リバースプロキシの使用

Nginx は、http://nginx.org/ で入手可能な、広く使われている Web サーバーかつリバースプロキシです。

コントローラのリバースプロキシとしてNginxを使用するには、Nginxの構成にアップストリームサーバーとしてコントローラを追加するだけです。高可用性のペア構成に 2 つのコントローラをデプロイする場合は、アップストリームサーバの定義にプライマリコントローラとセカンダリコントローラのアドレス両方を追加します。

次の手順では、上位レベルでのセットアップを説明します。すでにコントローラのインストールを完了して、Nginx インスタンスを持っており、必要なのは既存の構成を変更して、Nginx で通信をコントローラにルーティングさせるのみという状況が想定されています。

1. -Dappdynamics.controller.ui.deeplink.url という名前の JVM オプションを追加します。このオプションの値は、上記ガイドラインにあるようにコントローラのURLに設定します。

2. コントローラをシャットダウンします。

3. プロキシで SSL を終了する場合は、-Dappdynamics.controller.services.hostName と -Dappdynamics.controller.services.port JVM オプションもコントローラの外部 DNS ホスト名と外部ポート番号（通常 443）に設定します。

4. リバースプロキシマシンの Nginx ホームディレクトリで、編集のために conf/nginx.conf ファイルを開きます。

5. 構成ファイルで、アップストリームサーバーとして各コントローラを指定するクラスタ定義を追加します。たとえば、サンプルでは、コントローラは 127.0.15.11 に存在し、完全修飾ドメイン名は appdcontroller.example.com です。

   upstream appdcontroller {
   server 127.0.15.11:8090 fail_timeout=0;
   }
   server {
   listen 80;
   server_name appdcontroller.example.com;
   expires 0;
   add_header Cache-Control private;
   location / {
   proxy_set_header    Host $host;
   proxy_set_header    X-Real-IP $remote_addr;
   proxy_set_header    X-Forwarded-Proto https;
   proxy_set_header    X-Forwarded-For $proxy_add_x_forwarded_for;
   proxy_pass          http://appdcontroller;
   }
   }

6. Nginxサーバーを再起動し、変更を適用します。

7. コントローラを再起動します。

コントローラは起動後、Nginxを経由してトラフィックを受信する必要があります。接続の最初のテストとして、プロキシを経由して、つまりブラウザでコントローラUIを開き、 http://<virtualip>:80/controller に移動します。

リバースプロキシとして Apache を使用するには、適切な Apache モジュールがインストールされ、Apache インスタンスで有効になっている必要があります。HTTP プロキシの場合、これは通常 mod_proxy_http になります。mod_proxy_http モジュールでは、HTTP または HTTPS を使用するプロキシ接続がサポートされています。

1. -Dappdynamics.controller.ui.deeplink.url という名前の JVM オプションを追加します。このオプションの値は、上記ガイドラインにあるようにコントローラのURLに設定します。

2. コントローラをシャットダウンします。

3. プロキシで SSL を終了する場合は、-Dappdynamics.controller.services.hostName と -Dappdynamics.controller.services.port JVM オプションもコントローラの外部 DNS ホスト名と外部ポート番号（通常 443）に設定します。

4. Apacheを実行するマシンで、次のコマンドを実行して、Apacheインスタンスにより必要なモジュールがすでにアップロードされていることを確認します。

   apache2ctl -M

   出力で、次のようなプロキシモジュールを探します。

   proxy_module (shared)
   proxy_http_module (shared)

   proxy_module は proxy_module_http に依存しています。

5. 必須モジュールがロードされていない場合は、Apacheのディストリビューションに応じてApacheモジュールを有効化します。たとえば、Debian/Ubuntu では次の手順を実行します。

   1. 次のように入力します：

      sudo a2enmod proxy_http

   2. Apacheを再起動します。

      sudo service apache2 restart

6. Apache にプロキシ設定を追加します。たとえば、プロキシホストの標準 Web ポート 80 へのクライアントリクエストを、コントローラに移動させる構成は次のようになります。

   <Proxy *>
   Order deny,allow
   Allow from all
   </Proxy>
   ProxyRequests       Off
   ProxyPreserveHost   On
   ProxyPass / http://controller.example.com:8090/controller
   ProxyPassReverse / http://controller.example.com:8090/controller

