Bonsoir à tous, Je souhaiterais que les utilisateurs ne puissent avoir l'accès au site que par le sous domaine Exemple https://plex.domain.ltd et non par https://ip:32400/web Est ce possible par iptables ou config vhost nginx ? Merci

laster13 Bonsoir; Pourquoi au fait ? Avec ton domaine, quiconque peut obtenir ton ip: -via nslookup ou -via un site de ce genre; http://www.hcidata.info/host2ip.htm Edit: Sinon un haproxy avec en frontend, avec les bons filtres de redirection vers le backend, et là pas de connexion/ip

jean-luc Pas faux, mais je supposais probablement à tort qu en terme de sécurité il valait mieux cibler avec le domaine Plutot qu avec l IP. C est pas le cas ?

C'est à mon avis plus une histoire de confort que de sécurité 🙂

Bonjour, C'est difficile de te répondre si tu ne précises pas si on parle de serveur local ou distant ? Dans tous les cas pour moi ça passe par les dns et pas autre chose.

Merci pour vos réponses. Effectivement mon serveur est chez SYS, mon nom de domaine chez gandi avec leurs propres DNS

Salut Si t'as pas de conf par défaut dans un de tes vhost, genre ça qui se balade: server { ... server_name _; mais un: server { ... server_name plex.domain.ltd; nginx devrait pas répondre sur un https://ip:32400/web je pense. Après j'ai peut-être loupé un truc sur la question, c'est possible ^^ Ex. edit: naan je crois que je dis une grosse connerie là 😃

Comme l'a dit [inconnu] Si tu mets un block server du genre serveur { # ... le débit de ton bloc server_name _; return 404; # ... la fin de ton bloc } Quelqu'un qui tape ton adresse IP (ou un bot) sera dirigé vers ta page d'erreur 404. Fais un block pour le port 80 et le 443 et ça devrait être bon.

Comme l'a dit @ex_rat , essaye un truc du genre : server { listen 32400; server_name _; return 404; } Et après, tu mets ton bloc serveur avec ton sous domaine plex. Faut voir si ça bloque pas complétement plex, vu que tu va écouter un port qui est utilisé par un autre programme....mais ça me semble être une solution.

N'autoriser l'accés au site que par le sous domaine et non avec l'IP : Page 2

Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

N'autoriser l'accés au site que par le sous domaine et non avec l'IP

Aeryax

laster13

Salut,

Dans la config de plex, voir si c'est possible de le faire écouter que sur 127.0.0.1 (si pas possible, bloquer le port avec iptables)

Dans nginx, faire un vhost collecteur avec server_name _;

et un autre vhost pour plex plex.domain.ltd comme dit par ex_rat
et ce vhost fait un office de reverse proxy vers plex 127.0.0.1:32400

Voilà comment je ferais de mon côté, avec en plus, un petit cert letsencrypt/config ssl sur le vhost de plex 😉

laster13

Merci à vous tous pour ces infos. Je vais de mon côté tester des que possible. Je viendrai faire un retour

laster13

Effectivement n'ayant pas trouvé de solution pour le faire écouter sur le 127.0.0.1 j'ai simplement bloqué le port 32400 dans iptables du coup ca répond totalement à ma demande ( sans mettre de vhost collecteur )

En clair les accès suivants
https://ip:32400 -----> ne fonctionne pas
https://plex.domain.ltd -------> fonctionne

Mon vhost

server {
  listen 443 ssl http2;
  server_name plex.domain.ltd;

  ssl_certificate /etc/letsencrypt/live/mail.domain.ltd/fullchain.pem;
  ssl_certificate_key /etc/letsencrypt/live/mail.domain.ltd/privkey.pem;
  

  include /etc/nginx/conf/headers_params;

  location / {
    proxy_pass http://127.0.0.1:32400;
    include /etc/nginx/conf/proxy_params;
  }
}

jusque là parfait sauf que l'accès par l'appli Android ne fonctionne plus, la chromecast également ce qui pose problème pour la lecture sur la télé

myxomatom

Ça veut dire que tu ne peux pas bloquer la connexion par le port (et sûrement pas par l'IP non plus) parce que c'est comme ça que se connectent les appli plex (ce qui est assez logique vu que tu ne paramètres nul part ton nom de domaine dans plex, donc les appli ne peuvent pas le connaître).

laster13

myxomatom Exact, du coup question que je me pose, n'y a t-il pas une possibilité de bloquer l'IP que pour nginx dans iptables sans que cela est un impact sur le domaine ? J'ai essayé avec le vhost collecteur avec les exemples au dessus mais sans succès à moins que je ne m'y sois mal pris.

Ikoula

Bonjour,

Mais je comprend pas la difficulté du truc là ><
Tu fais pointer ton nom de domaine vers ta machine et tu mets un htaccess à la racine qui redirige vers ce que tu veux et si t'as besoin que ça soit transparent ya des options pour ça.
Si tu veux absolument toucher à la conf du vhost tu dois pouvoir aussi le faire avec une rewrite rule (RewriteCond %...Va voir cette page https://httpd.apache.org/docs/2.2/fr/mod/mod_rewrite.html) mais ne cherche pas à bidouiller dans iptables tu vas perdre du temps et éventuellement te créer des problèmes 🙂

laster13

Ikoula Merci Ikoula mais je pensais que le fichier htaccess concernait apache, je suis sous nginx. Par ailleurs pour mieux situer la difficulté, cette adresse https://ip:32400 n'est pas géré par nginx, en clair même si je stop nginx cela fonctionne, tout comme sickrage, couch, sab et autre. Du coup me semble t-il, une redirection dans le vhost ne sert à rien.

