Reverse proxy и HTTPS

Reverse proxy завершает TLS, передаёт Lampac реальный IP клиента и схему https для ссылок в ответах, а также отдельно настраивает длительные WebSocket, SSE и media-соединения.

После публикации в интернет включите WAF и accsdb. Ограничьте /adminpanel, /database-editor и /weblog по IP или VPN.

Минимальная конфигурация Nginx

map $http_upgrade $connection_upgrade {
  default upgrade;
  '' close;
}

server {
  listen 443 ssl http2;
  server_name lampac.example.com;

  ssl_certificate /etc/letsencrypt/live/lampac.example.com/fullchain.pem;
  ssl_certificate_key /etc/letsencrypt/live/lampac.example.com/privkey.pem;

  client_max_body_size 10m;

  location / {
    proxy_pass http://127.0.0.1:9118;
    proxy_http_version 1.1;
    proxy_set_header Host $host;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;
    proxy_set_header xscheme $scheme;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection $connection_upgrade;
  }

  location ~ ^/(nws|wt/c/) {
    proxy_pass http://127.0.0.1:9118;
    proxy_http_version 1.1;
    proxy_set_header Host $host;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;
    proxy_set_header xscheme $scheme;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection $connection_upgrade;
    proxy_buffering off;
    proxy_read_timeout 2h;
  }

  location = /lifeevents {
    proxy_pass http://127.0.0.1:9118;
    proxy_http_version 1.1;
    proxy_set_header Host $host;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;
    proxy_set_header xscheme $scheme;
    proxy_buffering off;
    proxy_read_timeout 1h;
  }
}

Задавайте xscheme в каждом location вместе с остальными proxy_set_header. Зачем он нужен, описано в разделе «HTTPS-ссылки в ответах» ниже.

Минимальная конфигурация Caddy

Caddy по умолчанию передаёт исходный Host и добавляет X-Forwarded-For и X-Forwarded-Proto. Заголовок xscheme добавьте явно:

Caddyfile

lampac.example.com {
  reverse_proxy 127.0.0.1:9118 {
    header_up xscheme https
  }
}

HTTPS-ссылки в ответах

Lampac вписывает свой адрес в ответы: скрипты плагинов (/lampainit.js, /online.js), списки /sisi и /lite/..., ссылки /proxy/. Адрес собирается заново на каждый запрос:

Часть адреса	Откуда берётся, по убыванию приоритета
Схема	заголовок `xscheme` → `listen.scheme` → схема запроса
Хост	`listen.host`, иначе заголовок `Host` запроса

Схема запроса становится https, если доверенный proxy прислал X-Forwarded-Proto: https. Доверенными считаются loopback-адреса и сети из KnownProxies. При "frontend": "cloudflare" в разделе listen Lampac также принимает X-Forwarded-Proto с адресов Cloudflare. X-Forwarded-Host Lampac не читает, поэтому передавайте исходный Host.

config/example.init.conf задаёт "scheme": "http" в разделе listen. С этой настройкой X-Forwarded-Proto на ссылки не влияет. Страница открывается по HTTPS, а ссылки внутри остаются http://. Браузер блокирует их как mixed content: плагины и видео не загружаются.

Выберите один из вариантов:

Передавайте заголовок xscheme. Он перекрывает listen.scheme. Примеры для Nginx и Caddy выше уже это делают.
Уберите scheme из раздела listen. Тогда Lampac берёт схему из запроса: через proxy — из X-Forwarded-Proto, при прямом обращении к порту 9118 — http.

Не задавайте "scheme": "https", если к Lampac обращаются и напрямую, например телевизор в локальной сети. listen.scheme меняет только ссылки. Порт 9118 по-прежнему принимает только HTTP, и ссылки вида https://…:9118 не откроются.

Скрипты плагинов (/lampainit.js, /online.js, /on.js, /sisi.js) Lampac кэширует до 20 минут. После того как вы добавили xscheme, старые http://-ссылки в них могут приходить до конца этого срока.

Доверенный proxy

Ограничьте listener локальным интерфейсом и добавьте адрес proxy в KnownProxies:

{
  "listen": {
    "ip": "127.0.0.1",
    "port": 9118
  },
  "KnownProxies": [
    {
      "ip": "127.0.0.1",
      "prefixLength": 32
    }
  ]
}

Не доверяйте X-Forwarded-For от произвольного интернета. Lampac использует реальный IP для WAF, account limits и журналов.

Streaming

Для /proxy/, /gst/, /ts/ и /music/stream избегайте маленьких proxy timeouts. Если proxy начинает буферизовать весь ответ или писать его во временный файл, растут задержка и расход диска.

Проверка

curl -I https://lampac.example.com/online.js
curl -s https://lampac.example.com/api/myip
curl -N https://lampac.example.com/lifeevents
curl -s https://lampac.example.com/online.js | grep -c 'http://lampac.example.com'

Последняя команда должна вывести 0: в скрипте нет ссылок на ваш домен по http://. WebSocket проверьте клиентом, который умеет отправлять Upgrade, например websocat.

Начало работы

Конфигурация

Архитектура

Модули

Провайдеры

Развёртывание

Обслуживание

Минимальная конфигурация Nginx

Минимальная конфигурация Caddy

HTTPS-ссылки в ответах

Доверенный proxy

Streaming

Проверка

​Минимальная конфигурация Nginx

​Минимальная конфигурация Caddy

​HTTPS-ссылки в ответах

​Доверенный proxy

​Streaming

​Проверка

Минимальная конфигурация Nginx

Минимальная конфигурация Caddy

HTTPS-ссылки в ответах

Доверенный proxy

Streaming

Проверка