使用 Apache 搭建 VPC 服务器代理

soulteary

发布于 2019-09-28 18:23:03

3.5K1

发布于 2019-09-28 18:23:03

本文使用「署名 4.0 国际 (CC BY 4.0)」许可协议，欢迎转载、或重新修改使用，但需要注明来源。署名 4.0 国际 (CC BY 4.0)

本文作者: 苏洋

创建时间: 2019年08月10日统计字数: 2779字阅读时间: 6分钟阅读本文链接: https://soulteary.com/2019/08/10/build-a-vpc-server-proxy-using-apache.html

使用 Apache 搭建 VPC 服务器代理

有的小伙伴或许没有使用过 VPC 网络下的服务器，在该网络环境下，服务器默认没有公网 IP ，所以用户无法访问到服务器。一般策略是使用 SLB 进行入网流量代理，这样用户就能从公网访问服务器上的应用了。

但是这样只能解决流量进入的问题，并解决不了 VPC 环境下的内网机器访问公网资源的问题，给每一台机器单独分配 IP 显然不是最优解，这时我们一般会选择使用某一台服务器作为出口，搭建代理服务器。

使用容器配置 Apache 代理服务器

为内网环境服务器搭建代理服务器，我们一般会优先选择 Apache Traffic Server ，但是其实使用 Apache 也可以简单的解决问题。

相比较 Traffic Server，使用 Apache 作为代理服务器非常简单。容器编排文件 docker-compose.yml 只需要 22 行：

version: "3.6"services:  proxy:    image: httpd:2.4.39-alpine    restart: always    container_name: network-proxy    ports:      - 1080:80    volumes:      - /etc/localtime:/etc/localtime:ro      - /etc/timezone:/etc/timezone:ro      - ./httpd.conf:/usr/local/apache2/conf/httpd.conf    healthcheck:      test: ["CMD-SHELL", "httpd -T"]      interval: 5s      retries: 12    logging:        driver: "json-file"        options:            max-size: "10m"

Apache 配置文件 httpd.conf也无需像网上配置那么复杂，只需要下面这30来行就行：

ServerName localhostListen 80LoadModule mpm_event_module modules/mod_mpm_event.soLoadModule authz_core_module modules/mod_authz_core.soLoadModule access_compat_module modules/mod_access_compat.soLoadModule log_config_module modules/mod_log_config.soLoadModule proxy_module modules/mod_proxy.soLoadModule proxy_connect_module modules/mod_proxy_connect.soLoadModule proxy_http_module modules/mod_proxy_http.soLoadModule proxy_http2_module modules/mod_proxy_http2.soLoadModule unixd_module modules/mod_unixd.soUser daemonGroup daemonErrorLog /proc/self/fd/2LogLevel warnLogFormat "%h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\"" combinedLogFormat "%h %l %u %t \"%r\" %>s %b" commonCustomLog /proc/self/fd/1 commonProxyRequests OnProxyVia On<Proxy *>    Order deny,allow    Deny from all    Allow from 192.168.0.0/24</Proxy>

如果你和我一样，明确代理服务器的服务目标，可以在 <Proxy> 配置中将其声明，避免服务被盗用，当然，推荐搭配防火墙安全策略一起使用，万无一失。

使用 docker-compose up 启动应用，会看到类似下面的日志：

network-proxy | [Sat Aug 10 15:32:06.652264 2019] [mpm_event:notice] [pid 1:tid 140135351733576] AH00489: Apache/2.4.39 (Unix) configured -- resuming normal operationsnetwork-proxy | [Sat Aug 10 15:32:06.652318 2019] [core:notice] [pid 1:tid 140135351733576] AH00094: Command line: 'httpd -D FOREGROUND'

看日志服务确实是启动起来了，但是是否有效不得而知，所以我们要进行测试。

测试服务

在另外一台服务器上使用 curl 测试代理服务器是否正常工作，如果能否正常使用，结果会类似下面这样：

# http_proxy=http://192.168.0.50:1080 curl http://cip.cc/IP    : 39.xxx.xxx.xxx地址    : 中国  北京运营商    : 阿里云/电信/联通/移动/铁通/教育网数据二    : 中国香港 | 特别行政区数据三    : 中国北京北京市 | 阿里云URL    : http://www.cip.cc/39.xxx.xxx.xxx

