Jak mit na serveru vice sluzeb pres HTTPS port 443 pod domenou?

Ethereal

Zdravim vsechny.
Hledal jsem zde na foru, ci uz se nekdo predemnou na to same nahodou neptal, ale nenasel jsem prave nic konkretne, tak si polozim dotaz. Popisu to co nejpodrobneji.

Mam server, na nem Proxmox a v nem nekolik VM. Tyto VM maji prirazeny samostatne vnitrni adresy z rozsahu 192.168.x.x. V techto VM bezi nekolik sluzeb, ktere maji webmanagement pres HTTPS protokol, cisla portu jsou ruzne,, nejen 443. Mam k dispozici 1 verejnou IP a zaregistroval jsem si domenu. Potrebne DNS zaznamy taky nastaveny mam.

Potrebuji docilit toho, abych po zadani napriklad "nc.mojedomena.net", bez cisla portu, skoncil packet na stanici s IP 192.168.0.200 pod portem 30027, bez toho abych musel jak doposud, cislo portu zadavat, napr.: https://mojedomena.net:30027
Na stejnem VM s koncovym IP 200, bezi dale http server pod portem 8090, takze napriklad zadani "files.mojedomena.net", by melo skoncit na stanici s IP 192.168.0.200 a portu 8090.
Dalsi VM pak maji IP pokracujici 201, 202, 203 atd..

Jak tohoto dosahnout? Google i ChatGPT mi doporucuji pouziti Nginx proxy. Jsou i jine zpusoby, nebo bude pouziti proxy, nejjednodussi reseni?

Predem diky za odpoved.

cmgn

Ethereal jediné použitelné je snad jen reverzní proxy. Nginx, Apache..

pgb

Radí ti dobře, jediný způsob jak rozdělit jeden port (80/443) je pomocí aplikační proxy, revers proxy je úplně běžná věc a pomocí třetího řádu na doméně to hezky rozdělíš. Úplně základní konfigurace vypadá třeba takhle:

<IfModule mod_ssl.c>
<VirtualHost *:443>
    ServerName moje.domena.cz

    ProxyPreserveHost On
    ProxyPass / http://10.10.20.35:3000/
    ProxyPassReverse / http://10.10.20.35:3000/

    ErrorLog ${APACHE_LOG_DIR}/error.log
    CustomLog ${APACHE_LOG_DIR}/access.log combined

SSLCertificateFile /etc/letsencrypt/live/moje.domena.cz/fullchain.pem
SSLCertificateKeyFile /etc/letsencrypt/live/moje.domena.cz/privkey.pem
Include /etc/letsencrypt/options-ssl-apache.conf
</VirtualHost>
</IfModule>

```

jcltm

Ještě lze třeba HA Proxy na pfSense, to umí kromě reverzní proxy třeba i loadbalancing.

Ethereal

Dik za rady.. Vyresim to nakonec tedy pres proxy.

gnux

Na proxy buď čistej Nginx (s VRP se dá udělat hezky do HA). Nebo případně pokud chceš na doma jednoduché klikátko tak doporučím https://nginxproxymanager.com/

Hlavně ne už v dnešní době Apache

zdeneksvarc

Že k tomu slouží reverzní proxy (caddy, nginx) tady zaznělo. Na 99% ovšem ty aplikační servery nemusí běžet jako samostatné VM a žrát zbytečně systémové prostředky. Můžou běžet jako Docker Compose projekty klidně v rámci jedné VM. Což má obrovskou výhodu, mimo jiné, že si je reverzní proxy přes labels ošahá. Všechno běží hezky automaticky.

staryvena

zdeneksvarc K tomu ještě doplním, že u Proxmoxu se to může rozjet jako LXC kontejner (pokud by nechtěl rušit ty VM). A na ty labely pozor, aby je to mohlo číst, tak to musí mít přístup k docker socketu, sice u jde omezit jenom pro čtení, ale i tak by se pak útočník mohl dostat k některým citlivým informacím. Jde to omezit přes proxy.

zdeneksvarc

staryvena Ano. Nebo namountovat docker socket do reverzní proxy jenom pro čtení:

volumes:
  - /var/run/docker.sock:/var/run/docker.sock:ro

Secrets by přes docker.sock nemělo být možné vyčíst, ale můžou být citlivé informace v envs, které vyčíst jdou.