SME : Utiliser le serveur Apache comme Reverse Proxy

Type	How To
Version	0.1.1
Tested on	SME 6.0 et 6.0.1

Objet
Explication du fonctionnement
Réalisation
Et après ?
Change Log

Objet

Il est parfois souhaitable qu'une requête WEB reçue par le serveur SME soit transmise silencieusement vers un autre serveur WEB. Plusieurs raisons à cela :

La plus évidente : permettre d'accéder depuis Internet à un serveur sur le réseau interne.
Utiliser SME pour établir une connexion chiffrée (SSL) alors que le serveur final ne dispose pas d'un système SSL.
Rediriger de manière transparente certaines parties du trafic vers un autre serveur sur Internet. Attention dans ce cas à la consommation de bande passante !
...

Information importante :

Avant d'aller plus loin, il est important de noter que cette configuration peut compromettre gravement la sécurité de votre réseau. En effet, SME est une distribution orientée sécurité, et, dans la plupart des cas, utiliser SME comme passerelle vers Internet vous permet d'envisager un niveau de sécurité raisonnable. Le fait de relayer une partie de trafic à l'intérieur de votre réseau compromet cette installation. Il convient donc d'être totalement sûr de la configuration du serveur cible, ainsi éventuellement des éléments annexes avant d'entreprendre toute réalisation.
Vous aurez été prévenus...

Explication du fonctionnement

Le serveur WEB Apache dispose d'un module qui permet de faire du 'reverse Proxy'. Ceci veut dire qu'il peut recevoir des connexions HTTP et/ou HTTPS et relayer la requête vers un autre serveur, en effectuant éventuellement des modifications dans la requêtes.
De même, il renverra la réponse du serveur au client initial, en effectuant si nécessaire les modifications inverses, afin de présenter les réponses comme si elles émanaient effectivement du serveur Apache.

A titre documentaire, je mentionne ici les deux instructions (de type global) qui doivent être présentes dans le fichier httpd.conf afin d'activer la fonction reverse proxy :
LoadModule proxy_module modules/libproxy.so
AddModule mod_proxy.c
Il n'est pas nécessaire sous SME de s'en préoccuper, elles sont déjà activées, puisque ces fonctions sont utilisées notamment pour 'atteindre' le server-manager.

Type de relayage

Il existe trois types de relayage :

Relayage d'un nom de site

Notez que ceci ne demande PAS d'adresses IP supplémentaires.

Votre serveur Apache est hébergé sur une machine SME et répond au nom de www.bar.foo.

Votre DNS (et le DNS public, le cas échéant) est configuré pour résoudre www.bar.foo. Il est également configuré pour résoudre www2.bar.foo à la même adresse que www.bar.foo (Idéalement, www2.bar.foo est un alias dans le DNS de www.bar.foo, mais malheureusement la conf du DNS de SME ne permet pas de créer d'aliases)

Vous souhaitez en fait que tout le trafic envoyé à www2.bar.foo soit traité par le serveur intranet.bar.foo

Ceci est possible, car dans l'en-tête d'une requête HTTP, il est précisé le nom du host que l'on souhaite atteindre. Le serveur Apache va exploiter cette information pour effectuer son travail d'aiguillage.

Si vous m'avez suivi, et si ceci correspond à votre besoin, allez voir dans réalisation, la partie Relayage d'un nom de site

Relayage en fonction d'une adresse IP

En supposant que votre fournisseur Internet vous propose plusieurs adresses IP différentes il est possible de demander à Apache d'effectuer son tri en fonction de l'adresse IP.
Comme je n'ai pas (pu) tester cette combinaison, je ne m'étendrais pas dessus, mais sachez qu'elle est très proche de la précédente.

Relayage en fonction d'un dossier au sein du site.

Votre page principale est hébergée sur votre serveur SME, à l'adresse www.bar.foo. Mais vous disposez d'une application de prise de commande qui se trouve sur sales.bar.inside.

Vous souhaitez que tout le trafic entrant avec le préfixe suivant : www.bar.foo/commandes soit relayé sur sales.bar.inside.

