[Sysadmins] nginx+nginx+... :)

[Sysadmins] nginx+nginx+... :)

[Michael Shigorin]

	Здравствуйте.
Родилось тут желание (и возможность) чуть разогнать сервер
в подписи.  Работает он на связке nginx+apache, поэтому после
причёсывания всего нужного в новом контейнере и нескольких дней
неспешных игрищ с ab(8) было решено переезжать.  Опять же, это
быстрее и обратимее делать разворотом реверс-прокси, чем DNS.

Но в итоге получилась такая вот связка:

old-ip:80 [dnat]
`-> ve0:8080 [nginx]
    `-> new-ip:8080 [dnat]
        `-> ve1:8080 [nginx]
            `-> ve2:8080 [nginx]
                `-> ve2:80 [apache]
    
Здесь два момента, один про порты и другой про IP.

Про порты -- старый: если apache где-то в недрах посадить не на
:80, то при каноникализации куда-то наружу может вылезти левый
порт.  Который внутрь вовсе не факт, что просунут вообще хоть
как-то.  Поэтому проще обеспечить apache на :80, а всё остальное
так или иначе выстроить между ним и тем внешним :80, на который
к нам собственно ходят.

Этим ночером выучил ещё один вариант нового, про IP.

При работе reverse proxy или такого frontend webserver, каким тут
является nginx, backend webserver запросы получает от него, а не 
от клиента.  В логах же хочется видеть всё-таки клиента.  Поэтому
прокси обучается добавлять исходный IP в левый заголовок вроде 
X-Real-IP: или X-Forwarded-For:, а бэкенд -- доставать оттуда
нужный адрес и прикидываться, что так и было.

Для apache-1.3 есть такой mod_realip, у нас с ним апач года три
как собирается.  Для apache-2.x есть такой apache2-mod_rpaf,
который в 4.0 собран, но с багом #13886, поэтому из коробки не
работает (справедливости ради, совсем из коробки и не выйдет,
надо прописывать доверенные IP, с которых будут приниматься
к рассмотрению такие заголовки).  Конфигурируются они по
документации, только вместо 127.0.0.1 может быть другой адрес,
если прокси ходит не по loopback interface:

--- /etc/httpd/conf/httpd.conf
AddModule mod_realip.c
# ...

<IfModule mod_realip.c>
        RealIP 127.0.0.1 xfwd
        RealIP 10.0.1.234 xfwd
        RealIP my.re.al.ip xfwd
</IfModule>
# ...
---

Тут выяснилось, что nginx как бэкенд тоже умеет такое.
Зовётся оно ngx_http_realip_module, описано здесь:
http://sysoev.ru/nginx/docs/http/ngx_http_realip_module.html

У меня _не_ завелось на 0.5.20 из ALS4.0+updates, но поехало
с тем же конфигом на 0.5.31-alt4 из 4.0/branch (осталось
дофиксить там неприятность с недостающим вдвое bucket_hash_size
по умолчанию и надо бы в updates).

Вот, архивирую :)

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [Sysadmins] nginx+nginx+... :)

[Denis Smirnov]

06.01.08, Michael Shigorin<mike@osdn.org.ua> написал(а):

> дофиксить там неприятность с недостающим вдвое bucket_hash_size
> по умолчанию и надо бы в updates).

А что, subst который я туда написал не работает?
Или ты про bucket_hash_size (который вообще судя по всему каждому под
себя хакать надо, а я не понимаю почему оно не может выставляться
автоматом).

Re: [Sysadmins] nginx+nginx+... :)

[Vladimir V. Kamarzin]

>>>>> On 06 Jan 2008 at 04:41 "MS" == Michael Shigorin writes:

 MS> к рассмотрению такие заголовки).  Конфигурируются они по
 MS> документации, только вместо 127.0.0.1 может быть другой адрес,
 MS> если прокси ходит не по loopback interface:

 MS> --- /etc/httpd/conf/httpd.conf
 MS> AddModule mod_realip.c
 MS> # ...

 MS> <IfModule mod_realip.c>
 MS>         RealIP 127.0.0.1 xfwd
 MS>         RealIP 10.0.1.234 xfwd
 MS>         RealIP my.re.al.ip xfwd
 MS> </IfModule>
 MS> # ...
 MS> ---

btw, я предпочитаю прописывать просто "RealIP on", чтобы не заморачиваться с
прописыванием всех фронтендов + они ещё и меняются со временем.

-- 
vvk

Russian Postfix irc: irc.freenode.net #postfix-ru

Re: [Sysadmins] nginx+nginx+... :)

[Michael Shigorin]

On Thu, Jan 17, 2008 at 11:43:10AM +0500, Vladimir V. Kamarzin wrote:
>  MS> <IfModule mod_realip.c>
>  MS>         RealIP 127.0.0.1 xfwd
>  MS>         RealIP 10.0.1.234 xfwd
>  MS>         RealIP my.re.al.ip xfwd
>  MS> </IfModule>
>  MS> # ...
>  MS> ---
> btw, я предпочитаю прописывать просто "RealIP on", чтобы не
> заморачиваться с прописыванием всех фронтендов + они ещё и
> меняются со временем.

Оно-то да, но несекьюрно, если порт открыт :)
Могут fake IP подставить тогда при желании.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/