Unifi CloudKey hinter Apache Reverse Proxy

Mich würde als erstes Interessieren warum du das möchtest? VPN oder Remote Access gibt es doch schon. Warum die Seite ins Netz stellen?

Wie jkasten schon anmerkt, solltest du es dir 10x überlegen Geräte ins öffentliche Netz zu hängen.

Eine übersehene Sicherheitslücke und das Gerät ist gekapert und mit diesem durchaus auch dein ganzes Netzwerk.

Wenn du Glück hast, ist was kaputt und du merkst es. Mit Pech wird dein Equipment für DDoS/Spammaschinen etc. missbraucht und das merkt du nicht.

VPN ist die beste Option, ob bequem auf interne Geräte zugreifen zu können.

Mit Wireguard sogar ganz angenehm: Aktiviert sich, sobald du aus deinem Heimnetz bist und kannst die Verbindung auch auf deine Wunschgeräte begrenzen.

Der Reverseproxy ist auch nur ein Relay, dass man benötigt um zwingend notwendige öffentliche Seiten anzubieten, wie einen Webserver oder sowas wie Exchange.

Aber auch das hilft nichts bei unbekannten Schwachstellen wie beispielsweise den Json Angriff auf den Autodiscover vom Exchange.

Man kann na- und vorträglich einiges filtern, aber kritische Panels wie der Unifikram oder beispielsweise Proxmox VE Gui gehören versteckt.

Anders herum gefragt: Wie willst du die Box denn über den Proxy härten?

Ah! Bei ReverseProxy ging ich default von WAN aus.

Hast du mal den Header durchschleifen lassen?

Also konkret sowas wie:

server {
 listen 443 ssl;
 server_name subdomain.example.com;
location / {
 proxy_pass https://IP:PORT;
 proxy_set_header Host $host;
 }
}

Okay, ich bin heute wirklich komplett blöde ...

Da müsstest du dann nachlesen, ob und was mit Apache möglich ist.

Zitat von Thomae

ich wollte lediglich meine Managementportale unter einer Adresse in meinem Netz erreichen.

Die Idee ist so gut, dass sie mir noch nie gekommen ist Ich könnte so etwas nämlich auch gebrauchen, wie weit bist Du denn damit gekommen -vom Cloudkey einmal abgesehen?

Ich nutze für sowas heimdall. Aber das ist letztendlich nur eine webseite auf der alle Links zu meinen Maschinen drauf ist, kein Proxy.

Ich habe das mal schnell nachgebaut in meiner Welt, habe das identische Problem.

Gelöst mit:

location / {
    proxy_pass https://10.0.0.2:443;
    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forward-For $proxy_add_x_forwarded_for;
    proxy_set_header Upgrade $http_upgrade;
    proxy_http_version 1.1;
    proxy_set_header Connection "upgrade";
    client_body_buffer_size 10M;
    client_max_body_size 10M;
}

Das solltest du äquivalent bei dir dann übersetzen.

Zitat von Thomae

Hey, geht ja fix hier.
Leider sollte das aber wieder ein NGINX Script sein wenn ich nicht irre. Da hab ich schon gefühlt 1000 Stück durchforstet.
Das geht so leider nicht 1:1 im Apache.
Wenn ich weiter nix finde, dann muss ich halt tatsächlich noch meinen Webserver wechseln.

Trotzdem vielen Dank für Deine Mühe und viele Grüße

Darum ja zum Schluss "musst du übersetzen", über die Jahre hat es sich (bei mir) aber sowieso gezeigt, dass Nginx sich mehr für Proxy und Loadbalancer eignet.

Zitat von Thomae

Hey, geht ja fix hier.
Leider sollte das aber wieder ein NGINX Script sein wenn ich nicht irre. Da hab ich schon gefühlt 1000 Stück durchforstet.
Das geht so leider nicht 1:1 im Apache.
Wenn ich weiter nix finde, dann muss ich halt tatsächlich noch meinen Webserver wechseln.

Trotzdem vielen Dank für Deine Mühe und viele Grüße

ich hatte mal Apache zu Anfangszeiten im Einsatz . Lang ist es her. Versuchs mal hiermit:

Folgende Module müssen geladen sein:

a2enmod proxy

a2enmod proxy_http

a2enmod proxy_ajp

a2enmod rewrite

a2enmod deflate

a2enmod headers

a2enmod proxy_balancer

a2enmod proxy_connect

a2enmod proxy_html

    <VirtualHost *:*>
        ProxyPreserveHost On
        
        # Servers to proxy the connection, or;
        # List of application servers:
        # Usage:
        # ProxyPass / http://[IP Addr.]:[port]/
        # ProxyPassReverse / http://[IP Addr.]:[port]/
        # Example: 
        ProxyPass / http://0.0.0.0:8080/
        ProxyPassReverse / http://0.0.0.0:8080/
        
        ServerName localhost
    </VirtualHost>

Nicht vergessen, den Indianer neu starten, damit die Konfiguration übernommen wird. IP/Port sowie http/s:\\ muss logischer Weise angepasst werden.

LG

Ben

Zitat von Thomae

Hallo und vielen Dank,

ich werde das morgen ausprobieren, heute habe ich keinen Nerven mehr dafür

Ich hatte schon den Verdacht, dass es irgendein Modul noch fehlt.

Ich sag Bescheid ob's funktioniert.

Danke nochmals und schönen Feierabend

Alles anzeigen

Denk drann, UCK G2+ nutzt https

Zitat von Thomae

Danke für den Hinweis, das ist aber nicht das Problem, denn bis zur Loginseite komme ich (da ist https schon im Spiel), nach der Anmeldung läuft die Seite in den oben beschriebenen Loop - Abmelden kann ich mich allerdings wieder.

War auch bezogen auf den Apache Reverse Proxy. In der Beispiel Konfig. ist http angegeben!