La solution se trouve dans réalisation, partie Relayage en fonction d'un dossier au sein du site

Variations

Notez que de nombreuses variations sont possibles :

Trafic entrant en protocole HTTPS, et redirigé en protocole HTTP.
Trafic entrant en HTTP, et redirigé en HTTP sur un port exotique 8080, par exemple.
Trafic entrant sur un nom de machine et redirigé sur une autre machine (ou même localement) dans un répertoire complexe qu'on désire masquer.
Dans le mode 'En fonction du dossier', il est possible d'utiliser un seul certificat HTTPS (puisque c'est toujours le serveur APACHE qui assure la fin de la communication HTTPS) pour plusieurs serveurs. Attention : il s'agit là d'une solution technique. Votre fournisseur de certificat ne l'entend peut-être pas de cette oreille !
De nombreuses variations sont possibles et dépendent surtout de votre imagination.

En fait, la combinaison qui ne va pas (à ma connaissance), c'est de relayer vers un serveur HTTPS. En effet, il faudrait que le serveur Apache contienne un client HTTPS, ce qui poserait de toutes façons des problèmes de certificats. En tout cas, je ne sais pas faire.

Réalisation

On m'a signalé qu'un rpm pour SME existe, voir plus bas. Je laisse cependant les explications pours les plus bricoleurs...

Relayage d'un nom de site

Il faut créer un fichier nommé /etc/e-smith/templates-custom/etc/httpd/conf/httpd.conf/99reverseproxysite :

mkdir -p /etc/e-smith/templates-custom/etc/httpd/conf/httpd.conf/
cd /etc/e-smith/templates-custom/etc/httpd/conf/httpd.conf/
vi 99reverseproxysite

(J'ai mentionné vi comme éditeur, mais vous traduirez pico, mc ou autre en fonction de vos habitudes)

En restant dans notre exemple, vous souhaitez qu'une requête adressée au serveur SME et au site web www2.bar.foo soit en fait redirigée vers intranet.bar.foo.
Il faut évidemment que intranet.bar.foo soit dans le dns du serveur SME !

Mettez dans votre fichier 99reverseproxysite les lignes suivantes :

<VirtualHost 0.0.0.0:80>
    ServerName www2.bar.foo
    ServerAlias www2

    ProxyPass / http://intranet.bar.foo/
    ProxyPassReverse / http://intranet.bar.foo/

</VirtualHost>

<VirtualHost 0.0.0.0:443>
    ServerName www2.bar.foo
    ServerAlias www2

    ProxyPass / http://intranet.bar.foo/
    ProxyPassReverse / http://intranet.bar.foo/

</VirtualHost>

Dans ce cas, les connexions HTTP et HTTPS sont relayées en HTTP vers le serveur intranet.bar.foo.
Si vous ne souhaitez qu'un des deux modes, vous mettez la section adéquate.
Eventuellement, vous pouvez peaufiner avec une instruction RevriteRule qui permettra de renvoyer vers le mode adéquat (de 80 vers 443 ou vice-versa).

Le champ ServerAlias permet de donner plusieurs noms au site. Dans ce cas, je l'utilise pour qu'il soit possible d'accéder au site sans donner le nom complet avec le domaine.

Vous pouvez également rediriger vers un sous répertoire du site intranet. Il ne faut pas oublier le / final. Par exemple :

<VirtualHost 0.0.0.0:80>
    ServerName www2.bar.foo
    ServerAlias www2

    ProxyPass / http://intranet.bar.foo/sub/directory/
    ProxyPassReverse / http://intranet.bar.foo/sub/directory/

</VirtualHost>

Une fois ces modifications réalisées, il vous reste à les mettre en application :

server-# /sbin/e-smith/expand-template /etc/httpd/conf/httpd.conf
server-# service httpd graceful
/usr/sbin/apachectl graceful: httpd gracefully restarted

Relayage en fonction d'un dossier au sein du site

Il faut créer un fichier nommé /etc/e-smith/templates-custom/etc/httpd/conf/httpd.conf/VirtualHosts/26reverseproxydir :

mkdir -p /etc/e-smith/templates-custom/etc/httpd/conf/httpd.conf/VirtualHosts/
cd /etc/e-smith/templates-custom/etc/httpd/conf/httpd.conf/VirtualHosts/
vi 26reverseproxydir

(J'ai mentionné vi comme éditeur, mais vous traduirez pico, mc ou autre en fonction de vos habitudes)

En suivant notre exemple, vous souhaitez que les requêtes envoyées à votre serveur SME et commençant par www.bar.foo/commandes soit relayé sur sales.bar.inside.
Il faut évidemment que sales.bar.inside soit dans le dns du serveur SME !

