Кто знает как сделать проброс портов через NGINX?

Question

[Alf1990]

Всем привет! Поставил nginx

И решил сделать проброс поддоменов, на разные машины с разными портами, начали с торрента:

tor.site.ru сделал поддомен, направил запись А на свой IP.

В nginx для tor.site.ru прописал:

server {
listen 80;
listen [::]:80;
root /var/www/tor.site.ru/html;
index index.html index.htm index.nginx-debian.html;
server_name tor.stie.ru www.tor.site.ru;
location / {
try_files $uri $uri/ =404;

location / {
            proxy_pass $scheme://192.168.1.12:9091;
            proxy_redirect     off;
            proxy_set_header   Host             $host;
            proxy_set_header   X-Real-IP        $remote_addr;
            proxy_set_header   X-Forwarded-For  $proxy_add_x_forwarded_for;
}

}
}

Все замечательно доступ извне появился к данной машине.

Тоже самое потом поробовал сделать для ВПН, но к сожалению отклик не пошел. Подскажите в чем дело? капал капал так и не нашел решения проблемы. Тут пишут что можно через iptables но тоже примера не нашел.

Answer 1

[vreitech]

через nginx можно пробросить (проксировать) только http/https-трафик и его деривативы (ws/wss/spdy). vpn в их число не входит.

Comments

[Alf1990]

А что тогда посоветуете для проксирования других протоколов?

[vreitech]

Alf1990, для проксирования - ничего. далеко не все протоколы проксируются.
я, честно говоря, так толком и не уловил, чего вам хочется сделать, например, с тем же самым vpn.

[Alf1990]

vreitech,

Просто можно настроить vpn.site.ru с пробросом на конкретный ip, но тогда этот домен будет иметь доступ так же к ssh и тд, потому что стоит проброс на роутере. Хотелось бы ограничить поддоменое имя на конкретную задачу.

[TorMozzG]

Alf1990, через nginx можно пробрасывать и простые tcp/udp соединения используя nginx stream nginx.org/en/docs/stream/ngx_stream_core_module.html

[Alf1990]

TorMozzG, Я видел данный конфиг, но так и не разобрался, можете написать простой пример, как его прописать в nginx

[Владислав]

TorMozzG, как я понял, Alf1990 нужно разделение в зависимости от домена, что даже эта конфигурация сделать, к сожалению, не позволит, так как в tcp/udp пакетах домен не передаётся, он передаётся уже на OSI L7.

[TorMozzG]

Alf1990, вы хотите проксировать vpn разных поддоменов, которые имеют одинаковые А записи на разные машины? Тут скорее всего так не выйдет, т.к. директива имени сервера доступна только в http

Upd: Владислав Фурсов уже ответил =)

[Alf1990]

TorMozzG, Мне нужно ограничить пользования vpn.site.ru тока на порт 1194/

[TorMozzG]

Alf1990, так. Разберемся конкретно с вопросом: у вас есть домен a с ip 1.1.1.1? Вы решили добавить 2 домена : site.a и vpn.a на тот же ip адрес(1.1.1.1)? И хотите ограничить доступ по домену site.a только на 80 порт, а vpn.a только на 1194?

[Alf1990]

TorMozzG, да

[TorMozzG]

1. Т.к машина у вас одна, то и ограничение по портам tcp/udp будут делить все домены.
2. Если по порту 1194 будет http, то вам надо убрать default из настроек nginx и настраивать каждый домен в отдельности с указанием номера порта.
3. Если 1194 - это не http, то проксирование по этому порту будет работать для все доменов, не только для vpn.a и тут либо iptables(наиболее правильный вариант) либо

stream{
    server{
        listen 1194;
        proxy_pass 2.2.2.2:1194;
    }
}

[Alf1990]

TorMozzG, то есть для vpn.site.ru делаю следующий код в nginx

server {
listen 80;
listen [::]:80;
root /var/www/tor.site.ru/html;
index index.html index.htm index.nginx-debian.html;
server_name tor.stie.ru www.tor.site.ru;
location / {
try_files $uri $uri/ =404;

stream{
    server{
        listen 1194;
        proxy_pass 2.2.2.2:1194;
    }
}
}
}

[TorMozzG]

Alf1990,

server{
        listen 1194;
        proxy_pass 2.2.2.2:1194;
    }

нужно писать там, где объявлена директива stream ( скорее всего это nginx.conf).

[Alf1990]

TorMozzG, прописал в nginx.conf

nginx -t ошибок не выдал, редерикт тоже прошел, но vpn.site.ru не попадает при подключении опенвпн на 1194

[TorMozzG]

Alf1990, https://forum.nginx.org/read.php?11,260587 вроде похожий вопрос.

