Il problema del mascheramento IP

Per un lungo periodo nella mia LAN, il router (la macchina che si occupava del masquerading/firewall) ha funto anche da server web, server mail, server ftp, server dns e tutto.
Un giorno ebbi la necessità di rendere accessibili contenuti web da un'altra macchina posta dietro il firewall.
Volevo anche rendere accessibili alcuni documenti da una SGI IRIX posta dietro la rete (un server video per filmati). Questa macchina aveva acesso pieno a internet, ma gli utenti di internet non potevano connettersi alla macchina. Sebbene non avessi intenzione di collegare questa macchina IRIX alla rete, era necessario che ci si potesse connettere al servizio web messo a disposizione da questa macchina.

Stavo affrontando lo stesso problema a lavoro con una rete simile ed un firewall.
Ogni volta qualcuno voleva che un server web di sviluppo fosse reso visibile da internet per scopi dimostrativi, le regole sul firewall dovevano essere cambiate e bisognava dare alla macchina un indirizzo IP esterno compromettendo la sicurezza della rete.

Un aiuto da Apache: la direttiva ProxyPass

Dopo aver valutato diverse soluzioni ne ho implementato una con Apache e la sua direttiva ProxyPass.
ProxyPass richiede che mod_proxy sia incluso nel vostro server Apache, oppure caricato come modulo.
Ecco la definizione della direttiva ProxyPass (tratta dal manuale di Apache):

ProxyPass

Questa direttiva consente a server remoti di essere ricollocati nello spazio del server locale; il server locale non agisce come proxy nel senso convenzionale, ma appare come un mirror del server remoto. <percorso> è il nome di un percorso virtuale locale; <url> è una URL parziale per il server remoto.

Supponiamo che il server locale abbia l'indirizzo http://wibble.org/; allora la direttiva

   ProxyPass /mirror/foo/ http://foo.com/

Un esempio concreto

Ricollocazione del server video interno nel server web esterno.
Rete interna: hometranet.home 192.168.1.0/255.255.255.0
(nel paradigma di internet, intranet, extranet, chiamo la mia rete domestica hometranet)
Rete esterna: developer.ch 193.192.254.50

Il server video (interno) è in esecuzione sull'host cam.hometranet.home e fornisce
filmati video dalla url http://cam.hometranet.home:5555/cams/sony/stream
e
immagini statiche dalla telecamera alla url http://cam.hometranet.home:5555/cams/sony/image
I risultati di quelle url dovevano essere visibili visitando
http://mozilla.developer.ch/stream
e
http://mozilla.developer.ch/image
Questo risultato è facilmente ottenibile con la direttiva ProxyPass di Apache semplicemente aggiungendo le seguenti linee nel file httpd.conf o srm.conf

ProxyPass /video http://cam.hometranet.home:5555/cams/sony/stream
ProxyPass /video http://cam.hometranet.home:5555/cams/sony/stream
A questo punto, riavviando il server web (se mod_proxy era disponibile), all'indirizzo http://mozilla.developer.ch/image risponde il server web della telecamera.
Per l'utente che visita il sito è totalmente trasparente, e in queto modo la sicurezza è stata salvaguardata quasii* completamente.
*Dico quasi, perché non esiste la sicurezza totale su internet :)

Ricollocazione di Server Virtuali

Il trucco della direttiva proxypass può essere usato per ricollocare interamente un host virtuale su un'altra macchina.
Per esempio:
docs.sun.developer.ch ricollocato in solsparc.hometranet.home

NameVirtualHost 193.192.254.50
<VirtualHost 193.192.254.50>
     ServerName sun.docs.developer.ch
     ProxyPass / http://solsparc.hometranet.home/
     TransferLog /net/www/logs/sun.docs.access
     ErrorLog    /net/www/logs/sun.docs.errror
</VirtualServer>

<VirtualHost 193.192.254.50>
     ServerName sun.docs.developer.ch
     ProxyPass / http://192.168.1.7/
     TransferLog /net/www/logs/sun.docs.access
     ErrorLog    /net/www/logs/sun.docs.errror
</VirtualServer>