7. Apacheモジュールをリロードして、構成の変更を適用します。たとえば、次のように入力します。

   sudo service apache2 reload

8. コントローラを起動します。

SSL終了用プロキシを構成する

リバースプロキシでSSLの終了を実行するには、次の手順を行う必要があります。

• アプリケーションエージェントが、プロキシを使用して安全な接続を確立できることを確認します。エージェントの各バージョンの SSL 設定については、「エージェントとコントローラの互換性」を参照してください。プロキシに、エージェントが信頼する機関により署名されたサーバー証明書が含まれていることを確認します。含まれていない場合、プロキシマシンのサーバキーをインストールする必要があります。
• ご使用の環境で、.NET アプリケーション エージェントを使用している場合、リバースプロキシサーバが証明機関（CA）が署名したサーバ証明書を使用していることを確認します。.NET アプリケーション エージェントでは、自己署名サーバ証明書に基づいた SSL 接続は許可されません。
• プロキシとコントローラ間のトラフィックをプロキシとクライアント間の安全なポートに転送するように、プロキシを構成します。
• この構成のクライアント アプリケーション エージェントとブラウザクライアントは、コントローラとの通信に安全なポート（つまりプロキシ）を使用する必要があります。説明にあるように、コントローラ上で混合チャネルを構成すると、エージェントは安全なポートを使用している場合と同じように動作するため、エージェントが安全なポートのみを使用するようにしてください。

コントローラの SSL 終了を実行する Nginx を使用した構成の例は、次のようになります。

upstream appdcontroller {
server 127.0.15.11:8191 fail_timeout=0;
}
server {
listen 80;
server_name appdcontroller.example.com;
return 301 https://$host$request_uri;
}
server {
listen 443;
server_name appdcontroller.example.com;
ssl on;
ssl_certificate /etc/nginx/server.crt;
ssl_certificate_key /etc/nginx/server.key);
ssl_session_timeout  5m;
ssl_protocols  TLSv1 TLSv1.1 TLSv1.2;
ssl_ciphers  ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+EXP;
ssl_prefer_server_ciphers   on;
expires 0;
add_header Cache-Control private;
location / {
proxy_set_header    Host $host;
proxy_set_header    X-Real-IP $remote_addr;
proxy_set_header    X-Forwarded-Proto https;
proxy_set_header    X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_redirect      http:// https://;
proxy_pass          http://appdcontroller;
}
}

この例は、ssl_certificate_key ssl_certificate のシンプルなパススルーの例で示されている構成に基づいています。この例では、非SSLポート80が受信したリクエストはポート443にルーティングされます。ポート443のサーバーには、SSL終了の設定が含まれています。値は、

この構成は、接続に対して受け入れられる SSL プロトコルと暗号方式も示しています。「エージェントとコントローラの互換性」のページで説明されているように、セキュリティ設定は Splunk AppDynamics アプリケーション エージェントのセキュリティ機能と互換性がある必要があります。

Cookieセキュリティ

コントローラは、HTTPS を介して送信された X-CSRF-TOKEN Cookie にセキュアフラグを立てます。Secureフラグにより、クライアントは安全な接続上のみでCookieを送信します。

コントローラの手前のリバースプロキシで HTTPS を終了する場合は、コントローラへの接続が HTTP で起こるため、デフォルトでコントローラは Cookie のセキュリティを設定しません。

Cookie セキュリティを確保するには、secure ステートメントが set-cookie ステートメントに含まれるようにリバースプロキシを構成します。セキュアフラグを追加する方法は、使用するリバースプロキシのタイプによって異なります。

次に、HAProxy を使用して Cookie セキュリティを設定する例を示します。

• HAProxy バージョン 2.0 以前を使用している場合は、次のように入力します。

   rspirep ^(set-cookie:.*) \ 1 ;\ Secure

• HAProxy バージョン 2.1 以降を使用している場合は、次のように入力します。

  >acl secured_cookie res.hdr(Set-Cookie),lower -m sub securehttp-response replace-header Set-Cookie (.*) \1;\ Secure if !secured_cookie

リバースプロキシからコントローラへSSLを使用する

SSLを使用してプロキシをコントローラに接続するには、プロキシの構成を少々変更する必要があります。バックエンドまたはアップストリームサーバーに接続するプロトコルとしてHTTPSの使用を指定するだけです。つまり、Nginx の構成については、次のように proxy_pass 値を変更するだけです。

proxy_pass          https://appdcontroller;

「コントローラ SSL と証明書」にあるように、コントローラ上で SSL を構成したことを確認して、構成を完了します。