Вырезка:

stream{
upstream backend {
hash $remote_addr consistent;

server 10.50.40.1:8443;
}

server {
listen 10.50.39.123:443 so_keealive=on;
proxy_connect_timeout 300s;
proxy_timeout 300s;
proxy_pass backend;
}
}

Upd: vpn.site.ru и tor.site.ru ссылаются на один и тот же ip? Попробуйте чере домен tor.site.ru.

Answer 2

[Владислав]

Вам нужен не nginx, а iptables port forwarding, но с ним нельзя ограничить по доменному имени, так как в запросе на установку соединения домен не передаётся.

https://losst.ru/probros-portov-iptables-v-linux
https://serverfault.com/questions/140622/how-can-i...

Comments

[Alf1990]

Смотрите если я iptables сейчас укажу что с 80 на 1194 редерикт делать. Потеряю ли я доступ к сайтам? или сервер будет пытаться проникнуть и на 80 и на 1194

[Владислав]

Alf1990,
Нет, не потеряете, так как он будет слепо перенаправлять все ВХОДЯЩИЕ(Главное не ошибиться в настройке) запросы с порта 80 на порт 1194, а вы обращаетесь к сайтам по их 80 порту, что для iptables будет исходящим запросом.

[Alf1990]

Владислав Фурсов, у меня так раз есть и входящие соединения по 80 порту.

[Владислав]

Alf1990, разделение машин по домену сделать можно только для http/https протоколов и тех, что через них передаются, vpn туда не входит, его можно перенаправить только через перенаправление портов без учёта домена.
То есть, для сайтов нужно использовать nginx, для всего остального iptables.

[Alf1990]

Владислав Фурсов, Не понял с losst, там идет ридерикт на разные сетевые интерфейсы.

Проверил разрешена ли переадресация с моего сетевого интерфейса, выдало 0, исправил на 1.
Какие правила надо прописать для перенаправления с 80 порта 1194 и желательно дополнительно 445

[Владислав]

Alf1990,

Замените в коде:
$IFACE на имя вашего интерфайса, на который будут приходить пакеты.
$DST_IP на IP на который пересылать.

# Для 80 -> 1194
iptables -t nat -A PREROUTING -p tcp -i $IFACE --dport 80 -j DNAT --to-destination $DST_IP:1194
iptables -A FORWARD -p tcp -d $DST_IP --dport 1194 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

# Для 445 -> 1195
iptables -t nat -A PREROUTING -p tcp -i $IFACE --dport 445 -j DNAT --to-destination $DST_IP:1195
iptables -A FORWARD -p tcp -d $DST_IP --dport 1195 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

[Alf1990]

Владислав Фурсов,

Не прошла

iptables -A FORWARD -p tcp -d $DST_IP --dport 1194 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

Пишет iptables v1.8.2 (nf_tables): host/network `ens33' not found
Try `iptables -h' or 'iptables --help' for more information.

Проверил на всякий случай Ip a, именно ens33 интерфейс входящий.

[Владислав]

Alf1990, судя по ошибке, не найден сетевой интерфейс, дайте вывод команды "ip a"
Сейчас прописал у себя эти команды и они отработали без ошибок.

[Alf1990]

Владислав Фурсов,

lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host
       valid_lft forever preferred_lft forever
2: ens33: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000
    link/ether 00:01:2e:3d:d9:a7 brd ff:ff:ff:ff:ff:ff
    inet 10.15.17.1/24 brd 10.15.17.255 scope global dynamic ens33
       valid_lft 85997sec preferred_lft 85997sec
    inet6 fe80::201:2eff:fe3d:d9a7/64 scope link
       valid_lft forever preferred_lft forever
3: tun0: <POINTOPOINT,MULTICAST,NOARP,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN group default qlen 100
    link/none
    inet 10.8.0.1/24 brd 10.8.0.255 scope global tun0
       valid_lft forever preferred_lft forever
    inet6 fe80::17e:ebda:9104:987d/64 scope link stable-privacy
       valid_lft forever preferred_lft forever

[Владислав]

Alf1990, очень странно, ведь во второй команде даже указывать сетевой интерфейс не нужно.
Попробуйте ещё раз выполнить команду, если не получится, то я не знаю что ещё подсказать.

[Alf1990]

Владислав Фурсов, Тоже самое даже ребутнул сервак(((

[Владислав]

Alf1990,
попробуйте
замените yours_wan_ip=101.23.3.1 и fwrd_ip=101.23.3.2 на своё

sysctl net.ipv4.ip_forward=1
yours_wan_ip=101.23.3.1
fwrd_ip=101.23.3.2
iptables -t nat  -A PREROUTING  -p tcp -m tcp -d $yours_wan_ip --dport 80 -j DNAT --to-destination $fwrd_ip:1194
iptables -A FORWARD -m state -p tcp -d $fwrd_ip --dport 1194 --state NEW,ESTABLISHED,RELATED -j ACCEPT
iptables -t nat -A POSTROUTING -t nat -p tcp -m tcp -s $fwrd_ip --sport 1194 -j SNAT --to-source $yours_wan_ip