使用私人服務存取權存取 Looker (Google Cloud Core) 執行個體

NGINX

以下範例使用 NGINX 1.22.1 版和 Red Hat Enterprise Linux 8.9 版 (Ootpa)。如要檢查 VM 使用的 NGNIX 和 Red Hat 版本，請針對每個 VM 執行下列指令。

1. 首先，請連線至 VM。

2. 使用下列指令安裝 NGINX：

   sudo yum install nginx -y
   

3. 如要找出 VM 執行的 NGINX 版本，請執行下列指令：

   sudo nginx -v
   

   這時應會傳回類似下列內容：

   nginx version: nginx/1.22.1

4. 如要查看 VM 執行的 NGINX 版本，請執行下列指令：

   sudo rpm -qi nginx | grep Release
   

   這時應會傳回類似下列內容：

   Release : 1.module+el8.8.0+20355+6d9c8a63.1

5. 如要查看 VM 使用的 Red Hat 版本，請執行下列指令：

   sudo cat /etc/redhat-release
   

如要設定每個 Proxy 伺服器，請針對您建立的兩個 VM 分別使用下列操作說明。

1. 連線至 VM。

2. 編輯 /etc/nginx/nginx.conf 檔案，加入下列設定：

   events {
     worker_connections 1024;
   }
   
   http {
     log_format  main  '$remote_addr - $remote_user [$time_local] "$request" '
                       '$status $body_bytes_sent "$http_referer" '
                       '"$http_user_agent" "$http_x_forwarded_for"';
   
     log_format debug  '$http_x_forwarded_for - $remote_user [$time_local] '
                       '"$request_method $scheme://$host$request_uri $server_protocol" '
                       '$status $body_bytes_sent "$http_referer" '
                       '"$http_user_agent" $request_time';
   
     access_log  /var/log/nginx/access.log  debug;
   
     sendfile            on;
     tcp_nopush          on;
     keepalive_timeout   65;
       types_hash_max_size 4096;
   
       include             /etc/nginx/mime.types;
       default_type        application/octet-stream;
   
   server {
     listen 443 ssl;
     # listen [::]:443 ssl;
     include snippets/self-signed.conf;
     # include snippets/ssl-params.conf;
     server_name CUSTOM_DOMAIN;
     location / {
       proxy_pass https://INGRESS_PRIVATE_IP/$request_uri;
       proxy_set_header Host $server_name;
       proxy_http_version 1.1;
     }
   }
   server {
     listen 80;
     # listen [::]:80;
     server_name CUSTOM_DOMAIN;
     return 302 https://$server_name$request_uri;
     }
   }
   

   更改下列內容：

   • CUSTOM_DOMAIN：Looker (Google Cloud Core) 執行個體的自訂網域
   • INGRESS_PRIVATE_IP：Looker (Google Cloud Core) 執行個體的連入私人 IP

   此外，請注意下列事項：

   • 這項設定僅適用於 IPv4。如要讓 Proxy 也監聽私人 IPv6 位址，請取消註解檔案中的 listen [::]:443 ssl 行。
   • 存取記錄層級已設為 debug，請務必調整為特定環境中使用的層級。
   • 如果您導入 ssl-params.conf 檔案 (這些步驟稍後會提及)，請取消註解 include snippets/ssl-params.conf。

3. 建立有效的 TLS 憑證，並參照 Looker (Google Cloud Core) 自訂網域網址。這個憑證會由 Proxy 提供給嘗試存取 Looker (Google Cloud Core) 的用戶端。用於簽署憑證的憑證授權單位 (CA) 必須受到用戶端信任；您也可以使用內部私有 CA 簽署這個 TLS 憑證。(或者，您也可以使用自行管理的 SSL 憑證)。

   在本範例中，假設憑證已使用 Let's Encrypt 免費服務建立，但未透過 Certbot 設定自動續訂。建立憑證後，請在每個 Proxy VM 的 certs 和 private 目錄中儲存相關檔案：

   /etc/pki/tls/certs/custom-domain.custom-domain.com.fullchain.pem;
   /etc/pki/tls/private/custom-domain.custom-domain.com.key.pem;
   

