Nextcloud ພາຍໃນ, ແລະພາຍນອກ OpenLiteSpeed: ການຕັ້ງຄ່າ reverse proxying

ຂ້ອຍສາມາດຕັ້ງຄ່າ OpenLiteSpeed ​​​​ເພື່ອກັບຄືນ proxy ກັບ Nextcloud ທີ່ຕັ້ງຢູ່ໃນເຄືອຂ່າຍພາຍໃນຂອງຂ້ອຍໄດ້ແນວໃດ?

ເປັນເລື່ອງແປກທີ່, ການຄົ້ນຫາໃນHabréສໍາລັບ OpenLiteSpeed ​​​​ບໍ່ໄດ້ຜົນຫຍັງ! ຂ້ອຍເລັ່ງແກ້ໄຂຄວາມບໍ່ຍຸຕິທໍານີ້, ເພາະວ່າ LSWS ເປັນເຄື່ອງແມ່ຂ່າຍເວັບທີ່ສົມຄວນ. ຂ້າ​ພະ​ເຈົ້າ​ຮັກ​ມັນ​ສໍາ​ລັບ​ຄວາມ​ໄວ​ແລະ​ການ​ໂຕ້​ຕອບ​ການ​ບໍ​ລິ​ຫານ​ເວັບ​ໄຊ​ຕ​໌ fancy​:

ເຖິງວ່າຈະມີຄວາມຈິງທີ່ວ່າ OpenLiteSpeed ​​​​ມີຊື່ສຽງຫຼາຍທີ່ສຸດເປັນ WordPress "accelerator," ໃນບົດຄວາມໃນມື້ນີ້ຂ້າພະເຈົ້າຈະສະແດງໃຫ້ເຫັນຄໍາຮ້ອງສະຫມັກສະເພາະຂອງມັນ. ຄື, reverse proxying ຂອງການຮ້ອງຂໍ. ເຈົ້າຈະເວົ້າວ່າມັນເປັນເລື່ອງທົ່ວໄປກວ່າທີ່ຈະໃຊ້ nginx ສໍາລັບການນີ້? ຂ້ອຍຈະຕົກລົງ. ແຕ່ພວກເຮົາກໍ່ຕົກຫລຸມຮັກກັບ LSWS!

Proxying ok, ແຕ່ຢູ່ໃສ? ການບໍລິການທີ່ປະເສີດເທົ່າທຽມກັນແມ່ນ Nextcloud. ພວກເຮົາໃຊ້ Nextcloud ເພື່ອສ້າງ "cloud-sharing clouds". ສໍາລັບລູກຄ້າແຕ່ລະຄົນ, ພວກເຮົາຈັດສັນ VM ແຍກຕ່າງຫາກກັບ Nextcloud, ແລະພວກເຮົາບໍ່ຕ້ອງການທີ່ຈະເປີດເຜີຍໃຫ້ເຂົາເຈົ້າ "ຢູ່ນອກ". ແທນທີ່ຈະ, ພວກເຮົາຮ້ອງຂໍຕົວແທນໂດຍຜ່ານຕົວແທນ reverse ທົ່ວໄປ. ການແກ້ໄຂນີ້ອະນຸຍາດໃຫ້ທ່ານ:
1) ເອົາເຄື່ອງແມ່ຂ່າຍທີ່ຂໍ້ມູນຂອງລູກຄ້າຖືກເກັບໄວ້ຈາກອິນເຕີເນັດແລະ
2) ບັນທຶກທີ່ຢູ່ IP.

ແຜນວາດເບິ່ງຄືດັ່ງນີ້:

ມັນເປັນທີ່ຊັດເຈນວ່າແຜນວາດແມ່ນງ່າຍດາຍ, ເພາະວ່າ ການຈັດຕັ້ງໂຄງສ້າງພື້ນຖານການບໍລິການເວັບບໍ່ແມ່ນຫົວຂໍ້ຂອງບົດຄວາມໃນມື້ນີ້.

ນອກຈາກນີ້ໃນບົດຄວາມນີ້ຂ້າພະເຈົ້າຈະຍົກເລີກການຕິດຕັ້ງແລະການຕັ້ງຄ່າພື້ນຖານຂອງ nextcloud, ໂດຍສະເພາະເນື່ອງຈາກວ່າມີເອກະສານກ່ຽວກັບຫົວຂໍ້ນີ້ກ່ຽວກັບHabré. ແຕ່ຂ້ອຍແນ່ນອນຈະສະແດງໃຫ້ທ່ານເຫັນການຕັ້ງຄ່າທີ່ບໍ່ມີ Nextcloud ຈະບໍ່ເຮັດວຽກຢູ່ຫລັງຕົວແທນ.

