Reverse Proxy

[psilo]

ist die smartvisu auf der ziel ip via http oder https erreichbar?

[psilo]

bei mir ist sie auf dem nas auch via https angebunden. ich vermute bei dir nicht

[psilo]

achja und der nginx laeuft sicher auf einer anderen kiste? sonst geht die weiterleitung auf https und 'sich selber' womoeglich wieder gg den nginx.. geht die smartvisu im lan?

[Max2612]

Weder im LAN, noch von extern ist die Visu erreichbar. Egal ob http oder https.

Nginx läuft auf dem gleichen Raspi wie smartvisu. Dann ist das vielleicht das Problem?
Ich habe schon einen 2. Raspi bestellt. Der sollte morgen kommen.

[psilo]

naja deine sv laeuft auf nem apache Webserver, der nginx ist ein eigener. die kommen vermutlich in konflikt. geht die sv wenn du nginx stoppst?

[psilo]

oder du richtest nginx mit php ein.. und hostest die sv dort

ich finde die 'physikalische' trennung aber generell sinnvoll...

[Max2612]

Apache ist gestoppt.
Das heißt, auf dem Raspi, wo die Visu drauf ist, kann der Apache bleiben?

[psilo]

je nachdem ob die visu unterm apache laeuft. ich nehme an das tut sie. wenn du den stoppst kann sie ja garnicht gehen..

starte den apache doch mit port 80 (ist er wahrsch. sowieso) und lass nginx auf 443. und aender die weiterleitung auf http. dann sollte es jetzt schon gehen

[Max2612]

OK, danke, alles klar.
Dann warte ich gleich auf morgen und richte alles auf 2 getrennten Systemen ein.

Raspi 1: Nginx
Raspi 2: sh und sv mit Apache

Nginx leitet auf http von Raspi2, richtig??

[psilo]

ja, wenn du kein lokales serverzertifikat auf raspi2 machst. die letsencrypt gehen nur auf dem raspi1. da das aber im lan ist reicht http auch...

[smai]

starte den apache doch mit port 80 (ist er wahrsch. sowieso) und lass nginx auf 443. und aender die weiterleitung auf http. dann sollte es jetzt schon gehen

Falls jemand meine Meinung hören will: Genau so würde ich es auch machen, wenn alles auf einem Gerät sein soll.

Auch bei getrennten Systemen kannst du innerhalb des LAN auf HTTPS verzichten, falls du keine internen Angriffe befürchten musst.

In beiden Fällen dann nach aussen im Router bzw. der Firewall natürlich nur Port 443 des nginx durchlassen.

[Max2612]

dann gab es da noch einen bug mit der konfiguration und dem smarthome_io treiber. ich weiss nicht, ob smai das inzwischen behoben hat? ich musste den 443er auch noch direkt in den driver reinschreiben

smai Kannst du dazu auch etwas sagen? Besteht der Bug im atktuellen Master noch?

Gruß,Max

[psilo]

im master gibt es nicht mal die neue konfigurations gui

[smai]

Der Bug im Config-GUI existiert im develop noch. Im master hat er hingegen, wie psilo schreibt, nie existiert.

[TCr82]

Hi, da ich das ganze mittlerweile mal mit apache2 nachgebaut habe, wollte ich euch damit auch erhellen - sicher kanns der ein oder andere gebrauchen.

        <IfModule mod_rewrite.c>
                RewriteEngine on

                <IfModule mod_proxy.c>

                ProxyPreserveHost On
                ProxyVia On

                # socket.io 1.0+ starts all connections with an HTTP polling request
                RewriteCond %{QUERY_STRING} transport=polling       [NC]
                RewriteRule /(.*)           http://localhost:2424/$1 [P]

                # When socket.io wants to initiate a WebSocket connection, it sends an
                # "upgrade: websocket" request that should be transferred to ws://
                RewriteCond %{HTTP:Upgrade} websocket               [NC]
                RewriteRule /(.*)           ws://localhost:2424/$1  [P]

                </IfModule>
        </IfModule>

        <Location />
                AuthName "Private"
                AuthType Basic
                AuthUserFile /etc/apache2/htpasswd
                Order allow,deny
                Require valid-user
                Allow from 192.168.0.0/16 2a02:XXXX:XXX:XXX::/64 fd00:XXXX:XXXX:XXXX::/64 fe80::/64
                Satisfy any
        </Location>

        <Location /public-folder>
                Satisfy any
        </Location>

Damit wird für den kompletten Webserver bei zugriffen von EXTERN ein Basic Auth geschalten, das MUSS natürlich über eine HTTPS Webseite laufen, damit es auch sicher ist (darauf will ich hier aber jetzt nicht eingehen). Die Interne Ausnahme ist mit dem "Allow from ..." realisiert. Die Ordner die auch ohne Basic-Auth abrufbar sein sollen, einfach wie hier mit dem /public-folder "freischalten".

Ich hab da mal an die anderen noch eine Frage, die das noch umgesetzt haben. Im Web-Backend von sh.ng sieh man als Client so leider nur localhost. Kann man das durch einen Header ändern? Oder müsste man dazu was an sh.ng anpassen?

Zu dem Trennen der Systeme kann ich für mich sagen - unnötig - weil es bringt auch nicht unbedingt mehr Sicherheit und frisst somit nur mehr Strom.

Gruß