当社はIT技術のオンライン教育を得意としたセミナー専門会社です。

ITエンジニアの技術力UPをお約束します。

Python3 Bottleフレームワーク入門(その13)- HTTP/2対応hproxで ReverseProxy SSL対応 & Bottle連携

Python3 Bottleフレームワーク入門(その13)- HTTP/2対応hproxで ReverseProxy SSL対応 & Bottle連携


最近は何かと話題のhttp/2対応のWEB接続がかなり増えてきました。オリジナルアプリケーションをフレームワークで作ったものをhttp2対応させる事もフレームワークのライブラリーに既に実装されているのもあり手軽になってきているとはいえ、まだまだ敷居が高いかもしれません。

今回は、非http2対応のウェブアプリをリバースプロキシーで簡単に対応させるサーバを紹介します。haskellベースのプロキシーですが簡単に構築できます。もちろん、Apache,nginx,h2o,Caddyでもできますができるだけ設定が単純なもので行きたいのでこれを使用しました。但しバーストのメモリ消費は多いみたいだ。

ソフトのダウンロード

hproxをgithubから取得します。

作成するとデフォルトで~/.local/bin/hproxにバイナリーが設置されます。.bashrcに環境変数PATHで追加登録しておきましょう。

使い方

Proxyサーバは8000番ポートでリッスン状態にします。http/2接続の場合は証明書は当然ですが必須です。h2オプションスイッチはありませんがSSL仕様にすると標準でhttp/2対応になるようになっています。証明書がなければ自動でhttp/1.1接続になります。後は末端にあるリバースプロキシー先のアプリサーバ設定を- -revで指定します。

ソースコード(test.py)

毎度のお決まりのソースコードですが。。。。python bottleのサーバで実験してみます。下記はシングルスレッドですが、実運用ではマルチスレッド対応のWSGIにしてpythonアプリサーバを動作させてください。

ブラウザーで確認するか、curlコマンドで確認してみましょう。

hproxの使えるオプション

このサーバはwebsocket接続のproxyにも対応しておりますので、- -wsで後方にあるwebsocketのサーバを指定すれば利用できます。



Python Bottle Framework入門 全13回
1.基礎編サーバ起動
2.リクエストメソッド
3.ORM Peewee (MySQL)
4.ORM Peewee CRUD
5.Cookie And Session
6.Abort and Redirect
7.マルチスレッドWEBサーバ
8.デーモン化
9.Json
10.WSGI on SSL
11.Apache連携起動(外部WSGI) SSL接続
12.Apache連携起動(ReverseProxy)SSL接続
13.hprox連携起動(ReverseProxy)SSL接続&HTTP2対応

合わせて読みたいPython MySQL操作関連

タグ: , , , , , ,

CentOS6/CentOS7 Apache2.4.17以降へアップグレードかつHTTP2対応 SSL&phpも考慮


CentOSはバージョン6,7ともレポジトリーISUを追加してhttp2対応が必要。CentOS7はApache2.4ではあるがマイナーバージョンがhttp2に対応していない。
尚更、CentOS6は対応できていない。Ubuntu/Debian系のLinuxなら比較的簡単に入れられるのでそこがCentOSの場合面倒なところ。ちなみに秋頃にリリースされたCentOS8はデフォルトでApache+php-fpmの組み合わせでhttp2仕様になっています。特にhttp2に対応するための特別な設定は不要です。

まず最初に現在使っているhttpd2.2.xのWEBサーバとphpを外す必要があるだろう。標準のものを使っている場合はremiの進んだバージョンのphpを使っている
場合もあるだろうが概ね下記のような感じで依存関係もチェックしながら外してゆく。その後にISUのレポジトリーを追加してhttp2対応のhttpd2.4を導入する。
このバージョンではmod_phpが古いhttpdでなければ動かないようなのでphpはfastCGIを使った方法に変更する。

現行環境の削除、レポジトリー追加とapache2.4(http2対応バージョン)+fastCGI導入

※httpd2対応のモジュールロード設定は/etc/httpd/conf.modules.d/00-base.confに追加されています。

プロセスをevent型に切り替える

httpd2対応にはhttpdプロセスのprefork型の動作では駄目です。event型に切り替える必要があります。

fastCGIの設定修正

mod_phpが使えないのでfastCGI経由でphpを動作させます。それにあたり基本設定の動作ユーザをapacheに切り替えます。

仮想サーバ設定にhttp2動作のためのデイレクティブ追加

eventモジュールのパラメータ設定

Apache2.4ではMaxClientsがMaxRequestWorkersに変わっています。

/etc/httpd/conf.dの配下にmpm_event.confのような名前で配置します

fastcgiのプロキシー設定

fastcgiとapacheをつなぐ設定です。これがないとphpが動きません。

proxyfcgi.confのような名前で/etc/httpd/conf.dに配置してください

サーバの起動

http2になっているかチェックする。

http2に対応していることがブラウザの検証ツールで確認できます。 またレスポンスヘッダーを見て確認する事もできます。

h2プロトコルの結果検証

PHPが使えなかったりhttp/1.1のままになっている方は何が原因?