Mettez dans le fichier 26reverseproxydir les lignes suivantes :

Si vous souhaitez qu'il soit accessible en HTTP et en HTTPS :

{
    if ( $virtualHost eq "bar.foo" ) {
        $OUT .= "    # theses dirs are reverse proxyed to an internal server\n" ;
        $OUT .= "    ProxyPass /commandes http://sales.bar.inside/\n" ;
        $OUT .= "    ProxyPassReverse /commandes http://sales.bar.inside/\n" ;
        $OUT .= "\n" ;
        }
}

Si vous souhaitez que le site ne soit accessible qu'en HTTPS (remplacez 443 par 80 pour du HTTP) :

{
    if ( $virtualHost eq "bar.foo" && $port eq "443" ) {
        $OUT .= "    # theses dirs are reverse proxyed to an internal server\n" ;
        $OUT .= "    ProxyPass /commandes http://sales.bar.inside/\n" ;
        $OUT .= "    ProxyPassReverse /commandes http://sales.bar.inside/\n" ;
        $OUT .= "\n" ;
        }
}

Là encore, vous pouvez rediriger vers un sous répertoire du site interne, en ajoutant derrière le nom de machine un sous répertoire, sans oublier le / juste avant le \n. Ce qui donne par exemple :

{
    if ( $virtualHost eq "bar.foo" ) {
        $OUT .= "    # theses dirs are reverse proxyed to an internal server\n" ;
        $OUT .= "    ProxyPass /commandes http://sales.bar.inside/my/wonderful/sales/application/\n" ;
        $OUT .= "    ProxyPassReverse /commandes http://sales.bar.inside/my/wonderful/sales/application/\n" ;
        $OUT .= "\n" ;
        }
}

Une fois ces modifications réalisées, il vous reste à les mettre en application :

server-# /sbin/e-smith/expand-template /etc/httpd/conf/httpd.conf
server-# service httpd graceful
/usr/sbin/apachectl graceful: httpd gracefully restarted

Bien évidement, ces configuration sont compatibles et peuvent être présentes simultanément. D'autres combinaisons peuvent être imaginées.

Utilisation du package "proxypass" de Darell May et Abe Loveless

Il m'a été signalé qu'un package existe pour gérer les fonctions de reverse proxy depuis le server-manager
Ce package (en anglais uniquement) se trouve ici : proxypass.

Ce package fait sensiblement la même chose que ce qui est expliqué dans ce how-to :

Pour les liens de type Relayage en fonction d'un dossier au sein du site le principe est exactement le même.
Pour les liens de type Relayage d'un nom de site, le principe est très légèrement différent : Il faut d'abord créer un 'virtual domain' sur SME, et après, indiquer que tout ce qui est à destination de ce virtual host est en fait redirigé vers une autre machine. Personnellement, j'aime moins cette approche, qui oblige à créer d'abord un 'truc' sur le serveur local, puis à indiquer qu'on ne va pas l'utiliser...

Après tests, cette contrib, bien que n'étant indiquée opérationnelle que jusqu'à la version 5.6, fonctionne très bien sur la version 6.0

Après, à vous de choisir la solution qui vous va le mieux ;-)

Et après ?

Après ? Votre reverse Proxy est opérationnel et vous me vouez une reconnaissance jusqu'à la douzième génération ;-)

Plus sérieusement, si la demande est suffisante, je peux transformer ce How To en RPM dans le server-manager. C'est à vous de voir...

Change Log

18 mars 2004	Version Initiale
19 mars 2004	Ajout du lien vers le package proxypass sur le site de Abe Loveless