Dotaz: ProxyPassReverse a SSL certifikát

[P. Marek]

Dobré odpoledne,

Když chci použít reverzní proxy a požadavek poslat na jiný server jak je to s ssl certifikátem?

a) musí být v konfiguraci odkud se volá ProxyPassReverse a v konfiguraci na koncovém stroji již být nemusí

b) nemusí být v konfiguraci odkud se volá ProxyPassReverse ale musí být v konfiguraci na koncovém stroji

a) musí být jak v konfiguraci odkud se volá ProxyPassReverse tak musí být v konfiguraci na koncovém stroji

Děkuji za objasnění

---

---

Odpovědi

[X]

Vsechny varianty jsou mozne.

[P. Marek]

Díky za informaci, nyní zkouším variantu b) ale dostanu chybu v prohlížeči: "Připojení tohoto webu není zabezpečené. Server www.example.com odeslal neplatnou odpověď."

Nevíte prosím co je tam špatně?

Na hlavní serveru na který chodí veškerá komunikace 80 a 443 mám

<VirtualHost *:443>
   ServerName example1.com
   SSLProxyEngine on
   ProxyPreserveHost On
   ProxyPass / 192.168.0.51:443/
   ProxyPassReverse / 192.168.0.51:443/
</VirtualHost>

<VirtualHost *:443>
   ServerName example2.com
   SSLProxyEngine on
   ProxyPreserveHost On
   ProxyPass / 192.168.0.52:443/
   ProxyPassReverse / 192.168.0.52:443/
</VirtualHost>

Na serveru 192.168.0.51 mám

<VirtualHost *:443>
   ServerName example1.com
   DocumentRoot /var/www/html/example1.com
   SSLEngine on
   SSLCertificateFile /etc/ssl/example1.com/cert.pem
   SSLCertificateKeyFile /etc/ssl/example1.com/privkey.pem
   SSLCertificateChainFile /etc/ssl/example1.com/chain.pem
</VirtualHost>

Na serveru 192.168.0.52 mám

<VirtualHost *:443>
   ServerName example2.com
   DocumentRoot /var/www/html/example2.com
   SSLEngine on
   SSLCertificateFile /etc/ssl/example2.com/cert.pem
   SSLCertificateKeyFile /etc/ssl/example2.com/privkey.pem
   SSLCertificateChainFile /etc/ssl/example2.com/chain.pem
</VirtualHost>

Výpis error.log

[Sun Nov 07 17:18:08.766379 2021] [mpm_event:notice] [pid 4109:tid 140184108125504] AH00493: SIGUSR1 received.  Doing graceful restart
[Sun Nov 07 17:18:08.775992 2021] [mpm_event:notice] [pid 4109:tid 140184108125504] AH00489: Apache/2.4.51 (Debian) OpenSSL/1.1.1k configured -- resuming normal operations
[Sun Nov 07 17:18:08.776025 2021] [core:notice] [pid 4109:tid 140184108125504] AH00094: Command line: '/usr/sbin/apache2'

[čavo]

V každom prípade musí byť na stroji kde ukončuješ spojenie z internetu (alebo odkiaľ sa pripájaš), teda tam kde konfiguruješ ProxyPass. ProxyPassReverse je barlička, ktorá opravuje odpovede 301 a 302, teda presmerovvanie spojenia.

Teda a je správne. Na cielovom nemusí byť, ale môže. Dokonca na cielový môžeš smerovať na port 80 bez https, ale musíš si zabezpečiť odovzdanie Hlavičiek, aby cieľ vedel generovať správne odpovede.

[Jеdna]

Nevím jak v Apache, ale normálně reverzní proxy umí směrovat třeba podle SNI přímo to šifrované spojení bez jeho terminace.

[P. Marek]

Nejraději bych volil tu variantu B, aby na tom proxy serveru nebyl žádný certifikát a byl jenom až na každém koncovém serveru 192.168.0.51, 192.168.0.52 atd.. ale vůbec nic jsem nenašel jako to nastavit.

[Jеdna]

Potřebuješ najít něco jako apache proxy by sni without ssl termination (alternativně s haproxy místo apache).

