Menu

http2

pfSense HAproxy LetsEncrypt http2

, , , 0

Здравейте,

От около седмица-две започнах тестове с pfSense 2.4.2, а от няколко дни го използвам в production среда!

В този пост (pfSense HAproxy LetsEncrypt http2 ) ще споделя как да инсталираме, конфигурираме и използваме HaProxy с Let’s Encrypt и най-новия http протокол – http2!

Инсталация

Трябва да инсталираме следните пакети за pfsense : acme (let’s encrypt) и haproxy-devel (dev версията е 1.8 която поддържа http2).

pfSense HAproxy LetsEncrypt http2

 

Конфигуриране

 

HaProxy

След като сме инсталирали HaProxy, е необходимо да създадем backend чрез който да може да инсталираме и подновяваме Let’s Encrypt сертификати.

pfSense HAproxy LetsEncrypt http2

Избираме си име – примерно localacmeserver който да работи на localhost на порт 8126 (порта е много важен за frontend частта!)

Следва да направим и два frontend-а които да работят на порт 80 и порт 443.

Първия HTTP-to-HTTPS ще служи за препращане на всичкия трафик от порт 80 към HTTPS (порт 443) с едно изключение – заявките от Let’s Encrypt ще бъдат обработвани локално от localacmeserver (порт 8126). Това се прави ето така :

Намираме Default backend, access control lists and actions и създаваме acme. За expression избираме  Path starts with: , на Not избираме yes, и за Value слагаме : /.well-known/acme-challenge

Така всички заявки от типа /.well-known/acme-challenge ще бъдат обработвани от backend-а ни който кръстихме acme.

 

По-долу на Actions се описва и 302 redirect-а от HTTP към HTTPS:

Накрая избираме за default backend “acme”

Следва конфигурирането на HTTPS frontend-a ни.

Тук важното е при Access Control lists да изберем за Not – no , и да сложим същото Value – /.well-known/acme-challenge/ и при Actions да посочим, че ще използваме backend : acme.

Let’s encrypt

Нужно да си на настройм ACME акаунта от Services -> Acme certificates -> Account keys. Избераме за сървър Acme server – Let’s Encrypt production, след това кликваме на Create new account key, и след това на Register acme account key и накрая save.

Отиваме на Certificates и си създаваме нов, като тук важното е да спазим следното :

За method да изберем : standalone HTTP server а за порт да изберем 8126 , а на Action lists да спожим следните две команди :

Restart the GUI on this firewall: Select “Shell Command” and enter /etc/rc.restart_webgui
Restart HAProxy on this firewall: Select “Shell Command” and enter /usr/local/etc/rc.d/haproxy.sh restart

Така когато ни се поднови автоматични сертификата след 60 дни, HaProxy сървъра ще се рестартира автоматично и ще вземе новият сертификат за съответният домейн.

 

 

HaProxy Http2

Включването на http2 в haproxy 1.8 е много лесно.

Избираме HTTPS backend-a ни и срещу IP адреса му в полето Advanced добавяме следното : alpn h2,http/1.1

Препорачително е да изключим старите SSL протоколи – SSLv2 , SSLv3 , TLSv10 и TLSv11

На Advanced ssl options слагаме :

force-tlsv12 no-tls-tickets

На 

ciphers ECDH+AESGCM:DH+AESGCM:ECDH+AES256:DH+AES256:ECDH+AES128:DH+AES:ECDH+3DES:DH+3DES:RSA+AESGCM:RSA+AES:RSA+3DES:!aNULL:!MD5:!DSS

 

Резултатът

След като приключим с настройките е хубаво да тестваме всичко дали е ок. В моят случай всичко мина нормално и ето и резултатите от

https://tools.keycdn.com/http2-test и https://www.ssllabs.com/ssltest/analyze.html?d=nqma.net

Това е! 🙂

apache2 http2 proxy problem

, , , 0

Здравейте,

apache2 http2 proxy problemВ тази публикация ще споделя за един много странен проблем който борих днес.

Става дума за apache2 http2 proxy problem, като накратко схемата ми беше следната :

 

  1. Имам сайт domain.com който се намира на сървър с nginx и php-fpm.
  2. Имам blog.domain.com който се намира на WHM сървър с apache2.4 с последните му обновления
  3. Направил съм прокси настройка на domain.com така че, когато се достъпи domain.com/blog да зарежда садържанието от blog.domain.com (от WHM/cpanel сървъра).

Nginx конфигурацията

Nginx конфигурацията при domain.com е следната :

location /blog/ {
rewrite ^/blog/(.*) /$1 break;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
proxy_read_timeout 90;
proxy_pass https://blog.domain.com/;
proxy_redirect https://blog.domain.com/ /blog/;

Тя се слага преди location

Проблемът

Така настроен domain.com/blog се отваря без проблем на всички браузъри без на safari. При safari върти и върти.. и накрая нищо. В логовете на WHM сървъра наблюдавах изключително много заявки от моя айпи адрес които все едно флудваха сървъра.

