Nextcloud sees a secure OpenLiteSpeed exterior: configuring reverse proxying

Kuidas seadistada OpenLiteSpeed'i tagasiproksi Nextcloudile, mis asub sisevõrgus?

Imelik, aga Habr'i otsing OpenLiteSpeed'i kohta ei anna midagi! Kiirustan selle ebaõigluse parandamisega, sest LSWS on väärikas veebi server. Mulle meeldib selle kiirus ja stiilne haldustee:

Kuigi OpenLiteSpeed on kõige tuntum kui WordPressi „kiirendi“, näitan ma täna selle üsna spetsiifilist kasutust. Just nimelt tagasiproksi päringute puhul. Ütlete, et selleks on mugavam kasutada nginx'i? Olen nõus. Aga LSWS on meile tõeliselt meeldima hakanud!

Proksimine on OK, aga kuhu? Ei vähem hämmastavasse teenusesse – Nextcloudi. Kasutame Nextcloudi privaatsete „failivahetuspilvede“ loomiseks. Iga kliendi jaoks eraldame eraldi VM koos Nextcloudiga ja ei soovi neid „välja“ näidata. Selle asemel proksime päringud ühise tagasiproksi kaudu. See lahendus võimaldab:
1) viia kliendi andmete server internetist välja ja
2) säästa IP-aadresse.

Skeem näeb välja selline:

On selge, et skeem on lihtsustatud, kuna veebiteenuste infrastruktuuri korraldamine ei ole tänase artikli teema.

Selles artiklis jätan vahele Nextcloudi installatsiooni ja algse seadistamise, kuna selle teema kohta on Habr'is juba materjale. Küll aga näitan kindlasti seadeid, ilma milleta Nextcloud proxy'de taga ei tööta.

Antud:
Nextcloud on installitud hostile 1 ja seadistatud töötama http kaudu (ilma SSLita), tal on ainult kohalikke võrgu liides ja 'hall' IP-aadress 172.16.22.110.
Seadistame OpenLiteSpeed'i hostil 2. Sellel on kaks liidest, väline (internetti suunatud) ja sisemine, mille IP-aadress on aadressil 172.16.22.0/24.
Hosti 2 välishoone IP-aadressile viib DNS-nimi cloud.connect.link.

Ülesanne:
Pääseda internetist lingi kaudu ‘https://cloud.connect.link‘ (SSL) Nextcloudisse sisemisest võrgust.

• Installime OpenLiteSpeed'i Ubuntu 18.04.2 süsteemile.

Lisame repositooriumi:

wget -O — http://rpms.litespeedtech.com/debian/enable_lst_debain_repo.sh |sudo bash
sudo apt-get update

installime ja käivitame:

sudo apt-get install openlitespeed
sudo /usr/local/lsws/bin/lswsctrl start

• Seadistame tulemüüri minimaalsetelt.
  

  sudo ufw allow ssh
  sudo ufw default allow outgoing
  sudo ufw default deny incoming
  sudo ufw allow http
  sudo ufw allow https
  sudo ufw allow from teie juhtimishost to any port 7080
  sudo ufw enable

• Seadistame OpenLiteSpeed'i pöördproksi tõkkeks.
  Loome virtuaalhosti jaoks kaustad.

  cd /usr/local/lsws/
  sudo mkdir cloud.connect.link
  cd cloud.connect.link/
  sudo mkdir {conf,html,logs}
  sudo chown lsadm:lsadm ./conf/

Seadistame virtuaalhosti LSWS veebiliidese kaudu.
Avame haldus URL http://cloud.connect.link:7080
Vaikimisi sisselogimine/parool: admin/123456

Lisame virtuaalserveri (Virtuaalserverid > Lisa).
Lisamisel kuvatakse tõrketeade – konfiguratsioonifaili puudumine. See on normaalne, see lahendatakse klikkides 'Loo'.

Üldvahekaardil määrame Document Root (kuigi see pole vajalik, ilma selleta konfiguratsioon ei tööta). Domeeninimi, kui seda ei määrata, võetakse Virtual Host Nimest, mille nimetasime oma domeeni nimeks.

Nüüd on aeg meeles pidada, et meil ei ole lihtsalt veebiserver, vaid reverse proxy. Järgmised seaded näitavad LSWS-le, mida proksida ja kuhu. Virtuaalserveri seadetes avame vahekaardi External App ja lisame uue rakenduse tüübiga Web server:

Määrame nime ja aadressi. Nime võib määrata meelevaldse, kuid see tuleb meeles pidada, see on kasulik järgmistes sammudes. Aadress on see, kus Nextcloud asub siseringis:

Samades virtuaalserveri seadetes avame vahekaardi Context ja loome uue konteksti tüübiga Proxy:

Määrame parameetrid: URI = /, Web server = nextcloud_1 (nimi eelmisest sammust)

Taaskäivita LSWS. Seda saab teha ühe kliki abil veebiliidesest, imeline! (minu sees räägib põlvkondade pikk hiirekasutaja)

• Installeerime sertifikaadi, seadistame https.
  Sertifikaadi hankimise protseduur Kokkulepitud, et see on meil juba olemas ja asub koos võtmega kataloogis /etc/letsencrypt/live/cloud.connect.link.

