↓Перейти к основному содержимому

Reverse proxy - обратный прокси, как и зачем

·634 слов·3 минут
Андрей Двуреченский
Автор
Андрей Двуреченский

Если в домашней сети живет один Nextcloud или какой-нибудь медиа-сервер вроде Plex - обратный прокси вам не сдался. Когда домашних сервисов переваливает за десяток - помнить и вбивать их адреса и порты начинает уже утомлять.

Общая схема
#

   flowchart LR
      a1[nextcloud.doma.net] ---> B((Обратный прокси сервер))
      a2[speedtest.doma.net] ---> B((Обратный прокси сервер))
      a3[plex.doma.net] ---> B((Обратный прокси сервер))
      B ---> b1[192.168.88.10:8080]
      B ---> b2[192.168.88.10:9000]
      B ---> b3[192.168.88.20:3000]
          subgraph node1[Сервер 1]
            b1
            b2
          end
          subgraph node2[Сервер 2]
            b3
          end

Домустим у нас есть три сервиса:

  • наш внутренний или внешний домен doma.net
  • Nextcloud - работает на сервере 192.168.88.20, порт 3000
  • Сервис для измерения скорости speedtest - работает на сервере 192.168.88.10, порт 8080
  • Медиа сервер Plex - - работает на сервере 192.168.88.10, порт 9000

Зачем нам обратный прокси, нельзя ли обойтись DNS?
#

Частично - можно. DNS позволит сделать связку имя ---> ip-адрес. В браузере все равно придется вбивать еще и порты:

  • nextcloud.doma.net:3000
  • speedtest.doma.net:8080
  • plex.doma.net:9000

При этом, speedtest и plex запущены на одном сервере 192.168.88.10. Т.е фактически получится, что:

  • plex будет доступен еще и по адресу speedtest.doma.net:9000
  • а в сервис speedtest можно зайти по адресу plex.doma.net:8080

Такая вот чехарда с DNS.

Используя обратный прокси - мы эти три записи nextcloud.doma.net, speedtest.doma.net и plex.doma.net с помощью DNS направляем на адрес прокси сервера. А уже он, в зависимости от того, какой адрес ему поступил перенаправит запрос к нужному ip-адресу с указанным портом.

Практика
#

Запускаем прокси
#

Обратных прокси-серверов существует несколько - traefik, caddy, nging и др. Cамый интуитивно понятный, на мой взгляд - Nginx Proxy Manager. С ним и будем работать.

Делать будем просто и быстро - в контейнерах докера. Для этого нам понадобится сам docker и docker compose.

Nginx Proxy Manager можно запускать на отдельном узле, а можно на одном узле вместе с остальными контейнерами. В нашем примере - допустим мы запускаем наш прокси на сервере 2, на одной машине вместе с nextcloud.

Создадим папку

mkdir -p nginxproxy/{data,letsencrypt}
cd nginxproxy

Создадим файл запуска контейнера

nano docker-compose.yml

И вставим в него следующее содержимое

version: '3.8'
services:
  app:
    image: 'jc21/nginx-proxy-manager:latest'
    restart: unless-stopped
    ports:
      - '80:80'
      - '81:81'
      - '443:443'
    volumes:
      - ./data:/data
      - ./letsencrypt:/etc/letsencrypt
  • jc21/nginx-proxy-manager:latest - образ Nginx Proxy Manager
  • restart: unless-stopped - контейнер будет перезапускаться при сбоях, если только не остановлен вручную
  • ports - открытые порты: 80 и 443 для web-трафика, порт 81 для администрирования самого Nginx Proxy Manager
  • volumes - папки, смонтированные внутрь контейнера. data для разных внутренних данных и логов. А в папке letsencrypt будут храниться сертификаты, выпущенные одноименным сервисом.
sudo docker compose up -d

Ждем, когда скачается образ и запустится контейнер.

В этом примере Nginx Proxy Manager запускаем на сервере 2, поэтому вбиваем в браузер адрес этого сервера и добавляем порт администрирования http://192.168.88.20:81

Первоначальные логин и пароль

Email:    admin@example.com
Password: changeme

Настройки
#

Первым делом меняем логин/пароль администратора.

Вторым действием - сразу добавим шифрование. В 2023 большинство современных браузеров откажется открывать сайт без хоть какого-нибудь ssl сертификата.

Как легко создать самоподписные сертификаты у меня есть небольшая статья.

openssl req -x509 -newkey rsa:4096 -sha256 -days 3650 -nodes \
  -keyout domanet.key -out domanet.crt -subj "/CN=*.doma.net" \
  -addext "subjectAltName=DNS:*.doma.net"

Это командой создается ключ и сертификат для всех поддоменов *.doma.net

Перейдем в Nginx Proxy Manager на вкладку SSL Certificates ---> Add SSL Certificate ---> Custom и добавим только что сгенерированный сертификат и ключ к нему.

Теперь к конфигурированию наших сервисов. Вкладка Hosts ---> Proxy Hosts ---> Add Proxy Host Вводим данные для Nextcloud

На вкладке SSL - добавляем сертификат

Жмем Save.

Результат
#

   flowchart LR
      a1[nextcloud.doma.net] --->|DNS|B((Обратный прокси сервер))
          subgraph node2[Сервер 2]
            b3
          end
      B ---> b3[192.168.88.20:3000]

Теперь при вводе в строке браузера nextcloud.doma.net DNS перенаправит наш запрос на прокси сервер, а он уже перенаправит запрос на сервер 192.168.88.20:3000

А еще
#

  • Можно генерировать сертификаты Let’s Encrypt, которые будут самообновляться
  • Добавить дополнительную аутентификацию для сервисов
  • Разрешать или запрещать доступ с определенных ip-адресов или сетей.

Комментарии и вопросы в Телеграм или Дзен
#