Différences
Ci-dessous, les différences entre deux révisions de la page.
| Les deux révisions précédentesRévision précédenteProchaine révision | Révision précédente | ||
| fr:nginx [2025/07/04 14:00] – [SSL Passthrough sur proxy Nginx] zatalyz | fr:nginx [2025/07/15 05:46] (Version actuelle) – [Sur le backend (Apache)] zatalyz | ||
|---|---|---|---|
| Ligne 61: | Ligne 61: | ||
| └── win-utf</ | └── win-utf</ | ||
| - | Le fichier principal de configuration est '' | + | * Le fichier principal de configuration est '' |
| + | * Tout comme pour [[fr: | ||
| Ligne 92: | Ligne 93: | ||
| sudo service nginx restart | sudo service nginx restart | ||
| - | ===== Rediriger les sous-domaines non existant vers une adresse précise | + | ==== Rediriger les sous-domaines non existant vers une adresse précise ==== |
| Créez un fichier de configuration redirigeant tout ce qui ne matche pas : | Créez un fichier de configuration redirigeant tout ce qui ne matche pas : | ||
| < | < | ||
| Ligne 110: | Ligne 111: | ||
| ===== SSL Passthrough sur proxy Nginx ===== | ===== SSL Passthrough sur proxy Nginx ===== | ||
| - | <WRAP center round todo 60%> | ||
| - | Cette partie est vraiment en brouillon mais si je ne note pas mes tests à mesure, je ne vais pas m'y retrouver. | ||
| - | --- // | ||
| - | |||
| - | Et c'est vraiment la galère comme pas permis. | ||
| - | </ | ||
| Un proxy est un outil qui peut faire beaucoup de choses, ou très peu. Dans notre cas, l' | Un proxy est un outil qui peut faire beaucoup de choses, ou très peu. Dans notre cas, l' | ||
| Ligne 121: | Ligne 116: | ||
| Il est assez simple de gérer les certificats ssl au niveau du proxy, mais cela a pour conséquence que le trafic entre le proxy et les containers passe "en clair" | Il est assez simple de gérer les certificats ssl au niveau du proxy, mais cela a pour conséquence que le trafic entre le proxy et les containers passe "en clair" | ||
| - | <WRAP center round tip 60%> | + | <WRAP center round tip 100%> |
| On ne peux pas avoir à la fois des services sans ssl passthrough et d' | On ne peux pas avoir à la fois des services sans ssl passthrough et d' | ||
| + | |||
| + | <WRAP center round important 60%> | ||
| + | Ce type de configuration est riche en prise de tête. Ce n'est pas la peine d' | ||
| + | </ | ||
| + | |||
| </ | </ | ||
| - | <WRAP center round info 100%> | ||
| Pour notre exemple : | Pour notre exemple : | ||
| - | * Le proxy Nginx reçoit tout le trafic (HTTP/ | + | * Le proxy Nginx reçoit tout le trafic (HTTP/ |
| * Suivant le nom de domaine demandé, il redirige le flux vers les bonnes ip en backend. | * Suivant le nom de domaine demandé, il redirige le flux vers les bonnes ip en backend. | ||
| - | * monsite.org a comme IP interne : 192.168.1.100 et autresite.net a 192.168.1.200. Et les deux sont avec Apache, sinon ce n'est pas drôle. | + | * monsite.org a comme IP interne : 192.168.1.207 et autresite.net a 192.168.1.208. Et les deux sont avec Apache, sinon ce n'est pas drôle. |
| - | </ | + | |
| + | Ici "le proxy" fait référence à la VM qui centralise les flux avant de les redispatcher et "le backend" | ||
| - | Notre configuration des sites avec "**//stream//**" sera dans un dossier différent de "sites-avalaible/sites-enabled" | + | |
| + | ==== Sur le proxy ==== | ||
| + | On modifie '' | ||
| + | < | ||
| + | |||
| + | Et on crée deux dossiers dont celui qui est lu : | ||
| < | < | ||
| sudo mkdir -p / | sudo mkdir -p / | ||
| - | Il faut aussi modifier | + | <WRAP center round tip 60%> |
| + | On suit avec " | ||
| + | </ | ||
| - | < | + | Voici à quoi ressemble un fichier de stream |
| - | include /etc/nginx/stream-enabled/ | + | |
| - | </ | + | |
| - | Exemple dans le fichier : | + | <code bash /etc/nginx/stream-available/ |
| - | <code bash /etc/nginx/nginx.conf> | + | stream { |
| - | user www-data; | + | map $ssl_preread_server_name $backend { |
| - | worker_processes auto; | + | monsite.org 192.168.1.207: |
| - | pid /run/nginx.pid; | + | autresite.net 192.168.1.208: |
| - | error_log / | + | # Optionnel : où on redirige si le nom de domaine n' |
| - | include / | + | default |
| - | include / | + | } |
| - | events | + | # HTTPS - SSL Passthrough |
| - | | + | server |
| - | # multi_accept | + | listen 192.168.1.100: |
| - | } | + | # Lit les nom de domaine sans déchiffrer le reste |
| + | ssl_preread | ||
| + | # Route vers la VM correspondante | ||
| + | proxy_pass $backend; | ||
| + | # Transmet l'IP réelle des visiteuses | ||
| + | proxy_protocol on; | ||
| + | } | ||
| + | }</ | ||
| - | http { | + | * '' |
| - | [...] | + | * '' |
| - | </ | + | * Et le reste est commenté ;) |
| + | Nous devons aussi déclarer le flux sur le port 80 ; mais là ça ne peut pas être du " | ||
| + | <code bash / | ||
