Korzystanie z usługi SSL Gateway

Wprowadzenie

Wymagania początkowe

W praktyce

Zobaczymy teraz, jak korzystać z usługi SSL Gateway.

Konfiguracja usługi

• Zaloguj się do Panelu klienta.
• Kliknij na zakładkę Sunrise.

• Następnie kliknij na SSL Gateway, aby wyświetlić informacje o usłudze.

• Wybierz usługę, którą chcesz skonfigurować.

• Pojawi się strona do zarządzania usługą.

• Opis informacji

• Opis konfiguracji

Konfiguracja domeny

Kolejny blok zawiera 4 zakładki:

• Domeny
• Serwery
• Zadania
• Wykresy

Zakładka "Domeny" pozwala na dodawanie i usuwanie domen oraz subdomen z usługi SSL Gateway.

• Kliknij na Dodaj domenę, aby dodać domenę lub subdomenę.

Dokonaj wyboru i kliknij na Dodaj.

Zakładka "Serwery" pozwala na zarządzanie adresem lub adresami IP serwera (lub serwerów), na którym zainstalowana jest Twoja strona.

• Kliknij na Dodaj serwer, aby dodać adres IP oraz port odnoszące się do serwera, na którym zainstalowana jest Twoja strona.

Dokonaj wyboru i kliknij na Dodaj.

Zakładka "Zadania" pozwala na wyświetlenie operacji w trakcie na Twojej usłudze SSL Gateway.

Warning

Jeśli nie wykryjemy przekierowania Twojej domeny lub subdomeny na IP SSL Gateway, certyfikat SSL/TLS nie zostanie utworzony. Nadal będzie możliwy dostęp przez "HTTP". Oznaczenie "HTTP" będzie widoczne w tym przypadku w zakładce "Wpisy".

Zakładka "Wykresy" pozwala na wyświetlenie liczby połączeń i zapytań na minutę wykonywanych w ramach usługi SSL Gateway.

Odnowienie certyfikatu SSL

Uwaga

Info

Aby móc odnowić certyfikat Let’s Encrypt, domena lub subdomena musi wskazywać na IP usługi SSL Gateway.

• Jeśli jest inaczej i nasze roboty wykryją to 7 dni przed datą odnowienia certyfikatu SSL/TLS, otrzymasz e-mail i będziesz mieć 3 dni na wykonanie tej operacji.
• Jeśli po 3 dniach operacja ta nie zostanie wykonana, certyfikat nie zostanie odnowiony i będziesz musiał wygenerować go ręcznie za pomocą tego przycisku:

Ważne informacje

Poprawienie IP źródłowego w Logach

Prezentacja

Gdy użytkownik odwiedza Twoją stronę, łączy się z SSL Gateway w HTTPS, a następnie SSL Gateway kontynuuje zapytanie do Twojego serwera, po odszyfrowaniu i przefiltrowaniu ataków. Wszystkie zapytania do Twojego serwera pochodzą więc z SSL Gateway.

Aby wskazać Ci adres osoby odwiedzającej, SSL Gateway automatycznie dodaje standardowe nagłówki HTTP:

• X-Forwarded-For i X-Remote-Ip: Adres użytkownika widziany przez SSL Gateway.
• X-Forwarded-Port i X-Remote-Port: Port źródłowy użytkownika widziany przez SSL Gateway.

Pola te mogą zostać sfałszowane przez użytkownika o nielegalnych zamiarach. Powinny być brane pod uwagę te, które pochodzą ze sprawdzonego źródła, jakim jest SSL Gateway. Lista IP źródłowych używanych przez SSL Gateway znajduje się w:

• Panelu klienta Sunrise
• W zakładce SSL Gateway
• W polu "IPv4 wyjściowe"

W momencie przygotowywania tego przewodnika adresy te to 213.32.4.0/24 i 144.217.9.0/24. W przyszłości mogą zostać dodane inne adresy.

Jeśli Twój serwer ma taką opcję, może on zostać skonfigurowany do automatycznego rejestrowania tej informacji zamiast IP usługi SSL Gateway.

Apache

• Utwórz poniższy plik: /etc/apache2/conf-available/remoteip.conf
• Wprowadź następujące linie:

# Trust X-Forwarded-For headers from the SSL Gateway
# See https://www.ovh.com/manager/sunrise/sslGateway/index.html#/sslGateway for an up to date list
RemoteIPHeader X-Forwarded-For
RemoteIPInternalProxy 213.32.4.0/24

Możesz teraz zmienić zmienne %h na %a w dyrektywach LogFormat w konfiguracji oprogramowania Apache.

• Gdy konfiguracja jest gotowa, wystarczy ją włączyć za pomocą poniższych poleceń:

# Włącz moduł i konfigurację.
a2enmod remoteip
a2enconf remoteip

# Zrestartuj Apache’a, aby wprowadzić zmiany na poziomu modułu i konfiguracji.
service apache2 restart

Więcej informacji na temat tej funkcjonalności oprogramowania Apache odnajdziesz w oficjalnej dokumentacji.

Nginx

• Otwórz plik konfiguracyjny strony, którą chcesz zabezpieczyć. Zazwyczaj znajduje się on w: /etc/nginx/sites-enabled
• Wprowadź poniższe linie w sekcji server:

# Trust X-Forwarded-For headers from the SSL Gateway
# See https://www.ovh.com/manager/sunrise/sslGateway/index.html#/sslGateway for an up to date list
set_real_ip_from 213.32.4.0/24;
real_ip_header X-Forwarded-For;

Więcej informacji na temat tej funkcjonalności w oprogramowaniu Nginx odnajdziesz w oficjalnej dokumentacji.

Sprawdź również

W przypadku wyspecjalizowanych usług (pozycjonowanie, rozwój, etc.) skontaktuj się z partnerami OVHcloud.

Jeśli chcesz otrzymywać wsparcie w zakresie konfiguracji i użytkowania Twoich rozwiązań OVHcloud, zapoznaj się z naszymi ofertami pomocy.

Dołącz do grona naszych użytkowników.