リバースプロキシの使用

Nginx is a commonly used web server and reverse proxy available at http://nginx.org/.

To use Nginx as a reverse proxy for the Controller, simply include the Controller as the upstream server in the Nginx configuration. If deploying two Controllers in a high availability pair arrangement, include the addresses of both the primary and secondary Controllers in the upstream server definition.

The following steps walk you through the set up at a high level. It assumes you have already installed the Controller and have an Nginx instance, and you only need to modify the existing configuration to have Nginx route traffic to the Controller.

1. Add a JVM option named-Dappdynamics.controller.ui.deeplink.url . Set its value to the URL for the Controller, as described in the guidelines above.

2. Shut down the Controller.

3. If terminating SSL at the proxy, also set the-Dappdynamics.controller.services.hostName and -Dappdynamics.controller.services.port JVM options to the external DNS hostname for the Controller and the external port number, typically 443.

4. In the Nginx home directory on the reverse proxy machine, open theconf/nginx.conf file for editing.

5. In the configuration file, add a cluster definition the specifies each Controller as an upstream server. For example:In the sample, the Controller resides on 127.0.15.11 and has the fully qualified domain name appdcontroller.example.com

   upstream appdcontroller {
   server 127.0.15.11:8090 fail_timeout=0;
   }
   server {
   listen 80;
   server_name appdcontroller.example.com;
   expires 0;
   add_header Cache-Control private;
   location / {
   proxy_set_header    Host $host;
   proxy_set_header    X-Real-IP $remote_addr;
   proxy_set_header    X-Forwarded-Proto https;
   proxy_set_header    X-Forwarded-For $proxy_add_x_forwarded_for;
   proxy_pass          http://appdcontroller;
   }
   }

6. Restart the Nginx server to have the change take effect.

7. Restart the Controller.

After the Controller starts, it should be able to receive traffic through Nginx. As an initial test of the connection, try opening the Controller UI via the proxy, that is, in a browser, go to http://<virtualip>:80/controller

リバースプロキシとして Apache を使用するには、適切な Apache モジュールがインストールされ、Apache インスタンスで有効になっている必要があります。HTTP プロキシの場合、これは通常 mod_proxy_http になります。mod_proxy_http モジュールでは、HTTP または HTTPS を使用するプロキシ接続がサポートされています。

1. -Dappdynamics.controller.ui.deeplink.url という名前の JVM オプションを追加します。このオプションの値は、上記ガイドラインにあるようにコントローラのURLに設定します。

2. コントローラをシャットダウンします。

3. プロキシで SSL を終了する場合は、-Dappdynamics.controller.services.hostName と -Dappdynamics.controller.services.port JVM オプションもコントローラの外部 DNS ホスト名と外部ポート番号（通常 443）に設定します。

4. Apacheを実行するマシンで、次のコマンドを実行して、Apacheインスタンスにより必要なモジュールがすでにアップロードされていることを確認します。

   apache2ctl -M

   出力で、次のようなプロキシモジュールを探します。

   proxy_module (shared)
   proxy_http_module (shared)

   proxy_module は proxy_module_http に依存しています。

5. 必須モジュールがロードされていない場合は、Apacheのディストリビューションに応じてApacheモジュールを有効化します。たとえば、Debian/Ubuntu では次の手順を実行します。

   1. 次のように入力します：

      sudo a2enmod proxy_http

   2. Apacheを再起動します。

      sudo service apache2 restart

6. Apache にプロキシ設定を追加します。たとえば、プロキシホストの標準 Web ポート 80 へのクライアントリクエストを、コントローラに移動させる構成は次のようになります。

   <Proxy *>
   Order deny,allow
   Allow from all
   </Proxy>
   ProxyRequests       Off
   ProxyPreserveHost   On
   ProxyPass / http://controller.example.com:8090/controller
   ProxyPassReverse / http://controller.example.com:8090/controller

