mitchell
Goto Top

Reverse-Proxy Lösung

Hi,

ich bräuchte mal ein paar Anregungen bezüglich Reverse-Proxy und SSL.

Problem: Endgerät unterstützt kein SSL, ist also nur HTTP möglich. Geht natürlich mal gar nicht, wenn man auf URL mit HTTPS angewiesen ist (heute ja kaum vorstellbar ^^).
Nun möchte ich einen Reverse-Proxy einsetzen. Welche Lösung würdet ihr da verwenden?

Und ja, das Apache Modul ist irgendwo klar. Leider schmiert es, warum auch immer, ab.

Wie immer...ich danke vorab.

Gruß
Mitchell

Content-Key: 416405

Url: https://administrator.de/contentid/416405

Printed on: April 16, 2024 at 04:04 o'clock

Member: StefanKittel
StefanKittel Feb 11, 2019 at 05:56:25 (UTC)
Goto Top
Hallo,

für RP ist nginx meiner Meinung nach besser geeignet.

Das was Dir fehlt nennt sich SSL-Offloading.
Also SSL-Verbindung zum RP und von dort per HTTP
Wird häufig bei Web-Shops gemacht um Rechenleistung am Shop-Server einzusparen.

Stefan
Member: Spirit-of-Eli
Spirit-of-Eli Feb 11, 2019 at 06:28:35 (UTC)
Goto Top
Moin,

die Frage ist nicht wirklich was du brauchst, sondern was du schon hast?

Für einen mikrigen Reverse Proxy würde ich mir kein Brett hin stellen.

Was muss da genau durch getunnelt werden und was nutzt du als FW?
Ist z.b. ein Netscaler vorhanden?

Gruß
Spirit
Member: Julian94
Julian94 Feb 11, 2019 at 08:22:59 (UTC)
Goto Top
Hi Mitchell,

würde auch einen NGINX Reverse Proxy in die DMZ stellen. Nutzen das so schon seit Jahren.

Bei Interesse kann ich dir ne Standardconfig zur Verfügung stellen.

Gruß
Julian
Member: pianoman82
pianoman82 Feb 11, 2019 updated at 08:39:47 (UTC)
Goto Top
Guten Morgen!

Auch ich habe großes Interesse an einer Standardconfig für NGINX zum Thema Reverse Proxy.

Herzliche Grüße
Member: Julian94
Julian94 Feb 11, 2019 updated at 08:48:06 (UTC)
Goto Top
/var/nginx/conf.d/example.conf
server {
    listen 443 http2;
    server_name subdomain.yourdomain.de;

	# SSL Config
	ssl_certificate         /etc/nginx/certs/yourcert.cer;
	ssl_certificate_key     /etc/nginx/certs/yourkey.key;
	ssl_session_timeout 120m;
        ssl_protocols TLSv1 TLSv1.1 TLSv1.2;

    location / {
        proxy_pass http://yourbackendserver;
        proxy_cookie_path / /;

		proxy_set_header   Host $host;
		proxy_set_header   X-Real-IP $remote_addr;
		proxy_set_header   X-Forwarded-For $proxy_add_x_forwarded_for;
		proxy_set_header   X-Forwarded-Proto $scheme;
        }

	# HSTS (ngx_http_headers_module is required) (15768000 seconds = 6 months)
	add_header Strict-Transport-Security max-age=15768000;

	error_log /var/log/nginx/yourdomain-error.log;
        access_log /var/log/nginx/yourdomain-access.log;
}
Member: Dani
Dani Feb 11, 2019 at 20:38:14 (UTC)
Goto Top
Moin,
Achtung! Die gepostete Konfiguration entspricht einer minimal Konfiguration!

Es fehlen wesentliche Dinge wie OCSP Stapling; Cipher Suites; Reihenfolge der Cipher Suites; Certificate Chain; SSL Sessions Timeouts; Header wie X-Frame-Options, X-XSS-Protection; HSTS inkl. Preload & Subdomains; Weiterleitung von HTTP auf HTTPs, etc...


Gruß,
Dani
Member: Julian94
Julian94 Feb 12, 2019 updated at 12:26:16 (UTC)
Goto Top
Sagte ich ja bereits, diesen "einheitlichen" Kram haben in einer separaten Datei gepflegt. Man sollte sich hier mal durch arbeiten: https://gist.github.com/plentz/6737338
Member: Mitchell
Mitchell Feb 24, 2019 at 01:04:36 (UTC)
Goto Top
Muss ich leider ungelöst stehen lassen, weil das Projekt momentan brach liegt.

Ich danke auf jeden Fall für alle Vorschläge und werde Bescheid geben, sollte sich hier noch was ergeben.

Gruß
Mitchell
Member: Spirit-of-Eli
Spirit-of-Eli Feb 24, 2019 at 07:07:23 (UTC)
Goto Top
Also HAProxy kann genau dass und es gibt viele Anleitungen wie der standalone betrieben werden kann.

Also, was fehlt dir zur Lösung?
Member: Mitchell
Mitchell Feb 25, 2019 at 01:34:00 (UTC)
Goto Top
Zeit und Lust face-smile Momentan muss ich hier leider abbrechen.

Gruß
Mitchell