SSL istemci sertifikası kimlik doğrulaması ile arka uç için Nginx proxy

İki sunucum var, her ikisi de nginx var. Sunucu A 443'ü dinliyor ve İstemci SSL sertifikasıyla kimlik doğrulaması yapacak şekilde yapılandırılmış.

Sunucu B'nin Sunucu A ile nginx aracılığıyla iletişim kurması gereken dahili bir işlemi vardır.

8080 (tüm yerel iletişim olduğundan şifreleme yok) ve ServerA: 443 proxy_pass dinleyecek B sunucusunda Nginx yapılandırmak istiyorum.

Soru, İstemci Sertifikasını nasıl enjekte edebilirim? Bunu yapacak herhangi bir proxy_xxxx işlevi bulamadım.

Ben socat ile buna eşdeğer hale nasıl biliyorum, ama benim gereksinimim nginx kullanmak.

İstemci sertifikası ayrıntılarının iletilmesi yeterli mi?

Ekleyebilirsin

proxy_set_header X-SSL-CERT $ssl_client_escaped_cert;

Sertifika bilgileri B sunucusu tarafından bir X-SSL-Cert üstbilgisi aracılığıyla kullanılabilir.

Görünüşe göre, aradığınız şey budur: http://nginx.org/en/docs/http/ngx_http_proxy_module.html#proxy_ssl_certificate 1.7.8 sürümünden beri kullanılabilir.

location / {
    ...
    proxy_pass     the_other_nginx;
    proxy_ssl_certificate  the_certificate.pem;
    ...
}

Sorun büyük ölçüde versiyona bağlı gibi görünüyor. Ubuntu 14.04 LTS'de varsayılan nginx eski bir 1.4'tür. Öncelikle PPA tabanlı bir sürüm yüklemeniz gerekir

https://leftshift.io/upgrading-nginx-to-the-latest-version-on-ubuntu-servers

bunun nasıl yapılacağını gösterir:

sudo add-apt-repository ppa:nginx/stable
sudo aptitude safe-upgrade

Sonuç olarak:

nginx -v
nginx version: nginx/1.8.0

@ Xatr0z adresindeki yapılandırma https://serverfault.com/a/636455/162693 http://www.senginx.org/en/index.php/Proxy_HTTPS_Client_Certificate 'yi işaret eden yapılandırma çalışmıyor:

çalışmayan teklif

backend {
    server some-ip:443;
}

server {
    listen 80;


    location / {
        proxy_ssl_certificate        certs/client.crt;
        proxy_ssl_certificate_key    certs/client.key;


        proxy_pass https://backend;
    }
}

1.8.0 ile kutudan çıkmaz. Muhtemelen sadece ipucu amaçlıdır ve bu şekilde bir yapılandırma dosyası olarak kullanılmamalıdır veya başka bir sürüme bağlıdır.

SSL ve kendinden imzalı istemci sertifikaları etkinleştirilmiş bir apache2 tabanlı arka uç sunucusu A ile test yapıyorum. Apache yapılandırma SSLOptions şu şekilde ayarlanır:

SSLOptions +ExportCertData +FakeBasicAuth + StdEnvVars

Arka uç tarafındaki bir phpinfo () betiği Sunucu ve İstemci Tarafı bilgilerini göstereceğinden, bu durum hata ayıklamayı kolaylaştırır.

Bunu doğrulamak için kullandım:

https: // arka uç / test / phpinfo

SSL sertifikası tarayıcıya yüklendiğinde ve sunucu sertifikası için SSL_SERVER_S_DN_CN ve istemci sertifikası için SSL_CLIENT_S_DN_CN gibi bölümler alıyorum.

İlk başlangıç ​​olarak ön uç sunucu B'deki nginx'i yapılandırmak için kullandım (parçaları parantez içinde doldurun):

server {
  listen 8080;
  server_name <frontend>;

  location / {
    proxy_buffering off;
    proxy_pass https://<backend>;
    #proxy_ssl_certificate      certs/<SSL Client Certificate>.crt;
    #proxy_ssl_certificate_key  certs/<SSL Client Certificate>.key;
  }
}

sadece ters proxy'nin çalışıp çalışmadığını kontrol etmek için SSL İstemci Sertifikasına özgü parçanın kaplamasının kaldırılması.

nginx -t
nginx: the configuration file /etc/nginx/nginx.conf syntax is ok
nginx: configuration file /etc/nginx/nginx.conf test is successful
service nginx restart
nginx stop/waiting
nginx start/running, process 8931

Şimdi http: // frontend: 8080 / test / phpinfo.php çalışıyor

Sunucu sertifikası için SSL_SERVER_S_DN_CN görüntülenir ve istemci sertifikası için SSL_CLIENT_S_DN_CN (henüz) görüntülenmez

Şimdi uncommenting sonra:

server {
  listen 8080;
  server_name <frontend>;

  location / {
    proxy_buffering off;
    proxy_pass https://<backend>;
    proxy_ssl_certificate      certs/<SSL Client Certificate>.crt;
    proxy_ssl_certificate_key  certs/<SSL Client Certificate>.key;
  }
}

ve kontrol etme / yeniden başlatma

nginx -t
nginx: the configuration file /etc/nginx/nginx.conf syntax is ok
nginx: configuration file /etc/nginx/nginx.conf test is successful
service nginx restart
nginx stop/waiting
nginx start/running, process 8931

http: // ön uç: 8080 / test / phpinfo.php çalışır ve

Sunucu sertifikası için SSL_SERVER_S_DN_CN görüntülenir ve istemci sertifikası için SSL_CLIENT_S_DN_CN görüntülenir

şimdi istediğimiz gibi işlerimiz var.

Lütfen hataya dikkat edin https://trac.nginx.org/nginx/ticket/872#ticket

Nginx ve SSL istemci sertifikaları hakkında oldukça düzgün bir makale var; Örnek olarak FastCGI ile PHP kullanıyor ancak bunun ters proxy kurulumuna uyarlanabileceğini düşünüyorum:

server {
    listen        443;
    ssl on;
    server_name example.com;

    ssl_certificate      /etc/nginx/certs/server.crt;
    ssl_certificate_key  /etc/nginx/certs/server.key;
    ssl_client_certificate /etc/nginx/certs/ca.crt;
    ssl_verify_client optional;

    location / {
        root           /var/www/example.com/html;
        fastcgi_pass   127.0.0.1:9000;
        fastcgi_param  SCRIPT_FILENAME /var/www/example.com/lib/Request.class.php;
        fastcgi_param  VERIFIED $ssl_client_verify;
        fastcgi_param  DN $ssl_client_s_dn;
        include        fastcgi_params;
    }
}

Kaynak http://nategood.com/client-side-certificate-authentication-in-ngi