• [^] # Re: Sinon il y a systemd

    Posté par (site web personnel) . En réponse au journal Lancer un programme sans accès au réseau, merci les espaces de noms réseaux. Évalué à 5.

    Nginx a 3 sections de configuration :

    • une pour le contenu HTTP, en écoute sur (je simplifie) /run/http ;
    • une pour le contenu HTTPS, en écoute sur /run/https ;
    • une pour le contenu HTTPS accédé depuis une IP de confiance ou une IP ayant port-knocké le bon « mot de passe », en écoute sur /run/https+.

    Sur la DMZ, nftables gère le port-knocking et redirige sur un port interne spécifique en cas de port-knock réussi ; j’ai donc 3 ports HTTP(S), sur lesquels haproxy est en écoute.

    Outre la gestion de quelques subtilités (type tunnel), haproxy se contente en gros de rediriger le traffic HTTP sur /run/http, le traffic HTTPS sur /run/https, etc. (je ne détaille pas les divers paramétrages systemd)

    Ainsi :

    • haproxy a accès au réseau mais à aucun contenu,
    • nginx a accès au contenu (non-sensible) mais pas au réseau,
    • pour le contenu sensible, nginx doit faire appel a un service back-end hors DMZ, par exemple Nextcloud qui tourne sur un uwsgi.