| + | server { | ||
| + | listen 80; | ||
| + | server_name monsite.org; | ||
| + | location / { | ||
| + | proxy_pass http:// | ||
| + | proxy_set_header Host $host; | ||
| + | proxy_set_header X-Real-IP $remote_addr; | ||
| + | } | ||
| + | } | ||
| - | Il n'y a pas forcément besoin de faire un fichier de configuration par domaine, puisqu' | + | server { |
| + | listen 80; | ||
| + | server_name autresite.net.fr; | ||
| - | <WRAP center round tip 100%> | + | location / { |
| - | À ce stade de mes expérimentations, | + | |
| - | </ | + | |
| + | proxy_set_header X-Real-IP $remote_addr; | ||
| + | } | ||
| + | } | ||
| - | Par contre, on va avoir deux fichiers à faire : SSL Passthrough, | + | </ |
| + | Ici c'est vraiment très basique, mais il serait possible de rediriger dès maintenant vers une connexion sécurisée | ||
| - | Le fichier dans la partie " | + | <code bash / |
| - | <WRAP center round todo 60%> | + | |
| - | Faut probablement faire une règle spéciale pour well-known. | + | |
| - | </ | + | |
| - | + | ||
| - | <code bash / | + | |
| - | server { | + | |
| listen 80; | listen 80; | ||
| - | | + | server_name |
| - | | + | |
| - | # Rediriger | + | # Rediriger |
| - | return 301 https://$host$request_uri; | + | |
| - | } | + | |
| - | + | | |
| - | </code> | + | |
| - | + | ||
| - | Et à présent le stream : | + | |
| - | <code bash /etc/nginx/stream-avalaible/domaine.conf> | + | |
| - | stream | + | |
| - | map $ssl_preread_server_name $backend { | + | |
| - | # Cette partie liste les domaines et " | + | |
| - | | + | |
| - | domain2.org 10.0.0.32:443; | + | |
| - | # Default est utile : si pas de domaines, ça renvoie là. | + | |
| - | | + | |
| } | } | ||
| - | | + | |
| - | | + | |
| - | proxy_pass | + | |
| - | ssl_preread on; | + | |
| } | } | ||
| - | } | + | }</ |
| - | </ | + | Mais je préfère faire simple et gérer les ennuis côté apache, parce que les possibilités de bizarreries restent élevées avec ce genre de configuration. |
| On valide tout ça : | On valide tout ça : | ||
| - | < | + | < |
| - | sudo ln -s / | + | sudo ln -s / |
| sudo nginx -t | sudo nginx -t | ||
| sudo systemctl restart nginx | sudo systemctl restart nginx | ||
| </ | </ | ||
| - | <WRAP center round todo 60%> | + | ==== Sur le backend (Apache) ==== |
| - | Cela demandera aussi ce genre de config côté apache/backend | + | Je pars du principe que le backend |
| - | a2enmod | + | On commence par ''/ |
| + | <code bash / | ||
| + | # Déclare le proxy afin de recevoir les vraies ip des clients. | ||
| + | # Remplacer l'ip par celle du proxy ! | ||
| + | RemoteIPInternalProxy 192.168.1.206 | ||
| + | RemoteIPTrustedProxy 192.168.1.206 | ||
| + | RemoteIPHeader X-Forwarded-For | ||
| + | </ | ||
| - | <code>< | + | Puis |
| - | | + | < |
| - | | + | sudo a2enmod remoteip ssl |
| - | RemoteIPInternalProxy 10.0.0.10 | + | </ |
| - | | + | Et on configure ensuite notre site, quasiment comme s'il était sur un dédié : |
| - | </ | + | <code bash / |
| - | </WRAP> | + | < |
| + | ServerName monsite.org | ||
| + | DocumentRoot / | ||
| + | |||
| + | # Redirection vers 443 sauf pour la demande de certificat | ||
| + | RewriteEngine On | ||
| + | RewriteCond %{REQUEST_URI} !.well-known/ | ||
| + | RewriteRule ^(.*)$ https:// | ||
| + | </ | ||
| + | |||
| + | < | ||
| + | ServerName monsite.org | ||
| + | # Important avec le ssl passthrough !!! | ||
| + | RemoteIPProxyProtocol On | ||
| + | |||
| + | DocumentRoot / | ||
| + | < | ||
| + | Options FollowSymLinks MultiViews | ||
| + | AllowOverride All | ||
| + | Require all granted | ||
| + | </ | ||
| + | |||
| + | SSLEngine On | ||
| + | SSLCertificateFile / | ||
| + | SSLCertificateKeyFile / | ||
| + | </ | ||
| + | </ | ||
| + | |||
| + | Sur le VirtualHost le point vraiment essentiel est de mettre le paramètre '' | ||
| + | |||
| + | On valide tout ça | ||
| + | |||
| + | < | ||
| + | sudo a2ensite org.monsite | ||
| + | sudo apachectl -t | ||
| + | sudo service apache2 restart | ||
| + | </code> | ||
| - | ===== Exemple | + | ===== Exemples |
| - | ==== Notre proxy ===== | + | ==== Proxy sans ssl passthrough |
| Exemple simple: | Exemple simple: | ||
| <code bash> | <code bash> | ||
| Ligne 265: | Ligne 316: | ||
| server { | server { | ||
| listen | listen | ||
| - | server_name " | + | server_name " |
| | | ||
| - | return | + | return |
| } | } | ||
| server { | server { | ||
| listen | listen | ||
| - | server_name " | + | server_name " |
| - | ssl_certificate / | + | ssl_certificate / |
| - | ssl_certificate_key / | + | ssl_certificate_key / |
| location / { | location / { | ||
| Ligne 292: | Ligne 343: | ||
| *[[fr: | *[[fr: | ||
| - | ==== Demander un certificat let' | + | ===== Demander un certificat let' |
| Voir [[fr: | Voir [[fr: | ||
