Afecta a
Equipos que configuran listas de IP permitidas para servicios de Platform detrás de un proxy inverso, un balanceador de carga o una CDN.
Qué cambió
Las listas de IP permitidas determinan la dirección del cliente a partir de
X-Forwarded-For solo cuando el par directo está en los CIDR de proxy de confianza configurados. Una lista no vacía se aplica solo para un ámbito console o api seleccionado; una lista sin ninguno de los dos ámbitos queda inerte. Una IP de cliente resuelta que no está permitida se rechaza con HTTP 403. Una IP de cliente ausente o inutilizable también se rechaza, a menos que el par de transporte de la solicitud esté en PLATFORM_INTERNAL_CIDRS. Si no hay ninguna lista de IP permitidas configurada, el middleware permite la solicitud.
Esta es una corrección de documentación del comportamiento de aplicación existente; no anuncia un lanzamiento del runtime.
Impacto
Clasificación: Acción requerida. Un CIDR de proxy de confianza ausente o incorrecto puede hacer que se rechace tráfico legítimo o que las IP de cliente reenviadas dejen de ser confiables.
Qué debes hacer
1
Configura como proxies de confianza solo los CIDR de los proxies que se conectan directamente al servicio.
2
Prueba solicitudes permitidas y rechazadas a través de la cadena de proxies de producción antes de habilitar una lista de IP permitidas.
3
No confíes en
X-Forwarded-For de clientes directos ni de un proxy no confiable.