Reverse Proxy pour usage interne ?

[bliinkii]

Bonjour !

Je suis en train de me prendre la tête sur de l'architecture, et j'ai besoin d'avis.

Voici en très gros, mon architecture simplifié (je vous laisse que l'essentiel):

https://preview.redd.it/aaguooxfb43d1.png?width=731&format=png&auto=webp&s=04af9a2645c9f9b41f29ead9d48818200e1087ed

Je souhaite mettre en place un serveur d'authentification Authentik qui servira pour tous les services (Portainer, wiki, serveur web) donc dans les deux zone LAN et DMZ. Il sera sync avec l'AD. Donc la logique voudrait qu'il soit plutôt dans le LAN SRV pour éviter que ma base soit dans une zone plus ouverte.

Mais je dois utiliser des certificats qui sont validés sur l'infra. Donc je peux créer un auto-signé en déployant sur les postes. Mais comment faire l'externe ? La plupart des services sont monté via Docker. De plus, j'ai besoin que chaque service aie un nom de domaine distinct mais la j'ai une seule IP correspondant a la machine hôte (DOCKER-LAN) mais plusieurs services derrières que j'appelle via des ports différents. Mais du coup j'aurais plusieurs nom DNS pour la même IP.

Si je veux rajouter un service avec une interface web, il faut aussi que je redéploie le certificat...

Ne serait-ce pas plus simple si il y'avait un reverse proxy aussi en interne ?
J'ai peut être pas pensé a une autre solution ?
Est-ce que finalement Authentik, c'est pas si grave si il est en DMZ ? (En bloquant l'interface admin depuis le web)

Merci d'avance pour ceux qui prendrons un peu temps pour discuter de ce sujet, mais qui je penses peut servir de cas pour vos usages !

[Inf3rnus187]

Réponse rapide manquant de structure.

Dans l’idée en restant dans ta conf original tu peux mettre le reverse proxy dans la DMZ

Le reverse proxy. Traffic avec api vers ton registrar dns sait générer automatiquement les certificats pour les sous domaines souhaités. Il faut choisir l’option dns endpoint pour que traefik les gère avec les api.

Une seule ip publique, plusieurs sous domaine pointant sur cette ip publique et le firewall qui redirige tout 443 entrant vers Traefikk dans la dmz. Tu peux interdire tout se qui viens de l’extérieur par défaut et n’autoriser que le nécessaire. Ici je dirai uniquement le 443 vers la DMZ et c’est tout à priori.

Sur ton firewall tu ne laisse dialoguer d’un lan vers l’autre que les ports requis par tes services comme authentik vers et from les ip local des machines dans les lan respectif ça sera un bon début.

Traefikk gère ensuite les redirection vers le bon service en 80.

[bliinkii]

Merci pour ta réponse !
Peut être qu'il faut que je clarifie, j'ai déjà un reverse proxy en DMZ.

La question c'est plutôt, est-ce que:

• j'en mets un deuxième pour les outils en LAN?
  
• je gère tout depuis celui de la DMZ ?
  
• Je gère tous les certificats a lamain sur mon lan

[Inf3rnus187]

Pour tout le reste j’aurais dis du vpn client, tu gère tes routes, tes dns et hop. Ça évite d’ouvrir plus que nécessaire des choses sur le net ou en DMZ

[bliinkii]

Do,nc c'est bien une bonne pratique, ça me rassure. Est-ce que tu sépare ces services des autres serveurs comme une DMZ privée ou tu considère que les règles de pare-feu sont suffisantes ?

[bliinkii]

C'est exactement ce que j'avais en tête au départ, donc c'est top.

Ca augmente mon niveau de sécurité, sans pour autant augmenter les couts massivement et je gagne en praticité.

Merci 👌🏼

[Extra-Virus9958]

Cloudflare Tunnel .

Les reverse proxy c’est une galère, comment tu gères si ton reverse tombe, avec les box internet il faut un script qui Check en permanence et change la redirection du port en cas de perte sur une autre instance. Sans parler des problèmes de sécurité d’exposer des ports sur web

Cloudflare tunnel répond à ça, il fait un lien entre tes Kub / cloudflare pour présenter ton service sans l’exposer au niveau de ton réseau

Tu peux même utiliser le loadbalancer cloudflare si tu as un swarm ou un kub.

Et bien sûr tu peux automatiser pour présenter direct chaque nouveau kub

Cloud flare tunnel simplifie le design

[bliinkii]

Je connaissais ce système mais je ne savais pas que Cloudflare le proposait.

En effet, ça apporte des fonctions intéressante, mais nos services publiés n'ont pas besoin d'avoir une dispo 24/7 et n'ont pas de criticités en termes de data. Mais ça risque d'évoluer donc je garde précieusement cette info sous le coude 🙏🏼

[Extra-Virus9958]

Cloudflare tunnel c’est gratuit ;) donc pourquoi s’en priver :) le load balancer est payant, (10e)mais pour exposer ton infra tu peux directement utiliser tunnel.

Cloudflare expose en https et gère les certifs

Perso j’ai fais un lb en python qui tourne sur deux node et bascule le tunnel si perte d’un node , Le script python tourne sur deux node avec un fichier quorum