Avvertimenti

Visto che il server web principale genera richieste a quelli interni a nome degli utenti di quella macchina, non è possibile effettuare dei monitoraggi significativi sugli host di destinazione; tutte le richieste dovranno essere registrate sull'host sorgente.
Nel caso appena visto tutte le registrazioni vengono fatte sull'host principale sun.docs.developer.ch invece che su solsparc.hometranet.home
Registrazioni su sun.docs.developer.ch (fittizie)

197.0.22.3 - - [05/Nov/1999:22:09:04 +0100] "GET /index.html HTTP/1.0" 304 -
187.0.45.67 - - [05/Nov/1999:22:09:04 +0100] "GET /navi.html HTTP/1.0" 304 -
177.0.5.45 - - [05/Nov/1999:22:09:04 +0100] "GET /entrees.html HTTP/1.0" 304 -
227.0.9.67 - - [05/Nov/1999:22:09:15 +0100] "GET /complets.html HTTP/1.0" 304 -
137.0.7.23 - - [05/Nov/1999:22:09:19 +0100] "GET /menu_poisson.html HTTP/1.0" 200 841
193.192.245.73 - - [05/Nov/1999:22:09:25 +0100] "GET /volailles.html HTTP/1.0" 304 -
192.167.0.1 - - [05/Nov/1999:22:09:44 +0100] "GET /agneau.html HTTP/1.0" 304 -                                                            

192.168.1.1 - - [05/Nov/1999:22:09:04 +0100] "GET /index.html HTTP/1.0" 304 -
192.168.1.1 - - [05/Nov/1999:22:09:04 +0100] "GET /navi.html HTTP/1.0" 304 -
192.168.1.1 - - [05/Nov/1999:22:09:04 +0100] "GET /entrees.html HTTP/1.0" 304 -
192.168.1.1 - - [05/Nov/1999:22:09:15 +0100] "GET /complets.html HTTP/1.0" 304 -
192.168.1.1 - - [05/Nov/1999:22:09:19 +0100] "GET /menu_poisson.html HTTP/1.0" 200 841
192.168.1.1 - - [05/Nov/1999:22:09:25 +0100] "GET /volailles.html HTTP/1.0" 304 -
192.168.1.1 - - [05/Nov/1999:22:09:44 +0100] "GET /agneau.html HTTP/1.0" 304 -
192.168.1.1 - - [05/Nov/1999:22:09:56 +0100] "GET /desserts_ind.html HTTP/1.0" 304 -
192.168.1.1 - - [05/Nov/1999:22:10:00 +0100] "GET /cocktails.html HTTP/1.0" 304 -
192.168.1.1 - - [05/Nov/1999:22:10:10 +0100] "GET /cgi-bin/commande.cgi HTTP/1.0" 200 2146        

<VirtualHost 193.192.254.50>
     ServerName sun.docs.developer.ch
     #this rule only allows users from good.host.com domain
     <Location /private>
          order deny,allow
          deny from all
          allow from good.host.com
     </Location>
     #This rule deny's the uncool Microsoft's monopoly helper browser.
     BrowserMatch MSIE uncool_browser
     <Location /coolpages>
         order allow,deny
         allow from all
         deny from env=uncool_browser
     </Location>
     #This rule only allows users that are in your passwd.httpd file
     <Location /coolpages>
         AuthName "only for registered users"
         AuthType Basic
         AuthUserFile "/etc/httpd/passwd.httpd"
         <Limit GET>
              require valid-user
         </Limit>
     </Location>

     ProxyPass / http://192.168.1.7/
     TransferLog /net/www/logs/sun.docs.access
     ErrorLog    /net/www/logs/sun.docs.errror
</VirtualServer>

Altre Risorse

[Documentazione del mod_proxy di Apache]

http://www.apache.org/docs/mod/mod_proxy.html

[Supporto di Apache agli Host Virtuali basati sui nomi]

http://www.apache.org/docs/vhosts/name-based.html

[Documentazione di Apache agli Host Virtuali]

http://www.apache.org/docs/vhosts/index.html

Commenti per questo articolo

2000-04-28, generated by lfparser version 1.5