[SOLVED] PVE hinter Sophos WAF

[AST]

Moin,

als kleines Projekt habe ich ein Testcluster laufen und möchte die GUI auch anderen Interessierten in meinem Umfeld feilbieten.
Um ein wenig den Worstcase rauszuhalten, will ich die Anlage hinter der Sophos WAF "verstecken", später mit einer vorgeschalteten Loginseite, damit nicht aus versehendlichen Bugs in der GUI die Römer einfallen.

Es funktioniert, mit ausnahme der Konsole, die dann und wann doch mal von Interesse sein sollte.
Die kommt nicht weiter außer mit "Code 1006, Code1015" usw.
Ich habe in der letzten Zeit verschiedene Konfigurationen ausprobiert, aber keine brachte den Erfolg.

WAF:
Die Firewall nimmt die HTTPS Anfrage auf Port 443 entgegen und gibt die Anfrage intern an einen der drei Hosts im RR-Verfahren weiter.
Hat jemand bereits ein ähnliches Vorhaben erfolgreich durchbekommen?

Ach ja, da ich von mir auf andere schließe: Bitte keinen Vortrag von "PVE auf WAN legen"
Weiß ich alles selber und im "echten Business" würde mir vorher ein Ei aus der Hose fallen.

Gruß, Patrick

 

[Stoiko Ivanov]

Kenne die Sophos WAF nicht explizit - aber mein erster Verdacht wäre, dass Websocket forwarding/proxying noch eingeschaltet/konfiguriert werden muss (wird für die Console gebraucht).

Vl. hilft die wiki-page für einen reverse proxy mit nginx: https://pve.proxmox.com/wiki/Web_Interface_Via_Nginx_Proxy
als erster Anhaltspunkt.

Wenn dass das Problem nicht löst, wären:
* die Logs der Sophos
* die messages in den Browser Developer Tools (Console, und auch die replies im Network Tab)
* das journal der pve-node (auf dem die connection terminiert)

während versucht wird eine Connection herzustellen von Interesse.

Ich würde vorschlagen initial mal nur eine der 3 Nodes als Backend zu verwenden, bis alles funktioniert
(sonst müssen 3 journals durchsucht werden)

Ich hoffe das hilft!

 

[AST]

Uff, das war jetzt so simpel, dass ich mich verstecken will.
Du hast mit schon mit dem Begriff "Websocket forwarding" getriggert.

Hier die Lösung:
- Die WAF Regel öffnen (oder anlegen, je nach ist-status)
- Protected servers --> Haken bei "Path-specific routing" setzen
- Die Defaultregel editieren
- Schieberegler bei "WebSocket passtrough" auf "on" setzen
- Zusätzlich "Sticky session" aktivieren (damit der LB nicht während der Session rumflippt, dann gibt es auch "Bildschirmprobleme"
- Den Kram speichern
Fertig

 

[Stoiko Ivanov]

Uff, das war jetzt so simpel, dass ich mich verstecken will.

Wirklich nicht notwendig sich zu verstecken - und @simpel - ich habe selbst nochmal die proxy wikiseite durchforstet um da draufzukommen.

Hier die Lösung:
- Die WAF Regel öffnen (oder anlegen, je nach ist-status)
- Protected servers --> Haken bei "Path-specific routing" setzen
- Die Defaultregel editieren
- Schieberegler bei "WebSocket passtrough" auf "on" setzen
- Zusätzlich "Sticky session" aktivieren (damit der LB nicht während der Session rumflippt, dann gibt es auch "Bildschirmprobleme"
- Den Kram speichern
Fertig

Danke fürs Teilen der Lösung!