Dotaz: nginx jako reverzni proxy

[Jeason]

snazim se nastavit nginx jako reverzni proxy server pro apache.

klient (80)<=====> nginx (80) <====> apache (80)

na teto urovni funguju správne.

pokud chci pridat podporu SSL, tak mi to konci chybou.

ssl nechci resit na urovni nginx, ale pouze na strane apache, kde mi samotny ssl s apachem funguje. pokud predrazim ngix tak nikoliv.

klient 443 <=====> nginx <====> apache 443

server {
    listen       a.b.c.d:443;
 

    access_log    /var/log/nginx/ssl-access.log;
    error_log    /var/log/nginx/ssl-error.log;

  
    location / {

    
    proxy_pass            http://127.0.0.1:443;
    proxy_read_timeout    90;
    proxy_connect_timeout 90;
    proxy_redirect        off;

    proxy_set_header      X-Real-IP $remote_addr;
    proxy_set_header      X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header      X-Forwarded-Proto https;
    proxy_set_header      X-Forwarded-Port 443;
    proxy_set_header      X-Forwarded-Ssl on;
    proxy_set_header      Host $host;

    }
}

nema nekdo zkusenosti ? nginx chci pouzit jen kvuli cachovani, nikoliv pro reseni ssl spojeni. jde to vubec ?

---

---

Odpovědi

[Filip Jirsák]

ssl nechci resit na urovni nginx

Jaký to má smysl, po otevřeném internetu komunikovat nešifrovaně a mezi proxy a backendem, což bude nejspíš nějaká interní síť, komunikovat šifrovaně?

pouze na strane apache, kde mi samotny ssl s apachem funguje. pokud predrazim ngix tak nikoliv.

klient 443 <=====> nginx <====> apache 443

Píšete, že na straně Nginx SSL nechcete, ale na obrázku ho tam máte. Chcete tedy opravdu tohle?

klient 80 <=====> 80 (server) nginx (klient) 443 <====> apache 443

nginx chci pouzit jen kvuli cachovani, nikoliv pro reseni ssl spojeni. jde to vubec ?

Pokud jste si to představoval tak, že klient naváže SSL spojení s Apache serverem, nginx se do něj nějak vláme a pokud půjde o nějaké statické soubory, vyřídí to místo Apache, tak to nelze.

Nastavte to tak, že Nginx bude mít normálně certifikát a privátní klíč a klient se přes HTTPS bude připojovat k němu. Nginx spojení obslouží, případně odešle statické soubory – a pokud to bude požadavek, který by měl obsloužit Apache, přepošle Nginx ten požadavek na Apache – pokud spolu komunikují v nějaké chráněné síti, klidně to může jít přes HTTP.

[MMMMMMMMM]

Tak bych to viděl i já. Sám mám NGINX jako reverzní proxy a obsluhuje i HTTPS. Apache je až někde vzadu a nežere prostředky. :)

[Max]

Souhlasím s Jirsákem. Ostatně když na to půjdeš logicky, tak jak by se někdo mohl bez patřičného cert vloupat do ssl spojení a obsluhovat jen něco? To by byl regulérní útok a slabé zabezpečení ssl.
Certifikát/https musíš přesunout na nginx a lokálně mezi nginx a apache to může běžet nešifrovaně, protože tam už je to většinou jedno.
Zdar Max