Jak se to vezme. Znamena to slozitejsi distribuci certifikatu a udrzovani in -sync (proxy je jedna az dve, webserveru muzou byt desitky), webserver se zbytecne zatezuje vypoctem sifer, slozitejsi aplikaci, chyba na webu muze zpristupnit private key. Oba pristupy maji svoje pro i proti a musi se zvazit vzdycky co je pro danou aplikaci vhodne.
Ja osobne HTTPS terminuju na balanceru na HAProxy a pak dal uz jedu po vnitrni VLANe nesifrovane.
Ondra Flidr
---------- Původní e-mail ---------- Od: Jindřich Sadílek jindrich.sadilek@gmail.com Komu: community-list@lists.vpsfree.cz Datum: 14. 6. 2020 16:45:39 Předmět: Re: [vpsFree.cz: community-list] Nginx proxy, SSH " Jen protože to dnes je bezpečné, neznamená že že to zítra někdo nedokáže zneužít. Netřeba implementovat celý NIST zero-trust ( https://csrc.nist.gov/ publications/detail/sp/800-207/draft (https://csrc.nist.gov/publications/detail/sp/800-207/draft)%C2%A0), ale třeba doručení HTTPS až na webserver vs ukončení na proxy, nic nestojí.
Jindra
On Sun, Jun 14, 2020, at 15:19, Jan B. Kolář wrote:
" Ahoj,
díky moc Petrovi a Jirkovi za reakce. Asi jsem měl napsat, že ta TLS
terminace na proxy se mi líbí a chtěl bych to tak zkusit nasadit :-) Šlo
mi hlavně o to, jestli mi v našem VPS prostředí neunikají nějaká
vážnější bezpečností rizika, na která bych si měl dát pozor.
Díky za upozornění ohledně aplikací a jejich případné nefunkčnosti za
proxy. Už jsem na to narazil v jednom článku a můj plán je přesouvat
jeden web po druhém, abych to mohl otestovat a případně odladit.
Ještě jsem se s Vámi chtěl podělit o jeden odkaz s informacemi a
ukázkami nastavení Nginxu. Přijde mi to celkem solidně zpracované, tak
se to třeba bude někomu hodit:
https://github.com/trimstray/nginx-admins-handbook (https://github.com/trimstray/nginx-admins-handbook)
Zdraví
Honza
Dne 13. 06. 20 v 14:24 Petr Kutalek napsal(a):
Ahoj,
- Šifrování mezi proxy a backendem
Myslím, že v tom samém vlákně Snajpa psal něco ve smyslu, že na síti
mezi VPS je těžké odposlechnout provoz (myslím, že se tam řešili
privátní vlany nebo tak něco). Úplně se v tomhle neorientuji a proto
jsem se chtěl zeptat, zda byste v našem prostředí považovali za
bezpečné, kdybych SSL spojení ukončoval na proxy a mezi proxy a
backendem posílal jen klasické HTTP? Na webu Nginxu jsem našel, že je
možné mezi proxy a backendem rozjet také SSL spojení, ale nevím, zda
to není overkill.
tady jen doplním, že pokud nechceš, Nginx _nemusí_ vystupovat v roli
TLS termination proxy. Jinak řečeno Nginx umí celý ten stream vzít a
podle SNI hlavičky předat dále na konkrétní stroj. Konfiguruje se to
pak ve "stream" direktivě, nikoli "http". Výhoda je mj. i ta, že takto
můžeš obsloužit nikoli jen HTTPS, ale cokoli, co lze do TLS zabalit.
A jinak Nginx umí také proxy protocol převzatý z HAProxy, takže i
tímto způsobem umí předat TLS stream dále (včetně informace o source
IP). Reverse proxy != TLS termination proxy, záleží čistě na Tobě, kde
chceš TLS ukončit. Argumentů pro různé varianty je hodně.
Radek Zajíc tady dal dříve odkaz na pěknou a srozumitelnou přednášku z
Mythic Beasts, tuším i tam to zmiňovali, jak to mají vyřešené.
Petr
Community-list mailing list
Community-list@lists.vpsfree.cz(mailto:Community-list@lists.vpsfree.cz)
(http://lists.vpsfree.cz/listinfo/community-list)
--
Jan B. Kolář
Zažeň nudu
Hodolanská 17, 779 00 Olomouc
tel: +420 605 800 859
e-mail: janbivoj.kolar@zazen-nudu.cz(mailto:janbivoj.kolar@zazen-nudu.cz)
www.zazen-nudu.cz(http://www.zazen-nudu.cz)
_______________________________________________
Community-list mailing list
Community-list@lists.vpsfree.cz(mailto:Community-list@lists.vpsfree.cz)
http://lists.vpsfree.cz/listinfo/community-list (http://lists.vpsfree.cz/listinfo/community-list)
"
_______________________________________________ Community-list mailing list Community-list@lists.vpsfree.cz http://lists.vpsfree.cz/listinfo/community-list "