Reverse proxy – essentieel voor veiligheid

Om afzonderlijke modules van de Apache reverse proxyfunctie te activeren gebruik je het commando a2enmod. Modules die al zijn geactiveerd, kunnen met a2dismod worden gedeactiveerd. Voor het maken van een eenvoudige reverse proxy voor een downstream webserver volstaat het om mod_proxy en mod_proxy_http te laden:

sudo a2enmod proxy
sudo a2enmod proxy_http

Nadat de module is geactiveerd, moet de Apache reverse proxy HTTP-server opnieuw worden opgestart:

Om te zorgen dat de reverse proxy aanvragen van internet kan ontvangen en kan doorsturen naar de juiste server in het lokale netwerk moet het configuratiebestand 000-default.conf in de map /etc/apache2/sites-enabled worden gedeactiveerd en worden vervangen door een virtual host bestand, zoals voorbeeld.conf. Het is raadzaam om voor elke doelserver met een eigen IP een apart virtual host bestand te maken volgens onderstaand schema:

<VirtualHost *:80>
        ServerName domain.tld
         ServerAlias www.domain.tld
         ProxyRequests Off
         ProxyPass / http://123.456.7.89/
         ProxyPassReverse / http://123.456.7.89/
</VirtualHost>

Instructies voor de proxyfunctie worden gedefinieerd binnen de directive <VirtualHost>. De starttag bevat tevens het IP-adres inclusief poortnummer waarop Apache, geconfigureerd als reverse proxy, moet luisteren voor aanvragen. Wanneer alle IP-adressen daarbij zijn betrokken, wordt de tijdelijke aanduiding * zoals in het voorbeeld gebruikt. Aanduidingen binnen de VirtualHost-tags worden tevens aangegeven in de vorm van directives. In tegenstelling tot de VirtualHost-tag specificeren deze argumenten hoe inkomende aanvragen en antwoordpakketten moeten worden bewerkt. Vooral de directives ServerName, ProxyPass en ReversePass zijn daarbij essentieel.

• ServerName: de directive ServerName definieert onder welke primaire naam een server bereikbaar is op internet. Die moet via DNS of /etc/hosts oplosbaar (resolvable) zijn. In het voorbeeld wordt de Apache server opgedragen om alle aanvragen aan domain.tld te accepteren.
• ProxyPass: de directive ProxyPass definieert het doeladres voor een redirect. Alle aanvragen die zich richten tot het publieke adres dat onder ServerName is gespecificeerd, worden door de reverse proxy doorgestuurd naar het interne adres dat is gespecificeerd in het argument van de directive ProxyPass. In het voorbeeld zou dat het fictieve IP 123.456.7.89 zijn.
• ProxyPassReverse: een reverse proxyserver ontvangt niet alleen aanvragen, maar stuurt ook antwoordpakketten door van de backend server naar de clients. Om te voorkomen dat deze antwoorden met verkeerde headerinformatie (namelijk die van de server op de achtergrond) worden afgeleverd, herschrijft de directive ProxyPassReverse de header van de serverantwoorden zo dat ze matchen met de reverse proxyserver. De backend server blijft zodoende anoniem.  

Daarnaast zijn er twee andere directives in het voorbeeld: ServerAlias en ProxyRequests. Deze hebben geen basisfunctie voor de reverse proxyserver en zijn dus optioneel.

• ServerAlias: met de directive ServerAlias kun je naast de primaire servernaam een alternatieve naam voor de doelserver definiëren.
• ProxyRequest: de directive ProxyRequests met het argument Off voorkomt dat de Apache reverse proxy HTTP-server wordt gebruikt als forward proxy ter preventie van mogelijk misbruik.

Als de regels voor de proxyfunctie zijn gedefinieerd, moet de configuratie worden geactiveerd via de terminal:

sudo a2ensite voorbeeld.conf

De Apache reverse proxy HTTP-server accepteert nu alle aanvragen aan domain.tld of www.domain.tld en stuurt die door in de vorm van proxy requests aan een backend server met het IP 123.456.7.89/.