1

Есть задача, проксировать соединение с http://centerix.ru/wiki/ на http://wiki.centerix.ru/ . На centerix.ru стоит Apache, на втором самописный StormServer.

Задача была решена через настройки апача ProxyRequests On и ProxyPass /wiki/ http://wiki.centerix.ru/wiki/ .

Но встала другая проблема, апач присылает на шторм заголовки X-Forwarded-For: 1.2.3.4, X-Forwarded-Host: centerix.ru, X-Forwarded-Server: centerix.ru. Как реализуется проверка, после которой этим заголовкам можно доверять? Как настроить апач, если проксирование будет идти в обратную сторону?

Так же возникает вопрос безопасности данных. Если считать, что оба сервера Apache, то можно ли и как, создав для них самоподписанные ssl сертификаты и настроить так, чтобы все общение между серверами шло по протоколу https?

В принципе, мне требуется понять, какими опциями настраивается апач, после чего я смогу реализовать подобные опции на своем сервере.

4
  • требуется именно проксирование и выдача клиенту редиректа не подходит? 10 июн 2015 в 11:14
  • редирект требует свободный 80 порт, это достаточно дорогое удовольствие.
    – mikelsv
    10 июн 2015 в 11:25
  • я не понял вашего ответа, поэтому предполагаю, что вы не поняли моего вопроса. я предлагаю при обращении к http://centerix.ru/wiki/somepage возвращать клиенту 302-й код и адрес http://wiki.centerix.ru/wiki/somepage, по которому он и должен обратиться. 10 июн 2015 в 11:29
  • Я понял вопрос. Если мне потребуется освободить 80 порт на wiki.centerix.ru, и я запущу сервер например на порту 8080. То, вы предлагаете редиректить пользователей на wiki.centerix.ru:8080/wiki/somepage ? Это довольно корявое решение. А хотелось бы, чтобы пользователь видел сайт как нечто цельное, пусть даже у него каждая директория обрабатывается своим сервером.
    – mikelsv
    10 июн 2015 в 11:37

3 ответа 3

2

в результате просмотра ответов автора на наводящие вопросы выяснилось, что, видимо, требуется ссылка на документацию apache.

в частности на директивы allow и deny (в версиях apache < 2.4) и заменяющую их директиву require (в версиях apache >= 2.4.

замечание: хотя использовать allow/deny можно и в более новых версиях, важно не смешивать эти директивы с более новой require в одной секции.


уточнение-дополнение по поводу именно проксирования:

apache 2.2 Controlling access to your proxy

apache 2.4 Controlling access to your proxy

1

Обычно при обратном проксировании предполагается, что никто чужой не может обратиться к бэкенду - а потому он может доверять проставленным заголовкам. У вас же, я так понимаю, оба сервера видны снаружи.

Можно смотреть на адрес клиента - и доверять заголовкам только если это адрес первого сервера. Подмены адреса тут можно не опасаться - просто потому что если злоумышленник может подменить адрес отправителя пакета - то ему уже не надо подменять заголовки.

Но зачем вам вообще проксирование? Два разных адреса у одной и той же страницы - это плохо. Поставьте редирект.

1
  • Да, оба сервера видны снаружи, так удобней для тестирования и отладки. Так же я не могу поставить их на одну машину, так как они запущены под разными ОС. Проксирование требуется для свободного изменения адреса и порта второго сервера. Я отрабатываю эту технологию и мне нужно уметь работать с ней.
    – mikelsv
    10 июн 2015 в 11:32
1

Если второй сервер требуется открывать всему миру только при отладке - имеет смысл

  1. Перенести сервер на нестандартный порт;
  2. "Положить" в корень файл robots.txt, запрещающий индексацию всех страниц, чтобы защититься от раскрытия "тайного" сервера поисковикам через ваш же браузер (на основной сервер этот файл никак не повлияет - потому что окажется не в корне);
  3. Настроить сетевую инфраструктуру таким образом, чтобы включать общий доступ к этому серверу и выключать обратно было довольно просто.
6
  • Про раскрытие фигня, нужны опции для апача, которыми блокируется доступ для всех ip адресов кроме адреса сервера. Теорию я знаю, мне нужны практические знания, а именно: как это реализовать на апаче.
    – mikelsv
    10 июн 2015 в 11:58
  • Погодите, вам же надо это ограничение ставить на стороне самописного сервера, а не апача... 10 июн 2015 в 12:00
  • В любом случае, если нужно закрыть веб-сервер целиком - то его можно закрыть средствами системного файервола. 10 июн 2015 в 12:01
  • Я хочу посмотреть, как это реализовано в апаче, и вероятнее всего сделать так же, чтобы хотя бы на начальном этапе не устраивать бардак. Системный фаервол в windows это конечно смешно.
    – mikelsv
    10 июн 2015 в 12:06
  • Ничего смешного, он существует и работает. 10 июн 2015 в 12:22

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.