proxy Archives - Mon linux

Ansible proxy avec machine sans internet

belgotux — Wed, 31 May 2023 18:52:00 +0000

Il m’arrive parfois d’être confronté à déployer ses playbooks Ansible sur une machine sans accès à internet en zone restreinte. Mais il faut déployer des tâches ayant un dépôt github par exemple… Dans ce cas, l’utilisation d’un proxy socks sur ce serveur est très utile!

Utilisation simple d’un Ansible proxy socks

Pour expliquer l’utilisation de proxy avec Ansible, il faut d’abord comprendre la base : créer un proxy socks depuis une machine sans internet en zone restreinte vers une machine ayant internet en ssh. Pour ma part, je préfère ouvrir ssh dans un screen pour laisser un visu et fermer la connexion par la suite. Il est possible d’utiliser l’argument ssh permettant créer la connexion en arrière plan.

Sur notre serveur sans internet :

~$ ssh -4 -D 8888 mon_serveur_avec_internet
~$ curl -m 5 perdu.com
curl: (28) Failed to connect to perdu.com port 80 after 3852 ms: Connection timed out
~$ export ALL_PROXY="socks5://localhost:8888"
~$ curl -m 5 perdu.com
Vous Etes Perdu ?Perdu sur l'Internet ?
Pas de panique, on va vous aider
    * <----- vous êtes ici
~$ export ALL_PROXY=

On a donc bien accès à internet depuis notre machine.

Il arrive parfois que vous n’ayez même pas un serveur sur qui rebondir… A ce moment là il est possible d’utiliser votre propre machine comme passerelle! Pour cela il faut faire 2 choses :

Depuis votre pc, vous créez avec ssh un bind de port reverse sur votre propre machine en vous connectant sur la machine n’ayant pas accès à internet :

~$ ssh -R 2222:127.0.0.1:22 serveur_sans_internet

La console vers le serveur sans internet s’ouvre
Vous créez le port dynamique pour le socks sur le port local 2222 du serveur (qui va rediriger vers le ssh de votre pc


~$ ssh -4 -D 8888 -p 2222 127.0.0.1

Vous ouvrez un second terminal pour vous connecter directement au serveur et vous avez accès au net

~$ export ALL_PROXY="socks5://localhost:8888"
~$ curl -m 5 perdu.com
Vous Etes Perdu ?Perdu sur l'Internet ?
Pas de panique, on va vous aider
    * <----- vous êtes ici

Ansible et proxy ssh socks

Variable d’environnement du role Ansible

Dans un playbook, nous pouvons ajouter directement une directive environment qui sera utilisée sur un role ou une tasks. Exemple dans un playbook automysqlbackup :

- name: Automysqlbackup Installation
  hosts: databases_dump_server

  roles:
    - role: roles/database/belgotux.automysqlbackup
      environment:
        all_proxy: "socks5://localhost:8888"

Cela va faire l’équivalent de l’export vu plus haut : export ALL_PROXY="socks5://localhost:8888"

Pour en savoir plus sur le rôle Ansible Automysqlbackup.

Utilisation plus générique et facultative sur un playbook existant

On peut utiliser une variable proxy qui sera utilisée dans les variables de l’hôte ou du groupe si besoin d’utiliser un proxy. Avec l’option default pour ne pas que notre playbook soit inutilisable sur un serveur n’ayant pas besoin de proxy…

playbook.yml :

- name: Automysqlbackup Installation
  hosts: databases_dump_server

  roles:
    - role: roles/database/belgotux.automysqlbackup
      environment:
        all_proxy: "{{ proxy | default('')}}"

hote.yml :

proxy: "socks5://localhost:8888"

L’article Ansible proxy avec machine sans internet est apparu en premier sur Mon linux.

Gestion de profil sous Firefox – Les Containers

belgotux — Fri, 23 Sep 2022 20:05:00 +0000

J’ai longtemps utilisé MM3-proxyswitch et foxyproxy pour pouvoir distinguer le personnel du professionnel, ainsi que les sites à fort tracking comme les réseaux sociaux. Même si foxyproxy permet déjà pas mal d’automatisation pour maintenir les listes d’URL et utiliser le mode « Proxy by patterns », ce n’est pas parfait. Il y a des ratés, surtout quand on utilise la résolution dns du proxy socks.

Cela est plus problématique lorsque vous utilisez les mêmes sites pour le professionnel que pour le personnel. Mon ancienne méthode était d’avoir 2 profils Firefox différents, mais il fallait également maintenir tout cela en parallèle…

On en vient aux Containers de Firefox…

L’article Gestion de profil sous Firefox – Les Containers est apparu en premier sur Mon linux.