Решението

Решението на проблемът се оказа изключително просто. Бяхме сложили mod_http2 на WHM сървъра, след като прочетохме, че пичовете от Cpanel са го пуснали като stable модул за WHM. Оказа се , че именно в него беше и нашия проблем. След като го махнахме domain.com/blog започна да се зарежда без проблеми отново от safari.

До това решение стигнахме, след като тествахме с blog.domain.com от друг сървър който беше също изцяло на nginx.

Извода

Максимата “щом нещо работи, не го пипай” за пореден път се оказа вярна, особенно когато сървърната ни топология е толкова сложна.

Това е!

nginx naxsi http2

, , , 1

nginx naxsi http2Привет,

В продължение на публикацията ми от 08.12.2016г.  искам да споля, че вече е възможна работата на naxsi в комбинация с проткола http2 и nginx.

 

За целта е нужно да клонираме последната версия на naxsi от github и да добавил следните параметри след това:

cd /usr/src/
git clone https://github.com/nbs-system/naxsi.git
cd naxsi
git checkout http2
git fetch origin pull/309/head:http2-309
git checkout http2-309

Следва прекомпилиране на nginx :

./configure --add-module=../naxsi/naxsi_src --add-module=../ngx_cache_purge/ --prefix=/usr --sbin-path=/usr/sbin/nginx --conf-path=/etc/nginx/nginx.conf --error-log-path=/var/log/nginx/error.log --pid-path=/var/run/nginx/nginx.pid --lock-path=/var/lock/nginx.lock --user=www-data --group=www-data --with-http_ssl_module --with-http_flv_module --with-http_gzip_static_module --http-log-path=/var/log/nginx/access.log --http-client-body-temp-path=/var/tmp/nginx/client/ --http-proxy-temp-path=/var/tmp/nginx/proxy/ --http-fastcgi-temp-path=/var/tmp/nginx/fcgi/ --with-http_stub_status_module --with-http_realip_module --with-sha1=/usr/include/openssl --with-md5=/usr/include/openssl --with-openssl=../openssl-1.0.2k/ --with-http_mp4_module --with-poll_module --add-module=../nginx-rtmp-module --add-module=../headers-more-nginx-module-0.25/ --with-ipv6 --add-module=../nginx-module-vts --with-http_v2_module --add-module=../ngx_devel_kit --add-module=../set-misc-nginx-module-0.30 --add-module=/usr/src/ngx_brotli/ngx_brotli_module-master/

и активиране на naxsi модулите както следва :

в /etc/nginx/nginx.conf :

include /etc/nginx/naxsi_core.rules;

а във виртуалният ни хост :

location / {
try_files $uri $uri/ /index.php?$args;
include /etc/nginx/naxsi.rules;

Тук за шарения добавих и :

error_page 418 /418.html;

location /RequestDenied {
return 418;
}

така всяка “зла” заявка ще бъде препратена със статус 418 към 418.html което в моя случай е един “среден пръст” 😀

След рестартиране на nginx може да тестваме дали работи нашият NAXSI Firewall например ето така :

root@server:~# wget --server-response --spider https://root.bg/%3C?php%20echo%20%22hello%22;%20?%3E
Spider mode enabled. Check if remote file exists.
--2017-06-07 08:43:13-- https://root.bg/%3C?php%20echo%20%22hello%22
Resolving root.bg (root.bg)... 87.97.157.122
Connecting to root.bg (root.bg)|87.97.157.122|:443... connected.
HTTP request sent, awaiting response...
HTTP/1.1 418
Date: Wed, 07 Jun 2017 08:42:45 GMT
Content-Type: text/html; charset=utf-8
Content-Length: 192
Connection: keep-alive
ETag: "5937b9e3-c0"
Server: rws

 

Ами… това е!

Огромни благодарности за пичовете стоящи зад този страхотен продукт наречен NAXSI!

nginx http2

, , , , 0

Привет,

В продължение на пост-а ми от 20.08.2015 за nginx http/2 support, искам да споделя, че днес успешно внедрих http2 (http2 демо от акамаи) в уеб сървъра на root.bg.

Днес ще споделя накратко как се случиха нещата, както и с какви трудности се слбъсках докато правих upgrade-а.

nginx http2
На тази снимка е показано каква е идеята на http/2 и реално как действа.

Инсталацията

Първо трябваше да обновя версията на nginx-a от 1.8.1 на 1.9.14. Нещата се случиха по следният начин:

Още..

nginx http/2 support

, , 0

nginx http/2 supportПриятели,

Днес прочетох, че пичовете от nginx са изкарали първата АЛФА версия на модул за HTTP/2. Въпреки че е още АЛФА версия, аз реших да го изтествам, но за съжеление заради липсата на поддръжка на gzip модула на nginx, тест-а ми се оказа неуспешен. Обаче самият факт че се работи здраво за http/2 много ме радва, и до колкото съм чел, до края на годинита се очаква стабилна версия на nginx – 2.0 която да поддържа HTTP/2 вместо SPDY.

Както са казали хората – ще поживеем и ще видим 🙂

И да не забравяме, че всичко се прави за един по-бърз и стабилен интернет!