitio en la carpeta configurada, normalmente %SystemDrive%\inetpub\logs\LogFiles, con una subcarpeta W3SVC... por sitio. Los archivos con campos personalizados tienen el sufijo _x. Espere a que se escriban las entradas almacenadas en búfer.

Compruebe que #Fields: incluye X-Forwarded-For y que el valor correspondiente es la IP del cliente. Este ejemplo W3C abreviado muestra la relación entre ambos campos de dirección:

#Fields: date time c-ip cs-method cs-uri-stem sc-status X-Forwarded-For
2026-09-30 10:15:00 192.0.2.10 GET /login 200 203.0.113.45

Aquí, 192.0.2.10 es el proxy registrado en c-ipy 203.0.113.45 el cliente original registrado en X-Forwarded-For. Su registro puede contener otras columnas; su orden lo define la línea #Fields:.

Si falta la columna, compruebe los ajustes del sitio y el registro más reciente. Si su valor es -, compruebe que la solicitud pasó por el proxy y que este envió la cabecera.

Ejecute el panel de RdpGuard como administrador, abra la configuración de HTTP o RD-WEB en Protocolos supervisadosy haga clic en Configuración avanzada.... Se abre la ventana Configuración avanzada de HTTP :

Habilite Leer la dirección IP del cliente del campo X-Forwarded-For. Para HTTP, esta opción se aplica a IIS. Si todas las solicitudes pasan por el proxy, deje Usar la IP de conexión si falta X-Forwarded-For sin marcar: utilizar c-ip puede bloquear al propio proxy. Haga clic en Aceptary después en Guardar en la configuración del protocolo.

Leer la IP del cliente no cambia dónde se realiza el bloqueo. Una regla de Windows para esa IP no detiene una conexión cuyo origen es el proxy. Bloquee a los clientes en el proxy o configure las restricciones de IP y dominio de IIS con el modo proxy y las acciones de RdpGuard, como en las guías HTTP y RD Web Access.