Apache en mode reverse proxy

belgotux — Wed, 29 Oct 2014 22:04:21 +0000

Un reverse proxy vous servirait à quoi ? A proposer une « interface » au monde extérieur avec vos différentes applications web par exemple. Ce qui se trouve derrière le reverse proxy Apache n’a pas d’importance… Que se soit un autre serveur Apache, un serveur Tomcat, un IIS ou bien une application web fonctionnant sur un numéro de port différent du 80.

Il permet également de sécuriser les systèmes qui sont placés derrière ce proxy. En étant en frontal sur le web et en présentant son « interface ». Le proxy apparait comme un Apache aux yeux des bots de scan. On peut même laisser sa signature exprès pour que les bots n’aillent pas plus loin. Il sera identifié comme serveur Apache par un scan externe.

Explications du reverse proxy Apache

Le client doit accéder l’application Pyload par exemple. Celle-ci fonctionne sur le server2 sur le port 8080. Faire un simple DNAT sur le firewall est possible, mais quand on a plusieurs applications et une seule adresse IP, cela devient impossible…

Avec le reverse proxy Apache, le client accède à l’application en tapant http://MON_DOMAINE_OU_IP/application et les requêtes sont redirigées vers http://server2:8080. Cela est invisible pour lui. Vous pouvez faire de même pour toutes vos applications sur vos différents serveurs, même pour des serveurs IIS de Windows…

Mise en place

Pour la gestion du proxy Apache, les paquets suivants sont nécessaires :

$ apt-get install apache2 libapache2-mod-proxy-html

Pour activer la gestion de proxy, il faut activer le module Apache :

$ a2enmod proxy_http

Pour la gestion de proxy html avec réécriture des url dans le contenu des pages html vous aurez besoin d’activer les modules Apache :

$ a2enmod proxy_html headers

Beaucoup d’application, comme Pyload, ne sont pas codées en liens relatifs, mais en liens absolus… Et sans utiliser les modules en question, vous vous retrouveriez avec des liens externes en http://10.xxx.xxx.xxx/applications/qqch par exemple…

D’abord, configurer ce qui est autorisé dans le fichier du site (surtout utile pour ProxyRequests). Pour ma part, aucune restrictions, cela se configure comme un « Directory ».

$ vim /etc/apache2/sites_enabled/000-default

Order allow,deny
Allow from all

Voici la configuration d’exemple pour l’application Pyload. Ceci est valide pour Apache v2.1+. Pour les versions moins récentes, la configuration est donnée après.

ProxyPass /pyload/ http://127.0.0.1:8081/
ProxyPassReverse /pyload/ http://127.0.0.1:8081/
ProxyHTMLURLMap http://127.0.0.1:8081 /pyload

ProxyHTMLEnable On                                     #### v2.1 min
ProxyHTMLExtended on
ProxyPassReverse /
ProxyHTMLURLMap / /pyload/
RequestHeader unset Accept-Encoding


ProxyHTMLLogVerbose On # pour afficher de quoi debugger

Pour Apache plus vieux que le 2.1 :

ProxyPass /pyload/ http://127.0.0.1:8081/
ProxyPassReverse /pyload/ http://127.0.0.1:8081/
ProxyHTMLURLMap http://127.0.0.1:8081 /pyload

SetOutputFilter proxy-html                            #### older 2.1
ProxyPassReverse /
ProxyHTMLURLMap / /pyload/
RequestHeader unset Accept-Encoding

Certaines applications on besoin de règles de réécriture des url. Il faut activer le module « rewrite » d’Apache. Voici une configuration d’exemple :

ProxyPass /pyload/ http://127.0.0.1:8081/
ProxyPassReverse /pyload/ http://127.0.0.1:8081/
RewriteRule ^/pyload$ /pyload/ [R]
ProxyHTMLURLMap http://127.0.0.1:8081 /pyload

    SetOutputFilter proxy-html
    ProxyPassReverse /
    ProxyHTMLURLMap / /pyload/
    RequestHeader unset Accept-Encoding

Problème courant

Lorsque l’on utilise un domaine pour le proxy de notre application comme « http://test.monlinux.net« , on a généralement aucun problème. Mais lorsque l’on prend un sous-dossier comme « http://192.168.1.2/pyload« , des problèmes peuvent apparaitre avec les liens des css, javascript ajax, etc.

Une grande partie des problèmes d’intégration sont liés à l’application. Il faut parfois chercher les bonnes options pour le proxy Apache, mais jusqu’ici aucune application bien conçue ne m’a posé problème.

Plus d’infos sur le mod_proxy via le site d’Apache.

N’hésitez pas à faire un test de benchmark de vos applications web en directe et à travers le reverse proxy pour vérifier les performances. Vous verrez que le mod_proxy ne change presque rien et que la réécriture des url change un peu la donne par contre…

L’article Apache en mode reverse proxy est apparu en premier sur Mon linux.