nginx revers proxy https

Nginx. Reverse proxyn SSL.

кароч, по результату у меня получилось вот так:

# EXTERNAL HTTPS LISTENER ##################################################

server {
        listen            XXX.XXX.XXX.XXX:443;
        server_name       mydomain.com;

        access_log       /var/log/nginx/ssl-access.log;

        ssl                     on;
        ssl_protocols           SSLv3 TLSv1;
        ssl_certificate         /etc/nginx/ssl/cert.pem;
        ssl_certificate_key     /etc/nginx/ssl/cert.key;

        location / {
                proxy_pass            https://10.6.6.2/;
                proxy_redirect        off;
                proxy_set_header X-Real-IP $remote_addr;
                proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
                proxy_set_header Host $http_host;
                proxy_pass_header Set-Cookie;
        }
}

генерировать сертификат:

openssl req -new -x509 -days 2000 -nodes -out cert.pem -keyout cert.key

Т.е. на ngnix свой сертификат, а на бакэндах свои?

proxy_pass            https://10.6.6.2/;

o_O

Не делай так.

Общий вопрос: а действительно нужно шифровать трафик между бекендом и фронтендом?

ну наверное сертификаты прописать, раз уж ты там SSL пытаешься поднять.

Почему? а как делать?

ага, я так понял )

>кароч, по результату у меня получилось вот так:

да, сенкс. Заработало

Не делай так.

Что имеется ввиду?

Вот если бы еще можно было что нибудь придумать с NTLM авторизацией, а так пришлось на IIS отключить, изнутри сети народ уже бесится запросом паролей.

Ну так что?

Что-что :)

SSL соединение должно устанавливаться между клиентами и nginx-фронтендом. Значит, SSL должен быть настроен на нем. У тебя же он и на фронтенде и на бэкенде. А это лишние телодвижения для настройки, лишний геморрой во время отладки, производительность, необходимость синхронизации настроек и сертификатов в случае чего и еще десятки факторов.

>SSL соединение должно устанавливаться между клиентами и nginx-фронтендом. Значит, SSL должен быть настроен на нем. У тебя же он и на фронтенде и на бэкенде. А это лишние телодвижения для настройки, лишний геморрой во время отладки, производительность, необходимость синхронизации настроек и сертификатов в случае чего и еще десятки факторов.

Есть условие, что бы в локальной сети был только https, посему и SSL на бакэндах. Учитывая, что при использовании проксирования приходится включать бэйсик аутентификацию на IIS, то о простом http и речи быть не может. Понятно, когда между фронтэндом и бакэндом 100% доверенная сеть , то да - может и ненужен ssl на бакэндах.

когда между фронтэндом и бакэндом 100% доверенная сеть

Я в шоке :)

учитывая что нгинкс плевал на валидность сертификата бакенда с высокой кручи - ssl на бакенде никак вас не спасет.

как же он тогда авторизуется на бекендном сервере? как он оттуда данные забирает? интересненько было б знать. можно и ссылочку.

>учитывая что нгинкс плевал на валидность сертификата бакенда с высокой кручи - ssl на бакенде никак вас не спасет.

еще раз: внутри сети клиенты ходят напрямую на IIS по httpS, никакого http там нет. Вот и задача была прокинуть IIS https на ружу.

>Я в шоке :)

Это не ДЦ. Представь, кроме датацентров имеются множество структур, с различной организацией и деятельностью.

>>учитывая что нгинкс плевал на валидность сертификата бакенда с высокой кручи - ssl на бакенде никак вас не спасет.

еще раз: внутри сети клиенты ходят напрямую на IIS по httpS, никакого http там нет. Вот и задача была прокинуть IIS https на ружу.

Еще раз: нгинкс плевать хотел на валидность сертификата бакенда (к которому ходит по https). Потому вся эта ваша секурность до одного места - ничего не мешает подменить бакенд вместе с сертификатом, раз уж у вас такая сеть небезопасная.

>Еще раз: нгинкс плевать хотел на валидность сертификата бакенда (к которому ходит по https). Потому вся эта ваша секурность до одного места - ничего не мешает подменить бакенд вместе с сертификатом, раз уж у вас такая сеть небезопасная.

Это все понятно. Но клиенту нужен https для того, что бы снифером не вытянули plain text авторизацию. Как я уже писал ngnix не работает с NTLM и на IIS пришлось его отключить. 99% клиентов - винды.