反向代理

“反向代理 JumpServer 要求说明”

  1. - rdp 协议复制粘贴需要部署可信任的 ssl 证书。
  2. - 通过 https 协议访问就能在 rdp 资产里面使用复制粘贴。
  3. - 遵循 [Mozilla SSL Configuration Generator](https://ssl-config.mozilla.org/){:target="_blank"} 建议。

1 Nginx SSL 部署

“请准备好 ssl 证书 (注意需要使用 pem 格式证书)”

  1. - 将证书放到 /opt/jumpserver/config/nginx/cert 里面。
  2. - 修改配置文件前需要先关闭 JumpServer 服务。
  1. ```sh
  2. # 关闭 JumpServer 服务
  3. ./jmsctl.sh stop
  4. ```
  5. ```sh
  6. # 编辑 JumpServer 主配置文件
  7. vi /opt/jumpserver/config/config.txt
  8. ```
  9. ```vim
  10. ...
  12. ## Nginx 配置
  13. HTTP_PORT=80
  14. SSH_PORT=2222
  15. RDP_PORT=3389
  17. ## HTTPS 配置
  18. HTTPS_PORT=443               # 对外 https 端口, 默认 443
  19. SERVER_NAME=www.domain.com   # 你的 https 域名
  20. SSL_CERTIFICATE=xxx.pem      # /opt/jumpserver/config/nginx/cert 目录下你的证书文件
  21. SSL_CERTIFICATE_KEY=xxx.key  # /opt/jumpserver/config/nginx/cert 目录下你的 key 文件
  22. ```
  23. ```sh
  24. # 启动 JumpServer 服务
  25. ./jmsctl.sh start
  26. ```

“如果需要自定义 Nginx 配置文件, 可以参考此处”

  1. ```sh
  2. vi /opt/jumpserver/config/nginx/lb_http_server.conf
  3. ```
  4. ```nginx hl_lines="10 16 18-19 25 29"
  5. # Todo: May be can auto discovery
  6. upstream http_server {
  7.   sticky name=jms_route;
  8.   server web:80;
  9.   # server HOST2:80;  # 多节点
  10. }
  1. server {
  2.   listen 80;
  3.   server_name demo.jumpserver.org;  # 自行修改成你自己的域名
  4.   return 301 https://$server_name$request_uri;
  5. }
  7. server {
  8.   listen 443 ssl http2;
  9.   server_name demo.jumpserver.org;      # 自行修改成你自己的域名
  10.   server_tokens off;
  11.   ssl_certificate cert/server.crt;      # 修改 server.crt 为你的证书 (pem, crt 格式均可), 不要改路径 certs/
  12.   ssl_certificate_key cert/server.key;  # 修改 server.crt 为你的证书密钥文件, 不要改路径 certs/
  13.   ssl_session_timeout 1d;
  14.   ssl_session_cache shared:MozSSL:10m;
  15.   ssl_session_tickets off;
  16.   ssl_protocols TLSv1.1 TLSv1.2;
  18.   ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384;
  19.   ssl_prefer_server_ciphers off;
  20.   add_header Strict-Transport-Security "max-age=63072000" always;
  22.   client_max_body_size 5000m;  # 上传文件大小限制
  24.   location / {
  25.     proxy_pass http://http_server;
  26.     proxy_buffering off;
  27.     proxy_request_buffering off;
  28.     proxy_http_version 1.1;
  29.     proxy_set_header Host $host;
  30.     proxy_set_header Upgrade $http_upgrade;
  31.     proxy_set_header Connection $http_connection;
  32.     proxy_set_header X-Forwarded-For $remote_addr;
  34.     proxy_ignore_client_abort on;
  35.     proxy_connect_timeout 600;
  36.     proxy_send_timeout 600;
  37.     proxy_read_timeout 600;
  38.     send_timeout 6000;
  39.   }
  40. }
  41. ```

2 多层 Nginx 反向代理

“提示”

  1. - 适合上层还有统一对外出口的反向代理服务器
  2. - 属于多层 nginx 反向代理
  3. - 每一层都需要设置 websocket 长连接
  1. ```sh
  2. # 编辑配置文件
  3. vi /etc/nginx/conf.d/jumpserver.conf
  4. ```
  5. ```vim hl_lines="4 6 10"
  6. server {
  8.     listen 80;
  9.     server_name demo.jumpserver.org;  # 自行修改成你的域名
  11.     client_max_body_size 4096m;  # 上传文件大小限制
  13.     location / {
  14.             # 这里的 ip 是后端 JumpServer nginx 的 ip
  15.             proxy_pass http://192.168.244.144;
  16.             proxy_http_version 1.1;
  17.             proxy_buffering off;
  18.             proxy_request_buffering off;
  19.             proxy_set_header Upgrade $http_upgrade;
  20.             proxy_set_header Connection "upgrade";
  21.             proxy_set_header Host $host;
  22.             proxy_set_header X-Forwarded-For $remote_addr;
  23.     }
  24. }
  25. ```

“推荐部署 ssl 使用更安全的 https 协议访问”

  1. - 遵循 [Mozilla SSL Configuration Generator](https://ssl-config.mozilla.org/) 建议。
  1. ```vim hl_lines="3 8-10 13 18 21"
  2. server {
  3.     listen 80;
  4.     server_name demo.jumpserver.org;  # 自行修改成你的域名
  5.     return 301 https://$server_name$request_uri;
  6. }
  7. server {
  8.     listen 443 ssl http2;
  9.     server_name          demo.jumpserver.org;  # 自行修改成你的域名
  10.     ssl_certificate      sslkey/1_jumpserver.org_bundle.crt;  # 自行设置证书
  11.     ssl_certificate_key  sslkey/2_jumpserver.org_bundle.key;  # 自行设置证书
  12.     ssl_session_timeout 1d;
  13.     ssl_session_cache shared:MozSSL:10m;
  14.     ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384;
  15.     ssl_prefer_server_ciphers off;
  16.     ssl_protocols TLSv1.1 TLSv1.2;
  17.     add_header Strict-Transport-Security "max-age=63072000" always;
  19.     client_max_body_size 4096m;  # 录像及文件上传大小限制
  20.     location / {
  21.         # 这里的 ip 是后端 JumpServer nginx 的 ip
  22.         proxy_pass http://192.168.244.144;
  23.         proxy_http_version 1.1;
  24.         proxy_buffering off;
  25.         proxy_request_buffering off;
  26.         proxy_set_header Upgrade $http_upgrade;
  27.         proxy_set_header Connection "upgrade";
  28.         proxy_set_header Host $host;
  29.         proxy_set_header X-Forwarded-For $remote_addr;
  30.     }
  31. }
  32. ```

3 其他 SLB

“提示”

  1. - 需要注意 websocket 长连接设置即可。
  2. - 需要注意 session 问题。