7. Apacheモジュールをリロードして、構成の変更を適用します。たとえば、次のように入力します。

   sudo service apache2 reload

8. コントローラを起動します。

SSL終了用プロキシを構成する

リバースプロキシでSSLの終了を実行するには、次の手順を行う必要があります。

• アプリケーションエージェントが、プロキシを使用して安全な接続を確立できることを確認します。エージェントの各バージョンの SSL 設定については、「エージェントとコントローラの互換性」を参照してください。プロキシに、エージェントが信頼する機関により署名されたサーバー証明書が含まれていることを確認します。含まれていない場合、プロキシマシンのサーバキーをインストールする必要があります。
• ご使用の環境で、.NET アプリケーション エージェントを使用している場合、リバースプロキシサーバが証明機関（CA）が署名したサーバ証明書を使用していることを確認します。.NET アプリケーション エージェントでは、自己署名サーバ証明書に基づいた SSL 接続は許可されません。
• プロキシとコントローラ間のトラフィックをプロキシとクライアント間の安全なポートに転送するように、プロキシを構成します。
• この構成のクライアント アプリケーション エージェントとブラウザクライアントは、コントローラとの通信に安全なポート（つまりプロキシ）を使用する必要があります。説明にあるように、コントローラ上で混合チャネルを構成すると、エージェントは安全なポートを使用している場合と同じように動作するため、エージェントが安全なポートのみを使用するようにしてください。

コントローラの SSL 終了を実行する Nginx を使用した構成の例は、次のようになります。

upstream appdcontroller {
server 127.0.15.11:8191 fail_timeout=0;
}
server {
listen 80;
server_name appdcontroller.example.com;
return 301 https://$host$request_uri;
}
server {
listen 443;
server_name appdcontroller.example.com;
ssl on;
ssl_certificate /etc/nginx/server.crt;
ssl_certificate_key /etc/nginx/server.key);
ssl_session_timeout  5m;
ssl_protocols  TLSv1 TLSv1.1 TLSv1.2;
ssl_ciphers  ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+EXP;
ssl_prefer_server_ciphers   on;
expires 0;
add_header Cache-Control private;
location / {
proxy_set_header    Host $host;
proxy_set_header    X-Real-IP $remote_addr;
proxy_set_header    X-Forwarded-Proto https;
proxy_set_header    X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_redirect      http:// https://;
proxy_pass          http://appdcontroller;
}
}

この例は、ssl_certificate_key ssl_certificate のシンプルなパススルーの例で示されている構成に基づいています。この例では、非SSLポート80が受信したリクエストはポート443にルーティングされます。ポート443のサーバーには、SSL終了の設定が含まれています。値は、

この構成は、接続に対して受け入れられる SSL プロトコルと暗号方式も示しています。「エージェントとコントローラの互換性」のページで説明されているように、セキュリティ設定は Splunk AppDynamics アプリケーション エージェントのセキュリティ機能と互換性がある必要があります。

Cookieセキュリティ

コントローラは、HTTPS を介して送信された X-CSRF-TOKEN Cookie にセキュアフラグを立てます。Secureフラグにより、クライアントは安全な接続上のみでCookieを送信します。

コントローラの手前のリバースプロキシで HTTPS を終了する場合は、コントローラへの接続が HTTP で起こるため、デフォルトでコントローラは Cookie のセキュリティを設定しません。

Cookie セキュリティを確保するには、secure ステートメントが set-cookie ステートメントに含まれるようにリバースプロキシを構成します。セキュアフラグを追加する方法は、使用するリバースプロキシのタイプによって異なります。

次に、HAProxy を使用して Cookie セキュリティを設定する例を示します。

• HAProxy バージョン 2.0 以前を使用している場合は、次のように入力します。

   rspirep ^(set-cookie:.*) \ 1 ;\ Secure

• HAProxy バージョン 2.1 以降を使用している場合は、次のように入力します。

  >acl secured_cookie res.hdr(Set-Cookie),lower -m sub securehttp-response replace-header Set-Cookie (.*) \1;\ Secure if !secured_cookie

リバースプロキシからコントローラへSSLを使用する

SSLを使用してプロキシをコントローラに接続するには、プロキシの構成を少々変更する必要があります。バックエンドまたはアップストリームサーバーに接続するプロトコルとしてHTTPSの使用を指定するだけです。つまり、Nginx の構成については、次のように proxy_pass 値を変更するだけです。

proxy_pass          https://appdcontroller;

「コントローラ SSL と証明書」にあるように、コントローラ上で SSL を構成したことを確認して、構成を完了します。