Loome „kuulaja” (Listeners > Add), nimetame selle „https”. Määrame sellele pordi 443 ja märkime, et see on turvaline:

SSL vahekaardil määrame võtme ja sertifikaadi tee:

„Kuulaja” on loodud, nüüd lisame Virtual Host Mappings osas sellele meie virtuaalhosti:

Kui LSWS hyväks kuvatakse ainult ühe teenuse juurde, saab seadistuse lõpetada. Kuid me plaanime seda kasutada erinevate „instantside” jaoks, olenevalt domeeninimest. Kõigil domeenidel on oma sertifikaadid. Seetõttu peame minema virtuaalhosti konfi ja uuesti määrama SSL vahekaardil selle võtme ja sertifikaadi. Tulevikus tuleb seda teha iga uue virtuaalhosti jaoks.

Käivitus olev URL-i ümberkirjutamine, et http-päringud suunatakse https-ile.
(Muide, millal see lõpuks lõppeb? Aeg on, et brauserid ja muu tarkvara käiks vaikimisi https peal ja no-SSL-i suunamine toimiks käsitsi vajadusel).
Lülitame sisse Enable Rewrite ja kirjutame Rewrite Rules:

RewriteCond %{SERVER_PORT} 80
RewriteRule ^(.*)$ https://%{SERVER_NAME}%{REQUEST_URI} [R=301,L]

Rewrite reeglid on täiesti tavapäraselt Graceful restart'i abil rakendada ei saa. Seetõttu taaskäivitame LSWS mitte elegantselt, vaid jõhkralt ja efektiivselt:

sudo systemctl restart lsws.service

Et server kuulaks ka 80. porti, loome veel ühe Listener'i. Nimeks tuleks http, määrame 80. porti ja märkime, et see on mitte-Secure:

Kuna seadistame https listener'i, seome selle meie virtuaalhostiga.

Nüüd kuulab LSWS 80. porti ja suunab sellelt päringud 443-le, kirjutades url'i ümber.
Lõpetuseks soovitan vähendada LSWS-i logimistaset, mis on vaikimisi seadistatud Debug-ks. Sellises režiimis genereerivad logid koheselt! Enamikeks juhtudeks piisab Warning tasemest. Suundume Server Configuration > Log:

Selleks on OpenLiteSpeed'i seadistamine tagasipööravaks lõpetatud. Taaskäivitame LSWS-i, suundume lingile https://cloud.connect.link ja näeme:

Kuna Nextcloud lubab meid, peame lisama domeeni cloud.connect.link usaldatud loendisse. Suundume, et redigeerida config.php. Nextcloud'i ülevaldseati automaatselt Ubuntu installimisel ja konfigureerimisfail asub siin: /var/snap/nextcloud/current/nextcloud/config.
Usaldatud domeenide võtmele lisame parameetri ‘cloud.connect.link’:

‘trusted_domains’ =>
array (
0 => ‘172.16.22.110’,
1 => ‘cloud.connect.link’,
),

Seejärel tuleb samas konfiguratsioonis märkida meie proxy IP-aadress. Tahan rõhutada, et aadress tuleb märkida see, mis on nähtav Nextcloud serverile, st LSWS kohalikul liidese IP. Ilma selle sammuta töötab Nextcloud veebiliides, kuid rakendused ei saa sisse logida.

'trusted_proxies' =>
array (
0 => '172.16.22.100',
),

Suurepärane, nüüd pääseme autoriseerimise liidesele:

Probleem lahendatud! Nüüd saavad kõik kliendid turvaliselt kasutada "failide pilve" oma isikliku URL-i kaudu, failiserver on internetist eraldatud, tulevased kliendid saavad sama ja ühtegi täiendavat IP-aadressi ei kahjustata.
Lisaks võib kasutada reverse proxy'd staatilise sisu edastamiseks, kuid Nextcloudi puhul ei too see märkimisväärset kiiruskasvu. Seega on see valikuline ja soovijoht.

Mul on hea meel seda lugu jagada, loodan, et kellelegi see kasulik on. Kui tead elegantsesemaid ja tõhusamaid lahendusi antud ülesande täitmiseks – olen tänulik kommentaaride eest!

Allikas: habr.com