Nginx proxy to back-end dengan otentikasi sertifikat klien SSL

Saya memiliki dua server, keduanya memiliki nginx. Server A sedang mendengarkan 443 dan dikonfigurasi untuk otentikasi dengan sertifikat SSL Klien.

Server B memiliki proses internal yang perlu berkomunikasi ke Server A hingga nginx.

Saya ingin mengonfigurasi Nginx di server B yang akan mendengarkan 8080 (tanpa enkripsi, karena ini semua komunikasi lokal) dan proxy_pass ke ServerA: 443.

Pertanyaannya adalah bagaimana cara saya menyuntikkan Sertifikat Klien? Saya tidak menemukan fungsi proxy_xxxx yang akan melakukan itu.

Saya tahu cara membuat yang setara dengan socat, tetapi persyaratan saya adalah menggunakan nginx.

Apakah cukup agar perincian sertifikat klien dilewati?

Anda dapat menambahkan

proxy_set_header X-SSL-CERT $ssl_client_escaped_cert;

ke konfigurasi Anda dan kemudian info sertifikat tersedia untuk server B melalui header X-SSL-Cert.

Tampaknya, inilah yang Anda cari: http://nginx.org/en/docs/http/ngx_http_proxy_module.html#proxy_ssl_certificate Tersedia sejak versi 1.7.8.

location / {
    ...
    proxy_pass     the_other_nginx;
    proxy_ssl_certificate  the_certificate.pem;
    ...
}

Masalah ini tampaknya sebagian besar bergantung pada versi. Di Ubuntu 14.04 LTS, nginx default adalah yang sudah usang 1.4. Pertama, Anda perlu menginstal versi berbasis PPA

https://leftshift.io/upgrading-nginx-to-the-latest-version-on-ubuntu-servers

menunjukkan cara melakukan ini dengan:

sudo add-apt-repository ppa:nginx/stable
sudo aptitude safe-upgrade

Anda harus berakhir dengan:

nginx -v
nginx version: nginx/1.8.0

Konfigurasi dari @ xatr0z jawab https://serverfault.com/a/636455/162693 mengarah ke http://www.senginx.org/en/index.php/Proxy_HTTPS_Client_Certificate tidak berfungsi:

proposal tidak bekerja

backend {
    server some-ip:443;
}

server {
    listen 80;


    location / {
        proxy_ssl_certificate        certs/client.crt;
        proxy_ssl_certificate_key    certs/client.key;


        proxy_pass https://backend;
    }
}

tidak bekerja di luar kotak dengan 1.8.0. Itu mungkin dimaksudkan sebagai petunjuk saja dan tidak untuk digunakan sebagai file konfigurasi atau tergantung pada versi lain.

Saya menguji dengan server backend berbasis apache2 A dengan SSL dan sertifikat klien yang ditandatangani sendiri diaktifkan. Konfigurasi Apache SSLOptions diatur ke:

SSLOptions +ExportCertData +FakeBasicAuth + StdEnvVars

Ini membuat proses debug lebih mudah karena skrip phpinfo () di sisi backend akan menampilkan informasi Server dan Sisi Klien.

Untuk memverifikasi ini saya gunakan:

https: // backend / test / phpinfo

dengan sertifikat SSL yang diinstal di browser dan saya mendapatkan bagian seperti: SSL_SERVER_S_DN_CN untuk sertifikat server dan SSL_CLIENT_S_DN_CN untuk sertifikat klien.

Sebagai permulaan pertama saya menggunakan (mengisi bagian dalam tanda kurung) untuk mengkonfigurasi nginx pada server frontend B:

server {
  listen 8080;
  server_name <frontend>;

  location / {
    proxy_buffering off;
    proxy_pass https://<backend>;
    #proxy_ssl_certificate      certs/<SSL Client Certificate>.crt;
    #proxy_ssl_certificate_key  certs/<SSL Client Certificate>.key;
  }
}

membatalkan bagian khusus Sertifikat Klien SSL hanya untuk memeriksa apakah proxy terbalik itu sendiri berfungsi.

nginx -t
nginx: the configuration file /etc/nginx/nginx.conf syntax is ok
nginx: configuration file /etc/nginx/nginx.conf test is successful
service nginx restart
nginx stop/waiting
nginx start/running, process 8931

Sekarang http: // frontend: 8080 / test / phpinfo.php berfungsi The

SSL_SERVER_S_DN_CN untuk sertifikat server ditampilkan dan SSL_CLIENT_S_DN_CN untuk sertifikat klien belum (belum) ditampilkan

Sekarang setelah berhenti komentar:

server {
  listen 8080;
  server_name <frontend>;

  location / {
    proxy_buffering off;
    proxy_pass https://<backend>;
    proxy_ssl_certificate      certs/<SSL Client Certificate>.crt;
    proxy_ssl_certificate_key  certs/<SSL Client Certificate>.key;
  }
}

dan memeriksa / memulai kembali

nginx -t
nginx: the configuration file /etc/nginx/nginx.conf syntax is ok
nginx: configuration file /etc/nginx/nginx.conf test is successful
service nginx restart
nginx stop/waiting
nginx start/running, process 8931

http: // frontend: 8080 / test / phpinfo.php berfungsi dan

SSL_SERVER_S_DN_CN untuk sertifikat server ditampilkan dan SSL_CLIENT_S_DN_CN untuk sertifikat klien ditampilkan

jadi sekarang kami dapat pekerjaan sesuai yang diminta.

Harap perhatikan bug https://trac.nginx.org/nginx/ticket/872#ticket

Ada artikel yang cukup rapi tentang sertifikat klien nginx dan SSL; menggunakan PHP dengan FastCGI sebagai contoh tapi saya pikir Anda dapat mengadaptasinya ke pengaturan proxy terbalik:

server {
    listen        443;
    ssl on;
    server_name example.com;

    ssl_certificate      /etc/nginx/certs/server.crt;
    ssl_certificate_key  /etc/nginx/certs/server.key;
    ssl_client_certificate /etc/nginx/certs/ca.crt;
    ssl_verify_client optional;

    location / {
        root           /var/www/example.com/html;
        fastcgi_pass   127.0.0.1:9000;
        fastcgi_param  SCRIPT_FILENAME /var/www/example.com/lib/Request.class.php;
        fastcgi_param  VERIFIED $ssl_client_verify;
        fastcgi_param  DN $ssl_client_s_dn;
        include        fastcgi_params;
    }
}

Sumber http://nategood.com/client-side-certificate-authentication-in-ngi

Tampaknya modul SEnginx ini adalah yang Anda cari: http://www.senginx.org/en/index.php/Proxy_HTTPS_Client_Certificate