Протокол прокси с NGinx, LXD / LXC и Kong - PullRequest
Новая
       45

Протокол прокси с NGinx, LXD / LXC и Kong

0 голосов
/ 14 июня 2019

У меня есть веб-приложение в контейнере Linux. LXD-версия - LXD 3.13

.

Веб-трафик поступает на хост vm (Ubuntu 16.04) и отправляется в LXC с помощью NGinx, nginx - версия 1.10.3

Внутри контейнера у меня есть Kong, получающий трафик и перенаправляющий его в мое приложение. Kong - это версия 1.1.2. Сам контейнер тоже Ubuntu 16.04.

ИНТЕРНЕТ -> NGINX -> LXD -> KONG (работает NGINX) -> МОЕ ПРИЛОЖЕНИЕ

Моя цель - заставить Гонконг прекратить SSL-трафик и предоставить IP-ограничения для белого списка. Без белого списка у меня все работает. Но моя проблема в том, что Kong видит LXD Base IP, а не оригинальный клиентский IP , который вызывает NGinx. Я думаю, что мне нужно использовать «Proxy Protocol» конфигурации, чтобы решить эту проблему, но если у меня есть другие варианты, я все уши.

Моя конфигурация NGinx довольно проста. Я должен использовать поток вместо HTML, чтобы мне не пришлось прекратить SSL. Это означает, что я не могу установить заголовок X-Real-IP, что, я думаю, было бы более простым решением. Поэтому вместо этого я пытаюсь использовать прокси-протокол. 

stream {
    server {
        listen 80;
        proxy_pass 10.214.23.104:8080;
        proxy_protocol on;
    }

    server {
        listen 443;
        proxy_pass 10.214.23.104:8443;
        proxy_protocol on;
    }
}

10.214.23.104 в данном случае это просто IP my LXD, назначенный для этого контейнера. 8080 и 8443 являются портами Kong для трафика http / https соответственно. Когда я пытаюсь добавить 'proxy_protocol on;' вместо того, чтобы видеть неправильный IP-ответ из Конга, я получаю «Неподдерживаемое или нераспознанное сообщение SSL». и Конг, кажется, не обрабатывает его.

Это мои журналы ошибок NGinx в данном случае: 

epoll: fd:8 ev:0
001 d:00007F170E93E0F8
post event 0000558DBC67B8E0
timer delta: 300041
posted event 0000558DBC67B8E0
delete posted event 0000558DBC67B8E0
accept on 0.0.0.0:443, ready: 0
posix_memalign: 0000558DBC650650:256 @16
***.***.***.***:52412 fd:12
*5 client ***.***.***.***:52412 connected to 0.0.0.0:443
*5 tcp_nodelay
*5 posix_memalign: 0000558DBC650760:256 @16
*5 proxy connection handler
*5 malloc: 0000558DBC650870:328
*5 malloc: 0000558DBC654C00:16384
*5 stream proxy send PROXY protocol header
*5 get rr peer, try: 1
*5 stream socket 13
*5 epoll add connection: fd:13 ev:80002005
*5 connect to 10.214.23.104:8443, fd:13 #6
*5 proxy connect: -2
*5 event timer add: 13: 60000:1560459025106
worker cycle
accept mutex locked
epoll timer: 60000
epoll: fd:13 ev:0004 d:00007F170E93E3B0
*5 post event 0000558DBC68DA10
timer delta: 0
posted event 0000558DBC68DA10
*5 delete posted event 0000558DBC68DA10
*5 event timer del: 13: 1560459025106
*5 stream proxy connect upstream
*5 tcp_nodelay
*5 proxy 10.214.23.1:50946 connected to 10.214.23.104:8443
*5 malloc: 0000558DBC69F8A0:16384
*5 send: fd:13 44 of 44
*5 epoll add event: fd:12 op:1 ev:80002001
*5 event timer add: 12: 600000:1560459565106
worker cycle
accept mutex locked
epoll timer: 600000
epoll: fd:13 ev:0005 d:00007F170E93E3B0
*5 post event 0000558DBC67BA00
*5 post event 0000558DBC68DA10
timer delta: 1
posted event 0000558DBC67BA00
*5 delete posted event 0000558DBC67BA00
*5 recv: fd:13 177 of 16384
*5 send: fd:12 177 of 177
*5 recv: fd:13 0 of 16384
*5 upstream disconnected, bytes from/to client:0/177, bytes from/to upstream:177/44
*5 finalize stream proxy: 0
*5 free rr peer 1 0
*5 close stream proxy upstream connection: 13
*5 delete posted event 0000558DBC68DA10
*5 reusable connection: 0
*5 close stream connection: 12
*5 event timer del: 12: 1560459565106
*5 reusable connection: 0
*5 free: 0000558DBC69F8A0
*5 free: 0000558DBC654C00
*5 free: 0000558DBC650870
*5 free: 0000558DBC650650, unused: 0
*5 free: 0000558DBC650760, unused: 40

Я еще не совсем уверен, как устранить неполадки LXD. в файле lxc.log для моего контейнера ничего нет.

На стороне Конга я настроил подключаемые модули Logging и IP-Restriction, а также настроил SSL-сертификат для соответствующих маршрутов. Я добавил real_ip_header как proxy_protocol; Насколько я понимаю, это все, что необходимо для чтения IP при использовании прокси-протокола. Моя конфигурация для Kong выглядит так: 

trusted_ips = 0.0.0.0/0
admin_listen = 0.0.0.0:8001
proxy_listen = 0.0.0.0:8080,  0.0.0.0:8443 ssl
...db stuff...
plugins = bundled,session
real_ip_header = proxy_protocol

Журнал доступа Kong выглядит как его запись о том, что он принял вызов, но не обрабатывает его и ничего не появляется в журнале ошибок или журнале подключаемого модуля регистрации для этой службы. 

10.214.23.1 - - [14/Jun/2019:05:23:46 -0900] "PROXY TCP4 72.38.194.90 10.1.1.4 37604 443" 400 12 "-" "-"

1 Ответ

0 голосов
/ 14 июня 2019

Я понял, что значение proxy_protocol для real_ip_header не обрабатывается, если я уже указал конфигурацию proxy_listen.Ранее мы изменили порт прослушивания из-за конфликтов, поэтому я не могу использовать значение по умолчанию proxy_listen.

Поэтому я решил изменить строку proxy_listen на: 

proxy_listen = 0.0.0.0:8080 proxy_protocol,  0.0.0.0:8443 ssl proxy_protocol

the real_ip_header = proxy_protocol строка все еще требуется.

...