Dotaz: HTTPS za Apache s reverzni proxy?

[petrfm]

Ahoj, protoze mam na firme jen jednu verejnou IP, za kterou mam mikrotika a do nej zapichnuty server LINUX s virtualami, kde mam webservery 192.168.1.10 , 192.168.1.11, 192.168.1.12 , rad bych je dostal vsechny na verejnou IP, aby byly dostupne ze subdomeny s1.firma.cz, s2.firma.cz, atd..(musi to byt na ruznych IP, protoze jedna je klasicky APACHE na ubuntu, dalsi je rozhrani podnikoveho systemu, apod. Nejde tedy o klasicke WWW stranky, ktere bych mohl soustredit jako virtualhosty na jednom apache.)

Nacetl jsem si neco o reverzni proxy, takze vim, ze staci definovat jeden hlavni apache server, na ktery si nasmeruju 80tku port z toho mikrotika a vytvorim si virtualhosty, do kterych dopisu IP adresy tech serveru 10,11,12

To je vsechno krasne, do chvile, nez reknu, ze na serveru 10 mi bezi owncloud, ke kteremu bych rad pristupoval pres HTTPS. To uz mi ted funguje, ale nemam jeste reverzni proxy.

Zajimalo by mne, jak na to? Urcite musim pridat do firewallu dalsi port pro HTTPS, to je mi jasne, ale pujde pres klasicky apache protlacit HTTPS spojeni? Staci mi aspon jedno, na ten owncloud.

Diky, P.

Odpovědi

[NN]

Pujde a mozna jsi si to mohl ulehcit. Prvni variantu vidim jako HTTPS na vnitrni i vnejsi strane ie. SSL MitM. Druhou, terminovat HTTPS pouze na proxy, ale se servernem na vnitrni strane kominikovat po cistem HTTP. Konfigurace je podobna jako u HTTP proxy viz. mod_ssl, strelim:

[VirtualHost 1.2.3.4:443]
    ServerName host.domain.org

    SSLEngine on
    SSLProxyEngine On
    SSLCertificateFile /etc/apache2/ssl/pcertificate.crt
    SSLCertificateKeyFile /etc/apache2/ssl/certificate.key

    [Proxy *]
        Order deny,allow
        Allow from all
    [/Proxy]

    ProxyRequests Off
    ProxyPreserveHost On
    ProxyPass / https://local-server/
    ProxyPassReverse / https://local-server/

[/VirtualHost]

[Jendа]

Prvni variantu vidim jako HTTPS na vnitrni i vnejsi strane ie. SSL MitM. Druhou, terminovat HTTPS pouze na proxy, ale se servernem na vnitrni strane kominikovat po cistem HTTP.

Třetí, nejlepší varianta, by byla pomocí nějakého harakiri se SNI proxovat přímo šifrovaný provoz.

[Jendа]

Zajimalo by mne, jak na to? Urcite musim pridat do firewallu dalsi port pro HTTPS, to je mi jasne, ale pujde pres klasicky apache protlacit HTTPS spojeni? Staci mi aspon jedno, na ten owncloud.

No tak prostě přesměruj port 443 dovnitř, ne?