Difference between revisions of "Rproxy"
(10 intermediate revisions by the same user not shown) | |||
Line 1: | Line 1: | ||
− | rproxy är en maskin som agerar reverse proxy för ett flertalet tjänster på Stacken. | + | rproxy är en maskin som agerar reverse proxy för ett flertalet tjänster på Stacken. De klassiska IP-numren <code>130.237.234.40</code> samt <code>2001:6b0:1:ea::40</code> pekar på den. Många av stackens webbsidor, t.ex. den här wikin körs genom rproxy. |
− | == | + | == Konfiguration == |
=== Hårdvara === | === Hårdvara === | ||
Line 24: | Line 24: | ||
=== Traefik === | === Traefik === | ||
− | Traefik används för att ta i mot trafik samt terminera TLS. | + | Traefik används för att ta i mot trafik samt terminera TLS. Det finns en systemd unit med samma namn som ser ut så här: |
+ | # /etc/systemd/system/traefik.service | ||
+ | [Unit] | ||
+ | Description=Traefik Reverse Proxy | ||
+ | After=network.target | ||
+ | |||
+ | [Service] | ||
+ | Type=notify | ||
+ | ExecStart=/usr/local/bin/traefik --configFile=/etc/traefik/traefik.toml | ||
+ | Restart=always | ||
+ | WatchdogSec=60s | ||
+ | NoNewPrivileges=yes | ||
+ | ProtectSystem=strict | ||
+ | ReadWritePaths=/etc/traefik/state/ | ||
+ | ProtectHome=yes | ||
+ | |||
+ | [Install] | ||
+ | WantedBy=multi-user.target | ||
− | + | Konfiguration hittar du i <code>/etc/traefik</code> | |
− | + | === Fail2ban === | |
− | + | Förutom sshd som är på som standard på Debian så har jag skapat ett filter som heter <code>filter.d/shakespeer-ip.conf</code> som ser ut så här: | |
− | |||
− | |||
− | + | [Definition] | |
− | + | failregex = ^<HOST>.+\/~mhe\/ip.shtml.+\"shakespeer\/.+$ | |
− | + | ignoreregex = | |
− | + | ||
+ | Set är sedan laddat från <code>jail.d/customisation.local</code> så här: | ||
+ | |||
+ | [traefik-shakespeer] | ||
+ | enabled = true | ||
+ | filter = shakespeer-ip | ||
+ | logpath = /var/log/traefik/access.log | ||
+ | maxretry = 3 | ||
+ | findtime = 60 | ||
+ | bantime = 6h | ||
+ | port = http,https | ||
+ | |||
+ | Det lägger iptables-regler som blockar alla som kör programmet Shakespeer som spammar sönder oss med att försöka använda ip.shtml som inte har funkat på många, många år ... | ||
+ | |||
+ | === Mediawiki === | ||
+ | |||
+ | Mediawiki körs i en Docker container och startas med Docker Compose. Du hittar konfigurationen för det i <code>/etc/mediawiki</code>. Bilderna ligger i <code>/var/mediawiki/images</code>. | ||
+ | |||
+ | === Bucky === | ||
+ | |||
+ | Bucky används som en statsd till carbon relay som Traefik använder för att att skicka in data till [[Graphite]]. Den kör i Docker och startas med Docker Compose och ligger i <code>/etc/bucky</code>. | ||
[[Category: Maskiner]] | [[Category: Maskiner]] |
Latest revision as of 14:15, 29 December 2018
rproxy är en maskin som agerar reverse proxy för ett flertalet tjänster på Stacken. De klassiska IP-numren 130.237.234.40
samt 2001:6b0:1:ea::40
pekar på den. Många av stackens webbsidor, t.ex. den här wikin körs genom rproxy.
Contents
Konfiguration
Hårdvara
Maskinen är ett VM
OS m.m.
- Ubuntu 18.04 LTS
- Automatiska säkerhetsuppdateringar
Docker
- docker-bench-security körd och Docker är lite mer nerlåst
# daemon.json { "userns-remap": "dockremap", "live-restore": true, "userland-proxy": false, "no-new-privileges": true }
Traefik
Traefik används för att ta i mot trafik samt terminera TLS. Det finns en systemd unit med samma namn som ser ut så här:
# /etc/systemd/system/traefik.service [Unit] Description=Traefik Reverse Proxy After=network.target [Service] Type=notify ExecStart=/usr/local/bin/traefik --configFile=/etc/traefik/traefik.toml Restart=always WatchdogSec=60s NoNewPrivileges=yes ProtectSystem=strict ReadWritePaths=/etc/traefik/state/ ProtectHome=yes [Install] WantedBy=multi-user.target
Konfiguration hittar du i /etc/traefik
Fail2ban
Förutom sshd som är på som standard på Debian så har jag skapat ett filter som heter filter.d/shakespeer-ip.conf
som ser ut så här:
[Definition] failregex = ^<HOST>.+\/~mhe\/ip.shtml.+\"shakespeer\/.+$ ignoreregex =
Set är sedan laddat från jail.d/customisation.local
så här:
[traefik-shakespeer] enabled = true filter = shakespeer-ip logpath = /var/log/traefik/access.log maxretry = 3 findtime = 60 bantime = 6h port = http,https
Det lägger iptables-regler som blockar alla som kör programmet Shakespeer som spammar sönder oss med att försöka använda ip.shtml som inte har funkat på många, många år ...
Mediawiki
Mediawiki körs i en Docker container och startas med Docker Compose. Du hittar konfigurationen för det i /etc/mediawiki
. Bilderna ligger i /var/mediawiki/images
.
Bucky
Bucky används som en statsd till carbon relay som Traefik använder för att att skicka in data till Graphite. Den kör i Docker och startas med Docker Compose och ligger i /etc/bucky
.