firewall très strict et port inhabituel pour conteneur docker

Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

firewall très strict et port inhabituel pour conteneur docker

Laclos

Bonjour à tous,

Le firewall de mon travail est devenu aujourd'hui tres strict. Or j'ai reussi à monter, sur mon dedié, un agenda radicale avec l'interface web infcloud dans un conteneur docker. J'ai transféré mon agenda pro sur mon radicale et c'est bcp plus simple... or la sortie du conteneur est sur le port 5001 car le port 80 est pris par un apache...

Grosse surprise aujourd'hui de voir que le port 5001 est bloqué et que du coup mon agenda est inaccessible et que surtout je n'ai pas envie de retourner sur google agenda...

J'ai tenté chez mon fournisseur de dns (ovh) de faire une redirection transparente, or cela ne semble pas fonctionner...

Avez vous une solution ? car tout est sur docker chez moi... comme mon rainloop...

merci
bien à vous

ps : j'ai pensé au conteneur de wonderfall : boring-nginx avec son outil : "docker exec -ti nginx ngxproxy"... mais je ne sais pas trop comment configurer le proxy avec la config de mon agenda que voici : docker run -d --name infcloud -p 5001:80 -p 5232:5232 -v /home/infcloud:/etc/radicale/collections alpine-infcloud

Laclos

Bonsoir il y a un réponse un peu plus bas dans cette section du forum... mais le reverse-proxy c'est un peu compliqué pour moi.. si une âme généreuse pouvais me l'expliquer simplement à partir de ma ligne de config ca serai super... et voir surtout si cela peut régler mon problème de firewall...

merci.
bien à vous.

Laclos

Résolu (enfin je crois)

Tout est bloqué sauf le 80 et le 443.

Du coup changement du port de ssh sur mon serveur vers le 443.

et simple tunnel ssh !

(je confirme demain si cela fonctionne).

Bien à vous.

Malakai

Pour le reverse sous apache, si je me souviens bien ca doit etre quelque chose du genre a mettre dans le fichier de conf (il faudra penser a activer mod_proxy si c'est pas deja fait) :

ProxyPass "/agenda" "http://127.0.0.1:5001"
ProxyPassReverse "/agenda" "http://127.0.0.1:5001"

C'est a dire que lorsque tu te connectera a http://tondomaine.fr/agenda la demande sera redirigee par apache vers http://127.0.0.1:5001 (127.0.0.1 etant ton localhost sur le port 5001, celui sur lequel ecoute ton docker). Je vois que tu as un second port de mapper dans ton docker (5232) mais faut voir a quoi il sert (je connais pas l'application que tu fais tourner).

Un inconvenient a ce systeme est que dans les logs de ton application, toutes les connections sembleront venir de 127.0.0.1 (ton apache) du coup pour identifier les connexions non legitimes ce sera plutot au niveau des logs d'apache.

Sinon, tu peux effectivement faire un tunnel ssh sur le port 443, ca devrait marcher en theorie (ca depend si la restriction est uniquement au niveau du port, ou si une verification plus en profondeur est faite).

ryrcass

Malakai Un inconvenient a ce systeme est que dans les logs de ton application, toutes les connections sembleront venir de 127.0.0.1 (ton apache) du coup pour identifier les connexions non legitimes ce sera plutot au niveau des logs d'apache.

pour préserver l'IP d'origine:
"ProxyPreserveHost on"

Malakai

ryrcass T'es sur? Je viens de regarder ici et moi je comprends autre chose.
Pour moi cette directive permet de transmettre le domain.tld demande au proxy vers le serveur "derriere".
Je sais pas si c'est clair, avec un exemple ce sera mieux.
J'ai les directives suivantes dans la conf de mon apache :

ProxyPass "/test" "http://domain2.tld"
ProxyPassReverse "/test" "http://domain2.tld"

Le client va demander "domain1.tld/test" et apache va rediriger vers "domain2.tld". Sans la directive "ProxyPreserveHost" d'activee, le domaine sur lequel se fait la requete sur le serveur "final" est "domain2.tld" alors qu'avec la directive d'activee, le proxy apache va egalement transmettre le host "domaine1.tld".
Apres, je suis pas 100% sur, j'ai peut etre mal compris.

ryrcass

Malakai
Tu as raison, c'est moi qui me suis trompé, désolé
Pour avoir les bonnes ip dans les logs, il faut:
installer "rpaf" sur le serveur cible (celui derrière le proxy)

               apt-get install libapache2-mod-rpaf

Configurer le virtualhost pour utiliser rpaf en ajoutant ceci:

               RPAFenable On
               RPAFsethostname On
               RPAFproxy_ips IP.DE.TON.PROXY

et sur le proxy, il faut dans le virtualhost:

                ProxyRequests Off
                ProxyPreserveHost On
                ProxyPass /users http://www.
                ProxyPassReverse /users http://www.

Testé ce matin, ça fonctionne pour les logs et pour un filtrage par ip