   將 custom-domain.custom-domain.com 替換成您的自訂網域。

   如果安裝目錄中沒有 certs 和 private 目錄，您可以建立這些目錄，也可以使用其他資料夾。

4. 如要確保 NGINX 擷取憑證檔案，請建立 /etc/nginx/snippets 目錄：

   sudo mkdir /etc/nginx/snippets
   

5. 建立設定檔 /etc/nginx/snippets/self-signed.conf：

   sudo touch /etc/nginx/snippets/self-signed.conf
   

   編輯設定檔，加入您儲存的憑證檔案路徑：

   ssl_certificate /etc/pki/tls/certs/custom-domain.custom-domain.com.fullchain.pem;
   ssl_certificate_key /etc/pki/tls/private/custom-domain.custom-domain.com.key.pem;
   

   將 custom-domain.custom-domain.com 替換成您的自訂網域。

6. 如要確認設定檔是否包含上一個步驟中提及的檔案參照，請執行下列指令：

   sudo more /etc/nginx/snippets/self-signed.conf
   

   這時應該會傳回您新增的檔案路徑。

7. (選用) 建立 ssl-params.conf NGINX 檔案，用於儲存可在日後 NGINX 設定中重複使用的參數。

   如需參考，檔案內容應類似於下列內容：

   ssl_protocols TLSv1.3;
   ssl_prefer_server_ciphers on;
   ssl_dhparam /etc/nginx/dhparam.pem;
   ssl_ciphers EECDH+AESGCM:EDH+AESGCM;
   ssl_ecdh_curve secp384r1;
   ssl_session_timeout  10m;
   ssl_session_cache shared:SSL:10m;
   ssl_session_tickets off;
   ssl_stapling on;
   ssl_stapling_verify on;
   resolver 127.0.0.53 valid=300s;
   resolver_timeout 5s;
   # Disable strict transport security for now. You can uncomment the following
   # line if you understand the implications.
   #add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload";
   add_header X-Frame-Options DENY;
   add_header X-Content-Type-Options nosniff;
   add_header X-XSS-Protection "1; mode=block";
   

8. 如要設定 SELinux，允許 NGINX 將流量轉送至 Looker (Google Cloud Core) 傳入 IP，請將 httpd_can_network_connect SELinux 布林參數設為 1：

   sudo setsebool -P httpd_can_network_connect 1
   

9. 現在可以使用下列指令重新啟動 NGINX 程序：

   sudo systemctl restart nginx
   

10. 使用下列指令，確認 NGINX 已正確重新啟動：

    sudo systemctl status nginx
    

    系統應會傳回類似以下的輸出內容：

    nginx.service - The nginx HTTP and reverse proxy server
      Loaded: loaded (/usr/lib/systemd/system/nginx.service; disabled; vendor preset: disabled)
      Active: active (running) since Tue 2024-05-14 11:58:00 UTC; 9min ago
      Process: 144044 ExecStart=/usr/sbin/nginx (code=exited, status=0/SUCCESS)
      Process: 144042 ExecStartPre=/usr/sbin/nginx -t (code=exited, status=0/SUCCESS)
      Process: 144039 ExecStartPre=/usr/bin/rm -f /run/nginx.pid (code=exited, status=0/SUCCESS)
    Main PID: 144045 (nginx)
        Tasks: 2 (limit: 11040)
      Memory: 2.6M
      CGroup: /system.slice/nginx.service
              ├─144045 nginx: master process /usr/sbin/nginx
              └─144046 nginx: worker process
    May 14 11:58:00 proxy-three-eu-w4 systemd[1]: nginx.service: Succeeded.
    May 14 11:58:00 proxy-three-eu-w4 systemd[1]: Stopped The nginx HTTP and reverse proxy server.
    May 14 11:58:00 proxy-three-eu-w4 systemd[1]: Starting The nginx HTTP and reverse proxy server...
    May 14 11:58:00 proxy-three-eu-w4 nginx[144042]: nginx: the configuration file /etc/nginx/nginx.conf syntax is ok
    May 14 11:58:00 proxy-three-eu-w4 nginx[144042]: nginx: configuration file /etc/nginx/nginx.conf test is successful
    May 14 11:58:00 proxy-three-eu-w4 systemd[1]: Started The nginx HTTP and reverse proxy server.
    