それはopensslが古いままだからです。openssl1.0.2以降を使いましょう。あるいはapacheとphp-fpmの連携が噛み合っていない場合もありえます。phpのバージョンとphp-fpmのバージョンがマッチしてなかったりすることもあるので確認してみましょう。Apacheではfastcgiの連携にproxyを経由します。その設定が適切に行えてなければ連携できていません。なければ自分でproxyfcgi.confを仮想サーバディレクトリで作成して連携させてください。

タグ: , , , , , ,

DNS CAAレコード設置(サイト証明書を発行するSSL発行局の定義)でSSLの出処の信憑性を高める


ドメインに対して、DNSレコードで「CAA」を指定することはサーバー証明書の発行する認証局(CA)を認識させる手段となります。現状ではDNSの定義が無いから駄目というものではありませんが将来的にはあったほうが良いと思います。グーグルのアナウンスでは明確にビジョンを打ち出しているわけではありませんが、SSLの設定レベルを検知して評価する話もちらほら出ているのでSSL設定の良すぎることに越したことはないです。
下記に自分でDNSを設定しているなら簡単にレコードを作ってくれるサイトがあるので試してみてはいかがかな。

DNSのCAAレコード作成

DNS CAAのレコードを作成するサイトへ行き次のように設定してください。最初に対象のドメインを入力し次に認証局のキーワードを
入れると候補が出てくるのでそこから単体のドメインライセンスかワイルドカードライセンスかを選択すると下方にDNSレコードの定義が出てきます。
Enter Your Domain name Select Authorized Certificate

DNSのCAAレコードフォーマット

通常DNS CAAレコードは下記のような書式で定義を行います。

文法:www.example-test.net.      CAA    flag   tag   value
例:www.example-test.net.   CAA 0 issue   ”globalsign.com”

tag 各カラムの説明 value
issue サーバー証明書を発行許可する認証局の指定 “letsencrypt.org”などの認証局が指定している値
issuewild ワイルドカード証明書を発行する認証局を指定 “letsencrypt.org”などの認証局が指定している値
iodef CAA レコードの登録チェック後、証明書発行にトラブルがあった際に申請した事を通知する連絡先 mailto:example@example-test.net

タグ: , , , ,

Python3 Bottleフレームワーク入門(その12)- ReverseProxy方式 Bottle連携SSL Apache起動


前回の章ではWSGI方式で行ったが今回はRverseProxy方式のApache連携を紹介する。ReverseProxy方式は透過型のProxyで内部で動作しているhttp方式のWEBサーバをお手軽に安全にラッピングしてくれる方式である。内部サーバのコンテンツ作りに不安があるならこの方式が良いと思います。また、内部のシステムが簡単にhttpsに置き換えられないなら、この方法で強引に変更できれば簡単にすみますね!非常に便利なリバースプロキシーです

転送先内部サーバー

いつものごとくありがちなサンプルコード。127.0.0.1で設定しておくと更に安全な接続になります。ローカルホストは外部から接続できませんので。

Apacheのリバースプロキシー設定

ほんのすこしだけ手を加えればリバースプロキシーになります。ProxyPassとProxyPassReverseの箇所だけです。Proxy先のpythonサーバ&プログラムはマルチスレッド通信でなおかつスレッドセーフなコーディングになっていることが前提です。

リバースプロキシー起動

サイトにアクセスする例

/hello/の後に任意の文字列を入れてください。ページボディに表示されます。

尚、予めテストサーバにIPアドレスを割り当て名前をWindowsのHostsに登録しておけば下記のように名前ベースのホスト名で実験ができます。



Python Bottle Framework入門 全13回
1.基礎編サーバ起動
2.リクエストメソッド
3.ORM Peewee (MySQL)
4.ORM Peewee CRUD
5.Cookie And Session
6.Abort and Redirect
7.マルチスレッドWEBサーバ
8.デーモン化
9.Json
10.WSGI on SSL
11.Apache連携起動(外部WSGI) SSL接続
12.Apache連携起動(ReverseProxy)SSL接続
13.hprox連携起動(ReverseProxy)SSL接続&HTTP2対応

合わせて読みたいPython MySQL操作関連

タグ: , , , , ,

SSLの設定品質をチェックする方法


7月24日の新バージョンchrome ver68リリースに向けて市場ではSSL化の対応が活発だ。一方でSSL化すればそれで終わりと思っている人も多いようだが現実はそうは甘くはない。どんなに高価なSSL証明書を購入してもサーバの設定が悪ければ台無しなのだ。

おすすめのSSLの品質をチェックするサイト

Qualysの「SSL Server Test」はおすすめです

SSL品質評価サイト

チェックした結果のサンプル

下記は当社の評価した結果ですが良好で「A+」でした。まだまだ真剣に設定すればよくできると思う。(笑

今まで相談されてチェックしてみると平均してBとかFが多かった。安い共用サーバとかだと大体CとかDが多く、そこそこいい値段の共用サーバでBのあたりが多い。自前の専用サーバだとBとかFが多いように思う。多分デフォルトのSSLサーバ設定はそんなものなのだろう。Linuxディストリビューションとレポジトリ等に依存するので。

Linuxコマンドラインで簡単にできるSSLのレベル&バージョンチェックの簡易方法をご紹介

上記のようなサイトで詳細に調べるのもよいが、まずはcurlコマンドで簡単にコンテンツ取得テストしてみるのが繰り返し改善する場合のチェックとして良い。現在SSLv3とSSLv2は危険とされ使わない事を推奨されている。

-kはある程度危険な証明書でも通信する。例えばオレオレ証明書等 -vはverboseモードで詳しく情報出力 -sは無駄な情報出力を省いた形式で出力

タグ: , ,

1 2