web-dev-qa-db-ja.com

HAプロキシとWebソケット

最初のHAProxyリバースプロキシサーバーをセットアップしています。これは、別のサーバーからTomcatで実行されているHTML5アプリのプロキシになります。私はそれをHTTP経由でプロキシアウトし、すべての要求をHTTPSにリダイレクトし、HSTSを実装することができました。ただし、これを行った後、WebSocket接続もロードしようとしていることに気付きました。問題は、ロードするWebSocket接続が安全ではない（ws：//）で、安全ではない（wss：//）ことです。もちろん、Chrome（そしておそらく複数のブラウザ）は、安全な接続を介して安全でないスクリプトをロードすることについて不満を言います。ここで私が得るエラーは次のとおりです：

Connecting via WebSocket using url ws://website.domain.com:9091/webclient/
Mixed Content: The page at 'https://website.domain.com/webclient/' was loaded over HTTPS, but attempted to connect to the insecure WebSocket endpoint 'ws://website.domain.com:9091/webclient/'. This request has been blocked; this endpoint must be available over WSS.
Caught WebSocket error: SecurityError: Failed to construct 'WebSocket': An insecure WebSocket connection may not be initiated from a page loaded over HTTPS.

これらはすべて/webclient/script/ajaxclient.js:210によってロードされました

これはサードパーティのアプリなので、アプリを変更してもらうことができるかどうかはわかりません。したがって、私はHAProxyサーバーで安全なWebソケット接続を強制するために何かできることがあるのか​​と思っていました。何かご意見は？

参照用のHAProxy confファイルを次に示します。

global
    log         127.0.0.1 local2

    chroot      /var/lib/haproxy
    pidfile     /var/run/haproxy.pid
    maxconn     1000
    user        haproxy
    group       haproxy
    daemon

    # turn on stats unix socket
    stats socket /var/lib/haproxy/stats

    # Default SSL cert locations
    ca-base /etc/haproxy/ssl_2015
    crt-base /etc/haproxy/ssl_2015

    # Default ssl ciphers
    ssl-default-bind-ciphers ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA256:ECDHE-RSA-AES256-SHA:ECDHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA256:DHE-RSA-AES128-SHA256:DHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA:ECDHE-RSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES256-GCM-SHA384:AES128-GCM-SHA256:AES256-SHA256:AES128-SHA256:AES256-SHA:AES128-SHA:DES-CBC3-SHA:HIGH:!aNULL:!eNULL:!EXPORT:!CAMELLIA:!DES:!MD5:!PSK:!RC4

    # max size of temp DHE keys that are generated
    tune.ssl.default-dh-param 4096

defaults
    mode                    http
    log                     global
    option                  httplog
    option                  dontlognull
    option http-server-close
    option forwardfor       except 127.0.0.0/8
    option                  redispatch
    option                  http-server-close
    retries                 3
    timeout http-request    10s
    timeout queue           1m
    timeout connect         10s
    timeout client          1m
    timeout server          1m
    timeout http-keep-alive 10s
    timeout check           10s
    timeout tunnel          4hrs                # long timeout for Websocket connections
    maxconn                 3000

#---------------------------------------------------------------------
# http frontend
#---------------------------------------------------------------------
frontend http_https_frontend
    bind 192.168.2.201:80
    redirect scheme https if !{ ssl_fc }
    bind 192.168.2.201:443 ssl crt /etc/haproxy/ssl_2015/ssl_crt.pem
    acl secure dst_port eq 443
    rspadd Strict-Transport-Security:\ max-age=16000000;\ includeSubDomains;\ preload;
    rsprep ^Set-Cookie:\ (.*) Set-Cookie:\ \1;\ Secure if secure

#   # routing based on websocket protocol header
#   acl is_websocket hdr(Upgrade) -i WebSocket
    acl is_websocket hdr_beg(Host) -i ws
    use_backend ws_backend if is_websocket


#    # 16000000 seconds: a bit more than 6 months
#    http-response set-header Strict-Transport-Security max-age=16000000;\ includeSubDomains;\ preload;
    default_backend https_backend

#---------------------------------------------------------------------
# http backend
#---------------------------------------------------------------------
backend https_backend
    reqadd X-Forwarded-Proto:\ https
    server websvr1_http 192.168.1.125:8080

#---------------------------------------------------------------------
# ws backend
#---------------------------------------------------------------------
backend ws_backend
    server websvr1_ws 192.168.1.125:9091

HAProxyサーバーは、HAProxy 1.5.4を実行するCentOS 7.1.1503サーバーです。

前もって感謝します！

sslhaproxywsswebsocket
4
JoeInVT

これはサードパーティのアプリなので、アプリを変更してもらうことができるかどうかはわかりません。したがって、私はHAProxyサーバーで安全なWebソケット接続を強制するために何かできることがあるのか​​と思っていました。

これは主にサードパーティのアプリケーションに依存します。アプリケーションがws:プロトコルを具体的に使用している場合、HAProxy側で実行できることは何もありません-ブラウザーはHAProxyインスタンスにさえ接続しないため、何もする機会さえ与えられません。それ。

サードパーティのアプリケーション開発者に問題を公開して、Webソケットプロトコルを構成可能にするか、検出を追加する必要があります（ページがHTTPS経由でロードされている場合は、WSSを使用します）。

または、コンテンツの書き換えを導入することもできます。この場合、発信コンテンツを変更して、ws：/をwss：//に書き換えます。 HAProxyはこれを実行できませんが、Nginxはsub_filterモジュールとともに実行できます。

1
vcsjones