配置服务器

让服务器默认出公网的流量走代理服务器很简单，只需要在 /etc/profile 配置文件中添加两行即可：

export http_proxy=http://192.168.0.50:1080export https_proxy=http://192.168.0.50:1080

对 profile 文件进行修改后，需要手动重载文件：

source /etc/profile

或者断开当前的终端连接，重新连接服务器，也可以让配置生效。再次使用 curl 对代理服务器进行验证，会看到默认出公网的流量会先经过代理服务器。

# curl -v https://www.baidu.com* Rebuilt URL to: https://www.baidu.com/*   Trying 192.168.0.50...* TCP_NODELAY set* Connected to 192.168.0.50 (192.168.0.50) port 1080 (#0)* allocate connect buffer!* Establish HTTP proxy tunnel to www.baidu.com:443> CONNECT www.baidu.com:443 HTTP/1.1> Host: www.baidu.com:443> User-Agent: curl/7.58.0> Proxy-Connection: Keep-Alive>< HTTP/1.0 200 Connection Established< Proxy-agent: Apache/2.4.39 (Unix)<* Proxy replied 200 to CONNECT request* CONNECT phase completed!* ALPN, offering h2* ALPN, offering http/1.1

配置容器服务

Docker 官方文档中有提过，如果想要 Docker Daemon 使用系统代理配置，需要在其启动之前进行配置，所以配置 daemon.json 大法在此处就不适用啦。

解决方法是覆盖默认的 docker.service 配置文件，先创建一个服务配置目录：

sudo mkdir -p /etc/systemd/system/docker.service.d

然后创建一个文件并编辑文件内容 /etc/systemd/system/docker.service.d/http-proxy.conf ，添加环境变量：

[Service]Environment="HTTP_PROXY=http://192.168.0.50:1080"Environment="HTTPS_PROXY=http://192.168.0.50:1080"Environment="NO_PROXY=localhost,127.0.0.1,192.168.0.0/24,*.domain.ltd"

接着重启服务：

sudo systemctl daemon-reload && sudo systemctl restart docker

最后，使用 docker pull 命令验证配置是否正常：

# docker pull alpineUsing default tag: latestlatest: Pulling from library/alpine050382585609: Already existsDigest: sha256:6a92cd1fcdc8d8cdec60f33dda4db2cb1fcdcacf3410a8e05b3741f44a9b5998Status: Downloaded newer image for alpine:latestdocker.io/library/alpine:latest

配置容器内部环境

如果不进行容器内部网络配置，使用容器访问公网服务，基本会遇到网络超时：

docker run --rm -it alpine/ # apk updatefetch http://dl-cdn.alpinelinux.org/alpine/v3.10/main/x86_64/APKINDEX.tar.gzERROR: http://dl-cdn.alpinelinux.org/alpine/v3.10/main: network error (check Internet connection and firewall)WARNING: Ignoring APKINDEX.00740ba1.tar.gz: No such file or directory

Docker 官方文档其实也有提过，解决方案的原理是：通过编辑 ~/.docker/config.json Docker 客户端配置文件，来为容器自动注入 PROXY 环境变量。

{    "proxies": {        "default": {            "httpProxy": "http://192.168.0.50:1080",            "httpsProxy": "http://192.168.0.50:1080",            "noProxy": "127.0.0.1,localhost,192.168.0.0/24,*.domain.ltd"        }    }}

将上述配置添加好之后，无须重启容器服务，直接再次执行命令即可：

# docker run --rm -it alpine/ # apk updatefetch http://dl-cdn.alpinelinux.org/alpine/v3.10/main/x86_64/APKINDEX.tar.gzfetch http://dl-cdn.alpinelinux.org/alpine/v3.10/community/x86_64/APKINDEX.tar.gzv3.10.1-62-g89778c626e [http://dl-cdn.alpinelinux.org/alpine/v3.10/main]v3.10.1-60-gb0081284ea [http://dl-cdn.alpinelinux.org/alpine/v3.10/community]OK: 10337 distinct packages available

至此，VPC 环境下的服务器和容器访问外网就设置完毕啦。