ມອບໃຫ້:
Nextcloud ຖືກຕິດຕັ້ງຢູ່ໃນໂຮດ 1 ແລະຖືກຕັ້ງຄ່າໃຫ້ເຮັດວຽກຜ່ານ http (ໂດຍບໍ່ມີ SSL), ມີພຽງແຕ່ການໂຕ້ຕອບເຄືອຂ່າຍທ້ອງຖິ່ນແລະທີ່ຢູ່ IP "ສີຂີ້ເຖົ່າ" 172.16.22.110.
ໃຫ້ເຮົາຕັ້ງຄ່າ OpenLiteSpeed ​​​​ເທິງໂຮດ 2. ມັນມີສອງອິນເຕີເຟດ, ອັນພາຍນອກ (ເບິ່ງອິນເຕີເນັດ) ແລະພາຍໃນຫນຶ່ງທີ່ມີທີ່ຢູ່ IP ໃນເຄືອຂ່າຍ 172.16.22.0/24
ຊື່ DNS cloud.connect.link ນໍາໄປສູ່ທີ່ຢູ່ IP ຂອງການໂຕ້ຕອບພາຍນອກຂອງເຈົ້າພາບ 2

ໜ້າ ວຽກ:
ໄດ້ຮັບຈາກອິນເຕີເນັດໂດຍໃຊ້ການເຊື່ອມຕໍ່ 'https://cloud.connect.link' (SSL) ໃນ Nextcloud ໃນເຄືອຂ່າຍພາຍໃນ.

• ການຕິດຕັ້ງ OpenLiteSpeed ​​​​ໃນ Ubuntu 18.04.2.

ມາເພີ່ມບ່ອນເກັບມ້ຽນ:

wget -O — http://rpms.litespeedtech.com/debian/enable_lst_debain_repo.sh |sudo bash
sudo apt-get update

ຕິດຕັ້ງ, ແລ່ນ:

sudo apt-get ຕິດຕັ້ງ openlitespeed
sudo /usr/local/lsws/bin/lswsctrl ເລີ່ມ

• ມາຕັ້ງ firewall ໜ້ອຍທີ່ສຸດ.
  

  sudo ufw ອະນຸຍາດໃຫ້ ssh
  sudo ufw ເລີ່ມຕົ້ນອະນຸຍາດໃຫ້ອອກ
  sudo ufw ເລີ່ມຕົ້ນປະຕິເສດການເຂົ້າມາ
  sudo ufw ອະນຸຍາດໃຫ້ http
  sudo ufw ອະນຸຍາດໃຫ້ https
  sudo ufw ອະນຸຍາດໃຫ້ຈາກ ເຈົ້າພາບຈັດການຂອງເຈົ້າ ໄປຫາພອດ 7080 ໃດກໍໄດ້
  sudo ufw enable

• ໃຫ້ຕັ້ງຄ່າ OpenLiteSpeed ​​​​ເປັນ proxy ປີ້ນກັບກັນ.
  ມາສ້າງໄດເລກະທໍລີສໍາລັບ virtualhost.

  cd /usr/local/lsws/
  sudo mkdirc cloud.connect.link
  cd cloud.connect.link/
  sudo mkdir {conf,html,logs}
  sudo chown lsadm:lsadm ./conf/

ໃຫ້ເຮົາຕັ້ງຄ່າ virtualhost ຈາກສ່ວນຕິດຕໍ່ເວັບ LSWS.
ເປີດການຈັດການ URL http://cloud.connect.link:7080
ການເຂົ້າສູ່ລະບົບ/ລະຫັດຜ່ານມາດຕະຖານ: admin/123456

ເພີ່ມເຈົ້າພາບສະເໝືອນ (Virtual Hosts > Add).
ເມື່ອເພີ່ມ, ຂໍ້ຄວາມສະແດງຂໍ້ຜິດພາດຈະປາກົດຂຶ້ນທີ່ຊີ້ໃຫ້ເຫັນວ່າໄຟລ໌ການຕັ້ງຄ່າຫາຍໄປ. ນີ້ແມ່ນເລື່ອງປົກກະຕິແລະສາມາດແກ້ໄຂໄດ້ໂດຍການຄລິກຄລິກເພື່ອສ້າງ.