[P. Marek]

Díky, haproxy jsem nainstaloval ale potřebný návod jsem nenašel, jak jsem psal níže, je to všechno s ssl certifikátem.

[Jendа]

Tak jsem to teda udělal:

frontend tcp-proxy
  bind :5050
  mode tcp
  tcp-request inspect-delay 5s
  tcp-request content accept if { req_ssl_hello_type 1 }

  use_backend centrum if { req.ssl_sni -i www.centrum.cz }
  use_backend seznam if { req.ssl_sni -i www.seznam.cz }

backend seznam
  mode tcp
  server server1 www.seznam.cz:443

backend centrum
  mode tcp
  server server1 www.centrum.cz:443

Použité zdroje: 1, 2, 3

Každý si to teď může vyzkoušet na hrach.eu:5050, než mě to přestane bavit a vypnu to.

[P. Marek]

Díky moc za ukázku.

Mám to takto ale vůbec se nenačte soubor.css a taky nefunguje https://www.example.com/cokoliv. Je tam potřeba něco doplnit?

frontend tcp-proxy
  bind :443
  mode tcp
  tcp-request inspect-delay 5s
  tcp-request content accept if { req_ssl_hello_type 1 }

  use_backend web1 if { req.ssl_sni -i www.example1.com }
  use_backend web2 if { req.ssl_sni -i www.example2.com }

backend web1
  mode tcp
  server server1 192.168.0.51:443

backend web2
  mode tcp
  server server1 192.168.0.52:443

[Jеdna]

Jednak www.example.com není v tom seznamu, a když nemáš default_backend tak to na neuvedenou doménu nějak divně selže, jednak cesta se v SNI neposílá (pak by HTTPS nemělo z části smysl), jednak máš v odkazech napsáno jak to vyzkoušet pomocí s_clienta (protože browser má kdovíjakou cache a HSTS/HPKP) a jednak „nenačte“ a „nefunguje“ je popis problému k ničemu (dojde spojení na backend? zaloguje se něco?)

[P. Marek]

Jednak www.example.com není v tom seznamu

V jakém seznamu myslíš?

jednak „nenačte“ a „nefunguje“ je popis problému k ničemu (dojde spojení na backend? zaloguje se něco?)

Ano, ke spojení dojde, stránky se načtou ale nejsou nastylované a funguje pouze www.example.com, třeba www.example.com/css/style.css se nenačte.

[Jеdna]

V jakém seznamu myslíš?

V tomhle

  use_backend web1 if { req.ssl_sni -i www.example1.com }
  use_backend web2 if { req.ssl_sni -i www.example2.com }

Ano, ke spojení dojde, stránky se načtou ale nejsou nastylované a funguje pouze www.example.com, třeba www.example.com/css/style.css

Tak to se SNI nemůže mít nic společného, protože URL se přenáší uvnitř TLS tunelu.

se nenačte.

Tak to máš blbý, nic jiného s tím nejde dělat. Pomohl by použitelný popis problému. Například jak už jsem psal, že se máš zkusit připojit řádkovým s_clientem (a v tomto případě provést HTTP GET ručně).

[P. Marek]

use_backend centrum if { req.ssl_sni -i www.centrum.cz }
use_backend seznam if { req.ssl_sni -i www.seznam.cz }

Ty tam ty domény ale taky nemáš, tak jak to že ti to funguje?

[Jеdna]

Jak nemám? Podle SNI zjistím, jestli chceš na Seznam nebo na Centrum a podle toho tě přepojím, a pokud chceš něco jiného, tak tě odmítnu.

[P. Marek]

Hm, takto je to teď OK? Dík

frontend tcp-proxy
  bind :443
  mode tcp
  tcp-request inspect-delay 5s
  tcp-request content accept if { req_ssl_hello_type 1 }

  use_backend www.example1.com if { req.ssl_sni -i www.example1.com }
  use_backend www.example2.com if { req.ssl_sni -i www.example2.com }

backend www.example1.com
  mode tcp
  server server1 192.168.0.51:443

backend www.example2.com
  mode tcp
  server server1 192.168.0.52:443

[Jеdna]

Ano, je. Tak si to zkus nejdřív s tím Seznamem a Centrem, klidně nejdřív s mým serverem (furt to běží) ať víš co máš čekat a pak to teprve zkus přesměrovat na svoje služby…

[P. Marek]

Tvůj server na portu: 5050 se mi vůbec nezobrazí. Nevím jestli ostatní ano ale mě ne.