En considérant que je mette une authentification dans le vhost de plex

auth_basic "seedbox";
auth_basic_user_file "/etc/nginx/passwd/rutorrent_passwd";

Si un utilisateur se connecte avec l'IP, l'authentification ne fonctionne pas et du coup non protégé par fail2ban

Aeryax

Je ne connais pas Plex, est-ce vraiment pas possible de configurer le port sur les applications clientes (app android etc..) ?

En regardant rapidement sur google, j'ai trouvé cette documentation (concernant le serveur) : https://support.plex.tv/hc/en-us/articles/201105343-Advanced-Hidden-Server-Settings

A priori il est possible de :
-whitelist les accès : allowedNetworks
-modifier le port : ManualPortMappingPort

Bien que ça soit des options cachées, ça me paraît bizarre que l'on puisse changer le port du serveur sans que ça soit possible sur le client. Peut-être dans une config cachée sur les apps aussi ?

jean-luc

Salut;
Beaucoup d'applications de ce type embarquent leur propre serveur web : plex, webmin, etc...

Donc bien sur tu fais un reverse avec nginx vers le serveur web de plex, mais ce dernier reste néanmoins joignable via le 32400, et je n'ai jamais trouvé le moyen de faire un listen sur le 127.0.0.0 uniquement (webmin on y arrive, mais pas plex).

Et de plus, si tu bloques ce port vers l'extérieur via iptables ou en trouvant le moyen de le faire écouter qu'en local uniquement, certaines applications ne fonctionneront pas car plex veut impérativement pouvoir communiquer avec son papa (serveurs de chez plex).

Donc je ne pense pas qu'il y ait de solutions pour empêcher ceci du moins si tu veux garder toutes les possibilités de plex disponibles.

A++

laster13

jean-luc Effectivement j en arrive à la même conclusion que toi. Merci pour cette synthèse très claire

jean-luc

laster13

Par contre pour fail2ban, tu peux essayer de te connecter à plex via ip;32400 avec un mauvais login bon mdp, puis ensuite le bon login et mauvais mdp; ensuite regarder dans les logs propre à plex et repérer les lignes relatant ces erreurs de connexion.
Ensuite grâce à ces lignes; créer ton propre filtre avec les regex issus de ces lignes.

Fail2ban peut contrôler des logs autres que ceux habituellement utilisés (nginx, apache , ssh, etc..); suffit de créer ses propres règles et filtres vers les logs et port de cette application exotique.

laster13

jean-luc Merci, très intéressant en effet je vais me pencher la dessus 🙂

Ikoula

Bonjour,

Je vais m'obstiner, je voie pas pourquoi tu pourrais pas ...
Admettons que tu ai réservé un nom de domaine et qu'il pointe vers ton serveur, quel est le service web de ta machine qui va gérer la requête lorsqu'on entre ce nom de domaine dans un navigateur ?

laster13

Ikoula Bonjour,

J'utilise nginx, par contre plex utilise son propre serveur web d'ou la difficulté. Si j arrivais à court-circuiter le serveur web de Plex, tout serait parfait et tout passerait par nginx avec les certificats et en sous domaine

Édit: En clair je souhaiterai bloquer l accès géré par le serveur web de Plex
IP:32400

lxr

Ma conf NGINX pour faire plex.NDD.fr

upstream plex-upstream {
        # change plex-server.example.com:32400 to the hostname:port of your plex server.
        # this can be "localhost:32400", for instance, if Plex is running on the same server as nginx.
        server localhost:32400;
}

server {
        listen 80;

    # server names for this server.
    # any requests that come in that match any these names will use the proxy.
    server_name
            plex.ndd.fr;

    error_page 497  https://$host:$server_port$request_uri;

    # this is where everything cool happens (you probably don't need to change anything here):
    location / {
            # if a request to / comes in, 301 redirect to the main plex page.
            # but only if it doesn't contain the X-Plex-Device-Name header
            # this fixes a bug where you get permission issues when accessing the web dashboard
            if ($http_x_plex_device_name = '') {
                    rewrite ^/$ http://$http_host/web/index.html;
            }

            # include Host header
            proxy_set_header Host $http_host;

            # set some headers and proxy stuff.
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            proxy_redirect off;

            #extra options
            proxy_buffering off;
            proxy_next_upstream error timeout invalid_header http_500 http_502 http_503 http_504;

            ## Required for Websockets only
            proxy_http_version 1.1;
            proxy_set_header        Upgrade         $http_upgrade;
            proxy_set_header        Connection      "upgrade";
            proxy_read_timeout      36000s;  ## Timeout after 10 hours

            # proxy request to plex server
            proxy_pass http://plex-upstream;
    }
}

Après le 32400 doit être accessible de l'extérieur pour être utilisé par les appli plex il me semble

laster13

lxr Super j essaie ce vhost des que je rentre du boulot. Est ce qu il empêche la connections via IP:32400 ?

jean-luc

laster13
Salut;

st ce qu il empêche la connections via IP:32400

Tu avais déjà la réponse en bas de son post:

lxr :
Après le 32400 doit être accessible de l'extérieur pour être utilisé par les appli plex il me semble

Tout comme je te l'avais déjà dis + haut :

Donc je ne pense pas qu'il y ait de solutions pour empêcher ceci du moins si tu veux garder toutes les possibilités de plex disponibles.

« Page précédente