ໃນແຖບທົ່ວໄປ, ໃຫ້ລະບຸຮາກເອກະສານ (ເຖິງແມ່ນວ່າມັນບໍ່ຈໍາເປັນ, config ຈະບໍ່ເອົາໄປໂດຍບໍ່ມີມັນ). Domain Name, ຖ້າບໍ່ລະບຸ, ຈະຖືກເອົາມາຈາກ Virtual Host Name, ທີ່ພວກເຮົາເອີ້ນວ່າຊື່ໂດເມນຂອງພວກເຮົາ.

ດຽວນີ້ມັນເຖິງເວລາທີ່ຈະຈື່ໄວ້ວ່າພວກເຮົາບໍ່ພຽງແຕ່ມີເຄື່ອງແມ່ຂ່າຍເວັບ, ແຕ່ເປັນຕົວແທນທີ່ກົງກັນຂ້າມ. ການຕັ້ງຄ່າຕໍ່ໄປນີ້ຈະບອກ LSWS ວ່າຈະເປັນຕົວແທນຫຍັງ ແລະຢູ່ໃສ. ໃນການຕັ້ງຄ່າ virtualhost, ເປີດແຖບ App ພາຍນອກແລະເພີ່ມຄໍາຮ້ອງສະຫມັກໃຫມ່ຂອງປະເພດເຄື່ອງແມ່ຂ່າຍເວັບ:

ພວກເຮົາຊີ້ບອກຊື່ແລະທີ່ຢູ່. ທ່ານ​ສາ​ມາດ​ກໍາ​ນົດ​ຊື່​ໂດຍ​ຕົນ​ເອງ​, ແຕ່​ວ່າ​ທ່ານ​ຈໍາ​ເປັນ​ຕ້ອງ​ຈື່​ຈໍາ​ມັນ​; ມັນ​ຈະ​ເປັນ​ປະ​ໂຫຍດ​ໃນ​ຂັ້ນ​ຕອນ​ຕໍ່​ໄປ​. ທີ່ຢູ່ແມ່ນບ່ອນທີ່ Nextcloud ອາໃສຢູ່ໃນເຄືອຂ່າຍພາຍໃນ:

ໃນການຕັ້ງຄ່າ virtualhost ດຽວກັນ, ເປີດແຖບ Context ແລະສ້າງສະພາບການໃຫມ່ຂອງປະເພດ Proxy:

ລະບຸພາລາມິເຕີ: URI = /, ເຄື່ອງແມ່ຂ່າຍເວັບ = nextcloud_1 (ຊື່ຈາກຂັ້ນຕອນທີ່ຜ່ານມາ)

ປິດເປີດ LSWS ຄືນໃໝ່. ນີ້ແມ່ນເຮັດດ້ວຍການຄລິກດຽວຈາກການໂຕ້ຕອບເວັບໄຊຕ໌, ມະຫັດສະຈັນ! (ຜູ້ກຳຈັດໜູທີ່ເປັນກຳມະພັນໃນຂ້ອຍເວົ້າ)

• ພວກເຮົາຕິດຕັ້ງໃບຢັ້ງຢືນແລະກໍາຫນົດຄ່າ https.
  ຂັ້ນຕອນການໄດ້ຮັບໃບຢັ້ງຢືນ ພວກ​ເຮົາ​ຈະ​ຍົກ​ເວັ້ນ​ມັນ​ແລະ​ຕົກ​ລົງ​ເຫັນ​ດີ​ວ່າ​ພວກ​ເຮົາ​ມີ​ມັນ​ແລ້ວ​ແລະ​ມັນ​ຢູ່​ພ້ອມ​ກັບ​ທີ່​ສໍາ​ຄັນ​ໃນ /etc/letsencrypt/live/cloud.connect.link directory.

ໃຫ້ສ້າງ "ຜູ້ຟັງ" (ຜູ້ຟັງ> ເພີ່ມ), ໂທຫາມັນ "https". ໃຫ້ຊີ້ໄປທີ່ພອດ 443 ແລະສັງເກດວ່າມັນຈະປອດໄພ:

ໃນແຖບ SSL, ຊີ້ບອກເສັ້ນທາງໄປຫາກະແຈ ແລະໃບຢັ້ງຢືນ:

"ຜູ້ຟັງ" ໄດ້ຖືກສ້າງຂື້ນ, ຕອນນີ້ຢູ່ໃນພາກ Virtual Host Mappings ພວກເຮົາຈະເພີ່ມເຈົ້າພາບ virtual ຂອງພວກເຮົາໃສ່ມັນ:

ຖ້າ LSWS ຈະເປັນຕົວແທນໃຫ້ກັບການບໍລິການດຽວເທົ່ານັ້ນ, ການຕັ້ງຄ່າສາມາດສໍາເລັດໄດ້. ແຕ່ພວກເຮົາວາງແຜນທີ່ຈະໃຊ້ມັນເພື່ອສົ່ງຄໍາຮ້ອງຂໍໃຫ້ກັບ "ເຈົ້າຫນ້າທີ່" ທີ່ແຕກຕ່າງກັນຂຶ້ນກັບຊື່ໂດເມນ. ແລະໂດເມນທັງຫມົດຈະມີໃບຢັ້ງຢືນຂອງຕົນເອງ. ດັ່ງນັ້ນ, ທ່ານຈໍາເປັນຕ້ອງໄປຫາ virtualhost config ແລະອີກເທື່ອຫນຶ່ງລະບຸລະຫັດແລະໃບຢັ້ງຢືນຂອງມັນຢູ່ໃນແຖບ SSL. ໃນອະນາຄົດ, ນີ້ຄວນຈະເຮັດສໍາລັບແຕ່ລະເຈົ້າພາບ virtual ໃຫມ່.

ທັງຫມົດທີ່ຍັງເຫຼືອແມ່ນການຕັ້ງຄ່າ url rewriting ເພື່ອໃຫ້ຄໍາຮ້ອງຂໍ http ຖືກສົ່ງໄປຫາ https.
(ໂດຍວິທີທາງການ, ເວລາທີ່ນີ້ຈະສິ້ນສຸດ? ມັນເຖິງເວລາສໍາລັບຕົວທ່ອງເວັບແລະຊອບແວອື່ນໆທີ່ຈະປ່ຽນເປັນ https ໂດຍຄ່າເລີ່ມຕົ້ນ, ແລະສົ່ງຕໍ່ໄປຫາ no-SSL ດ້ວຍຕົນເອງຖ້າຈໍາເປັນ).
ເປີດເປີດໃຊ້ Rewrite ແລະຂຽນກົດລະບຽບການຂຽນຄືນໃຫມ່:

RewriteCond %{SERVER_PORT} 80
RewriteRule ^.*)$ https://%{SERVER_NAME}%{REQUEST_URI} [R=301,L]

ເນື່ອງຈາກຄວາມເຂົ້າໃຈຜິດທີ່ແປກປະຫຼາດ, ທ່ານບໍ່ສາມາດໃຊ້ກົດລະບຽບການຂຽນຄືນໃຫມ່ໂດຍໃຊ້ Graceful restart ປົກກະຕິ. ດັ່ງນັ້ນ, ຂໍໃຫ້ເລີ່ມ LSWS ຄືນໃໝ່ບໍ່ງາມ, ແຕ່ປະມານ ແລະປະສິດທິຜົນ:

sudo systemctl restart lsws.service

ເພື່ອໃຫ້ເຄື່ອງແມ່ຂ່າຍຟັງ port 80, ພວກເຮົາຈະສ້າງ Listener ອື່ນ. ໃຫ້ໂທຫາມັນ http, ຊີ້ໃຫ້ເຫັນພອດທີ 80 ແລະຄວາມຈິງທີ່ວ່າມັນຈະບໍ່ມີຄວາມປອດໄພ:

ໂດຍການປຽບທຽບກັບການຕັ້ງຄ່າຜູ້ຟັງ https, ໃຫ້ແຜນທີ່ virtual host ຂອງພວກເຮົາກັບມັນ.

ໃນປັດຈຸບັນ LSWS ຈະຟັງພອດ 80 ແລະສົ່ງຄໍາຮ້ອງຂໍຈາກມັນໄປຫາ 443, ຂຽນ url ຄືນໃໝ່.
ສຸດທ້າຍ, ຂ້າພະເຈົ້າຂໍແນະນໍາໃຫ້ຫຼຸດລົງລະດັບການບັນທຶກ LSWS, ເຊິ່ງຖືກຕັ້ງເປັນ Debug ໂດຍຄ່າເລີ່ມຕົ້ນ. ໃນໂຫມດນີ້, ບັນທຶກຄູນດ້ວຍຄວາມໄວຟ້າຜ່າ! ສໍາລັບກໍລະນີຫຼາຍທີ່ສຸດ, ລະດັບການເຕືອນໄພແມ່ນພຽງພໍ. ໄປ​ທີ່ Server Configuration > Log:

ນີ້ເຮັດສໍາເລັດການຕັ້ງຄ່າ OpenLiteSpeed ​​​​ເປັນ proxy ປີ້ນກັບກັນ. ອີກເທື່ອຫນຶ່ງພວກເຮົາ restart LSWS, ປະຕິບັດຕາມການເຊື່ອມຕໍ່ https://cloud.connect.link ແລະພວກເຮົາເບິ່ງ:

ເພື່ອໃຫ້ Nextcloud ໃຫ້ພວກເຮົາເຂົ້າໄປ, ພວກເຮົາຈໍາເປັນຕ້ອງໄດ້ເພີ່ມໂດເມນ cloud.connect.link ເຂົ້າໃນບັນຊີລາຍຊື່ທີ່ເຊື່ອຖືໄດ້. ໃຫ້ເຮົາໄປແກ້ໄຂ config.php. ຂ້ອຍຕິດຕັ້ງ Nextcloud ໂດຍອັດຕະໂນມັດເມື່ອຕິດຕັ້ງ Ubuntu ແລະ config ຢູ່ທີ່ນີ້: /var/snap/nextcloud/current/nextcloud/config.
ເພີ່ມພາລາມິເຕີ 'cloud.connect.link' ໃສ່ກະແຈ trusted_domains:

'trusted_domains' =>
ຂບວນ (
0 => '172.16.22.110',
1 => 'cloud.connect.link',
),

ຕໍ່ໄປ, ໃນ config ດຽວກັນ, ທ່ານຈໍາເປັນຕ້ອງລະບຸທີ່ຢູ່ IP ຂອງຕົວແທນຂອງພວກເຮົາ. ກະ​ລຸ​ນາ​ສັງ​ເກດ​ວ່າ​ທີ່​ຢູ່​ຕ້ອງ​ໄດ້​ຮັບ​ການ​ລະ​ບຸ​ໄວ້​ເປັນ​ຫນຶ່ງ​ທີ່​ສາ​ມາດ​ເບິ່ງ​ໄດ້​ກັບ​ເຄື່ອງ​ແມ່​ຂ່າຍ Nextcloud​, i.e. IP ການໂຕ້ຕອບທ້ອງຖິ່ນ LSWS. ຖ້າບໍ່ມີຂັ້ນຕອນນີ້, ການໂຕ້ຕອບເວັບ Nextcloud ເຮັດວຽກ, ແຕ່ແອັບພລິເຄຊັນບໍ່ໄດ້ຮັບອະນຸຍາດ.

'trusted_proxies' =>
ຂບວນ (
0 => '172.16.22.100',
),

ດີຫຼາຍ, ຫຼັງຈາກນີ້ພວກເຮົາສາມາດໄປຫາການໂຕ້ຕອບການອະນຸຍາດ:

ບັນ​ຫາ​ແກ້​ໄຂ​! ໃນປັດຈຸບັນລູກຄ້າແຕ່ລະຄົນສາມາດນໍາໃຊ້ "ໄຟລ໌ເມຄ" ໄດ້ຢ່າງປອດໄພໂດຍໃຊ້ URL ສ່ວນຕົວຂອງພວກເຂົາ, ເຄື່ອງແມ່ຂ່າຍທີ່ມີໄຟລ໌ຖືກແຍກອອກຈາກອິນເຕີເນັດ, ລູກຄ້າໃນອະນາຄົດຈະໄດ້ຮັບທຸກສິ່ງທຸກຢ່າງຄືກັນແລະບໍ່ແມ່ນທີ່ຢູ່ IP ເພີ່ມເຕີມດຽວຈະເປັນອັນຕະລາຍ.
ນອກຈາກນັ້ນ, ທ່ານສາມາດນໍາໃຊ້ proxy reverse ເພື່ອສົ່ງເນື້ອຫາຄົງທີ່, ແຕ່ໃນກໍລະນີຂອງ Nextcloud ນີ້ຈະບໍ່ເຮັດໃຫ້ຄວາມໄວເພີ່ມຂຶ້ນຢ່າງເຫັນໄດ້ຊັດ. ດັ່ງນັ້ນນີ້ແມ່ນທາງເລືອກແລະທາງເລືອກ.

ຂ້ອຍດີໃຈທີ່ຈະແບ່ງປັນເລື່ອງນີ້, ຂ້ອຍຫວັງວ່າມັນຈະເປັນປະໂຫຍດຕໍ່ບາງຄົນ. ຖ້າທ່ານຮູ້ວິທີການທີ່ສະຫງ່າງາມແລະມີປະສິດຕິຜົນຫຼາຍສໍາລັບການແກ້ໄຂບັນຫານີ້, ຂ້າພະເຈົ້າຂໍຂອບໃຈກັບຄໍາເຫັນຂອງທ່ານ!

ແຫຼ່ງຂໍ້ມູນ: www.habr.com