[Jеdna]

Protože když do browseru zadáš prostě https://hrach.eu:5050/, tak pošleš SNI pro hrach.eu, který neservíruju (jak si můžeš přečíst v konfiguraci, tak poskytuji www.seznam.cz a www.centrum.cz). Já to testoval tím s_clientem a pak z prohlížeče zapsáním adresy do /etc/hosts.

[čavo]

Prípadne môžeš vyskúšať takéto:

curl -v --connect-to www.seznam.cz:443:hrach.eu:5050 https://www.seznam.cz

...

* Server certificate:
*  subject: CN=www.seznam.cz
*  start date: Oct  8 14:00:56 2021 GMT
*  expire date: Jan  6 14:00:55 2022 GMT
*  subjectAltName: host "www.seznam.cz" matched cert's "www.seznam.cz"
*  issuer: C=US; O=Let's Encrypt; CN=R3
*  SSL certificate verify ok.

[X]

Pokud na te proxy neprovozujes dalsi weby ani zadnou nepotrebujes. Staci klasicky DNAT na firewallu.

[čavo]

Apache httpd je webserver. Ukončuje spojenie a potom ho spracováva. Je tam možnosť aj reverzného proxy. Ak bez ukončenia spojenia, tak nejaký TCP proxy, ale nie apache httpd.

https://httpd.apache.org/docs/2.4/howto/reverse_proxy.html

[MP]

a] Pokud je proxy v rezimu L4 (ip), staci certifikat na cilovem serveru.

b] Pokud je v rezimu L7 (http), je nutne certifikat na proxy, pricemz na cilovem serveru jsou tyto moznosti:

1] tentyz certifikat

2] jiny certifikat - v tom pripade se vypne overovani certifikatu na proxy

3] zadny certifikat - tzv. ssl offloading

[P. Marek]

Předpokládám, že Apache režim L4 neumí, nějaký tip na L4? Díky

[MP]

haproxy, mozna i caddy/traefik dle chuti

[P. Marek]

Dík, haproxy ale ve všech návodech používá ssl certifikáty, nenašel jsem jediný návod, kde to jen přepošle na jinou ip bez ssl certifikátu.

[MP]

Asi by se to chtelo procvicit v hledani.

https://www.haproxy.com/blog/layer-4-and-layer-7-proxy-mode/

[P. Marek]

To jsem taky našel, ale je to pro pro komunikaci na portu 80 což mi je k ničemu když řeším ssl.

[X]

Asi uplne nechapes fungovani SSL. To zabezpecuje dva konce mezi sebou. Dva, ne tri..

[majales]

A nestačil by Apache SSLProxyEngine ? SSL terminuje a dál pokračuje SSL. Není to L4 mode, ale na většinu aplikací to stačí. To je totiž to co vám v tom konfigu nahoře chybí.

[X]

Ma to tam dobre:

SSLProxyEngine on

Jenze on by chtel terminovat SSL az v lokalni siti a to dost dobre s prostrednikem nejde..

[majales]

Aha .. nerozbalil jsem si celý konfig. Já myslím, že autor neví co chce. Celé by to asi fungovalo, kdyby měl pořešené SNI pokud potřebuje na reverzní proxy volat jmenný backend example.com tak to musí zapsat do hosts na tom stroji s reverzní proxy a nemít a apache configu ProxyPass na IP ale na jméno. Pak musí být ovšem v konfigu i toto:

 SSLProxyVerify none
 SSLProxyCheckPeerCN off
 SSLProxyCheckPeerName off
 SSLProxyCheckPeerExpire off

Pak je jedno jaký má v cíli cerifikát.