Un proxy inverse peut-il utiliser SNI avec SSL?

J'ai besoin de servir plusieurs applications via https en utilisant une adresse IP externe.

Les certificats SSL ne doivent pas être gérés sur le proxy inverse. Ils sont installés sur les serveurs d'applications.

Un proxy inverse peut-il être configuré pour utiliser SNI et transmettre ssl pour la terminaison au point de terminaison?

Est-ce possible en utilisant quelque chose comme Nginx ou Apache? À quoi ressemble la configuration?

C'est possible avec Haproxy. Vous pouvez configurer un proxy TCP et extraire le SNI et faire un routage basé sur le SNI. Voici un exemple:

backend be.app1
    mode tcp
    no option checkcache
    no option httpclose
    tcp-request inspect-delay 5s
    tcp-request content accept if { req.ssl_hello_type 1 }
    tcp-request content reject
    use-server server1 if { req.ssl_sni -m beg app1. }
    server server1 server1:8443 check id 1 weight 0

Il est essentiel de retarder la demande jusqu'à ce que vous obteniez le bonjour SSL, sinon haproxy essaiera d'établir une connexion avant de recevoir l'en-tête SNI.

J'utilise des serveurs de poids 0 car, dans ma configuration actuelle, je n'ai qu'un seul serveur en cours d'exécution pour chaque SNI et je ne veux pas qu'ils reçoivent des demandes aléatoires. Vous pouvez probablement trouver de meilleures façons de jouer avec cela.

J'espère que ça aide.

Vous pouvez utiliser sniproxy: https://github.com/dlundquist/sniproxy

Un exemple de configuration:

listener 0.0.0.0:443 {
    protocol tls
    table TableHTTPS
    fallback 127.0.0.1:8443
}

listener 0.0.0.0:80 {
    protocol http
    table TableHTTP
    fallback 127.0.0.1:8080
}

table TableHTTPS {
    domain1.com backend1:443
    domain2.org backend2:443
}

table TableHTTP {
    domain1.com backend1:80
    domain2.org backend2:80
}

C'est certainement possible, même maintenant en 2019 avec le prochain TLS 1.3! De nombreux serveurs Web ou proxys inversés spécialisés offrent cette fonctionnalité prête à l'emploi:

• Nginx ≥ 1.11.5 (Debian ≥ buster ou stretch-backports)
• HAProxy ≥ 1,5 (Debian ≥ jessie)
• Sniproxy (Debian ≥ buster)
• etc.

Ceci est un exemple de configuration pour Nginx, qui est un choix très populaire pour les configurations qui nécessitent un proxy inverse:

stream {
  map $ssl_preread_server_name $selected_upstream {
    example.org upstream_1;
    example.net upstream_2;
    example.com upstream_3;
    default upstream_4;
  }
  upstream upstream_1 { server 10.0.0.1:443; }
  upstream upstream_2 { server 10.0.0.2:443; }
  upstream upstream_3 { server 10.0.0.3:443; }
  upstream upstream_4 { server 10.0.0.4:443; }
  server {
    listen 10.0.0.5:443;
    proxy_pass $selected_upstream;
    ssl_preread on;
  }
}

Les modules Nginx concernés sont stream_coreet stream_ssl_preread. Manuels:

• https://nginx.org/en/docs/stream/ngx_stream_core_module.html
• https://nginx.org/en/docs/stream/ngx_stream_ssl_preread_module.html