Johan LEROY
9ee0de9d55
Trois environnements et un frontal SNI au lieu de deux, certificats Let's Encrypt par DNS-01, sept DAGs, index des ADR complété jusqu'à 0020. Les exemples de l'ETL passent en bash et n'utilisent plus l'option --limit, retirée. L'adresse de la machine est masquée dans l'arbre, les ADR 0009 et 0014 portent une note datée sur l'approbation de la production.
5.9 KiB
Reverse proxy
Terminaison TLS et routage de la stack déployée. Sur un poste, seul composant publié sur le
réseau : il écoute en 80 et 443, et rien d'autre ne sort du réseau Compose. Sur la VM, il
n'écoute plus que sur 127.0.0.1, derrière le frontal SNI infra/front, seul composant exposé
(ADR 0018).
nginx.conf: blochttp, journalisation, compression, zones de limitation de débit.conf.d/enervision.conf: redirection 80 vers 443, terminaison TLS, en-têtes de sécurité, routage.tls/: les deux fichiers que nginx lit,fullchain.pemetprivkey.pem. Ignorés par git.acme-deploy-hook.sh: recopie le résultat de certbot danstls/.
Pas de Dockerfile : l'image officielle nginx:1.31-alpine est utilisée telle quelle et la
configuration est montée en volume par docker-compose.prod.yml.
L'overlay emploie les marqueurs !override et !reset, qui demandent Docker Compose 2.24.4
ou plus récent. Sur une version antérieure, la fusion échoue au lieu de dépublier les ports.
Les ports publiés sont PROXY_HTTP_PORT, PROXY_HTTPS_PORT et PROXY_FRONT_PORT, 80, 443 et un
port aléatoire de la boucle locale par défaut. Sur la VM, trois environnements partagent la
machine (ADR 0009,
ADR 0017) : scripts/provision-host.sh
place les ports de chaque proxy sur 127.0.0.1 (HTTPS en 10443, 8443 et 9443 pour la production,
la recette et le dev), et le frontal aiguille chaque nom vers le sien. Les URL publiques n'ont
donc plus de port, et PUBLIC_ORIGIN vaut https:// suivi du nom de l'environnement.
Routage
| Chemin | Destination | Remarque |
|---|---|---|
/.well-known/acme-challenge/ |
/var/www/certbot sur le port 80 |
Seul chemin non redirigé vers HTTPS |
/api/v1/auth/ + login, password, forgot-password, reset-password |
backend:8000 |
Zone resserrée, 30 requêtes par minute |
/api/ |
backend:8000 |
Préfixe /api/v1 préservé tel quel, 20 requêtes par seconde |
/ |
frontend:3000 |
Le SPA, qui renvoie index.html sur les routes inconnues |
La zone resserrée ne couvre que les routes qui vérifient un secret. /auth/me et /auth/refresh
partent à chaque chargement de page et restent dans la zone générale : derrière un NAT, où une
seule adresse porte tous les postes, les y soumettre aurait produit des 429 en usage normal.
L'interface Airflow, celle de Mailpit et la base ne passent pas par le proxy : l'overlay les
ramène sur 127.0.0.1, donc joignables par tunnel SSH et pas autrement. Les publier derrière le
proxy demanderait une authentification propre, qui n'est pas la leur.
/docs, /redoc, /openapi.json, /static et /metrics sont montés par l'API à la racine,
pas sous /api. Ils tombent donc dans location /, donc sur le SPA : ils ne sont pas joignables
depuis l'extérieur, sans qu'aucune règle de blocage ait à être écrite. Y toucher, c'est les
exposer.
Certificat : deux modes, un seul emplacement
nginx lit toujours tls/fullchain.pem et tls/privkey.pem. Seule leur fabrication change, la
configuration n'a jamais à bouger.
Démonstration, certificat auto-signé
make tls-selfsigned PUBLIC_HOST=enervision.local
make stack-up
Le navigateur avertira d'un émetteur inconnu : c'est attendu. C'est le mode du poste de développement et des tests e2e ; la VM utilise Let's Encrypt par DNS-01 (plus bas).
Let's Encrypt
Le défi HTTP-01 exige un nom de domaine résolvable publiquement et le port 80 joignable depuis Internet. La VM de l'école ne remplit ni l'une ni l'autre condition : ce chemin reste livré pour une machine publique, et n'a pas été exercé. La VM passe par DNS-01 (section suivante).
make stack-up # nginx doit tourner pour servir le défi
make tls-acme PUBLIC_HOST=enervision.fr ACME_EMAIL=ops@enervision.fr
Renouvellement, à passer en tâche planifiée sur la machine :
17 3 * * * cd /srv/enervision && make tls-renew >> /var/log/enervision-tls.log 2>&1
Let's Encrypt par DNS-01, le mode de la VM
La VM n'a qu'une IP privée : le défi HTTP-01 y est impossible. Ses trois noms sont chez dynv6, dont l'API pose l'enregistrement TXT du défi DNS-01, et acme.sh le fait sans rien ouvrir (ADR 0018).
make tls-dns01 # PUBLIC_HOST lu dans .env, jeton dans ../dns.token (600)
Autre fournisseur : DNS01_API et DNS01_JETON_VAR nomment le greffon acme.sh et sa variable
(dns_cf et CF_Token pour Cloudflare, par exemple). La cible est rejouable : acme.sh ne renouvelle qu'à trente jours de l'échéance, installe le
résultat dans tls/ et recharge le proxy s'il tourne. Son état vit dans acme/, ignoré par git.
deploy.yml la rejoue avant chaque make stack-up, et /etc/cron.d/enervision-tls chaque nuit.
Écouteur PROXY protocol
Sur la VM, le frontal infra/front relaie les connexions TLS sans les déchiffrer. Reçues sur
443, elles porteraient son adresse, et limit_req comme get_client_ip() compteraient tous les
postes comme un seul. Le port 4443 ne les accepte qu'avec l'en-tête PROXY protocol, d'où
real_ip_header proxy_protocol tire l'IP du client ; seules les adresses des réseaux Docker ont
le droit de l'annoncer, et le port n'est publié que sur 127.0.0.1 (PROXY_FRONT_PORT).
Vérifier la configuration sans démarrer la stack
nginx -t charge les certificats : tls/ doit être rempli, par make tls-selfsigned au besoin.
docker run --rm \
-v "$PWD/infra/proxy/nginx.conf:/etc/nginx/nginx.conf:ro" \
-v "$PWD/infra/proxy/conf.d:/etc/nginx/conf.d:ro" \
-v "$PWD/infra/proxy/tls:/etc/nginx/tls:ro" \
nginx:1.31-alpine nginx -t
Monter infra/proxy/ entier sur /etc/nginx échouerait : mime.types vient de l'image.