Apache

針對每個 VM 完成下列步驟。

1. 首先，請連線至 VM。

2. 安裝 Apache：

   sudo yum install httpd -y
   

3. 以下範例使用 Red Hat Enterprise Linux 7.9 版。如要查看 VM 使用的 Red Hat 版本，請執行下列指令：

   cat /etc/redhat-release
   

   這應該會傳回下列內容：

   Red Hat Enterprise Linux Server release 7.9 (Maipo)

4. 以下範例使用 Apache 2.4.6 版。如要檢查 VM 使用的 Apache 版本，請針對每個 VM 執行下列指令：

   sudo httpd -version
   

   這應該會傳回下列內容：

   Server version: Apache/2.4.6 (Red Hat Enterprise Linux)
   Server built:   date
   

5. 如要進一步瞭解 Apache 伺服器，請執行下列指令：

   sudo rpm -qi httpd
   

   這會傳回類似以下的輸出內容：

   Name        : httpd
   Version     : 2.4.6
   Release     : 99.el7_9.1
   Architecture: x86_64
   Install Date: Tue May  7 15:48:59 2024
   Group       : System Environment/Daemons
   Size        : 3899819
   License     : ASL 2.0
   Signature   : RSA/SHA256, Fri Apr 28 17:09:45 2023, Key ID 199e2f91fd431d51
   Source RPM  : httpd-2.4.6-99.el7_9.1.src.rpm
   Build Date  : Fri Apr 28 16:56:11 2023
   Build Host  : x86-vm-40.build.eng.bos.redhat.com
   Relocations : (not relocatable)
   Packager    : Red Hat, Inc. 
   Vendor      : Red Hat, Inc.
   URL         : http://httpd.apache.org/
   Summary     : Apache HTTP Server
   Description :
   The Apache HTTP Server is a powerful, efficient, and extensible
   web server.
   

6. 在 Proxy VM 上建立設定檔 /etc/httpd/conf.d/ssl.conf，並在檔案中新增下列設定：

   ServerName custom domain of Looker (Google Cloud core)
   #   SSL Engine Switch:
   #   Enable/Disable SSL for this virtual host.
   SSLEngine on
   #   SSL Protocol support:
   # List the enable protocol levels with which clients will be able to
   # connect.  Disable SSLv2 access by default:
   SSLProtocol all -SSLv2 -SSLv3
   #   SSL Cipher Suite:
   #   List the ciphers that the client is permitted to negotiate.
   #   See the mod_ssl documentation for a complete list.
   SSLCipherSuite HIGH:3DES:!aNULL:!MD5:!SEED:!IDEA
   #   Server Certificate:
   # Point SSLCertificateFile at a PEM encoded certificate.  If
   # the certificate is encrypted, then you will be prompted for a
   # pass phrase.  Note that a kill -HUP will prompt again.  A new
   # certificate can be generated using the genkey(1) command.
   # SSLCertificateFile /etc/pki/tls/certs/localhost.crt
   SSLCertificateFile "/etc/pki/tls/certs/custom domain of Looker (Google Cloud core).crt"
   #   Server Private Key:
   #   If the key is not combined with the certificate, use this
   #   directive to point at the key file.  Keep in mind that if
   #   you've both a RSA and a DSA private key you can configure
   #   both in parallel (to also allow the use of DSA ciphers, etc.)
   # SSLCertificateKeyFile /etc/pki/tls/private/localhost.key
   SSLCertificateKeyFile "/etc/pki/tls/private/custom domain of Looker (Google Cloud core).key"
   SSLProxyEngine On
   SSLProxyCheckPeerCN off
   SSLProxyCheckPeerName off
   ProxyPreserveHost On
   RewriteEngine On
   AllowEncodedSlashes NoDecode
   ProxyPass / https://private IP of Looker (Google Cloud core)>:443/
   RewriteCond %{REQUEST_URI} ^/render/
   RewriteRule ^(.*)$ https://private IP of Looker (Google Cloud core)>:443/$1 [P]
   RewriteRule ^(.*)$ https://private IP of Looker (Google Cloud core)>:443/$1 [P,NE]
   ProxyPassReverse / https://private IP of Looker (Google Cloud core):443/
   
   

   更改下列內容：

   • custom domain of Looker (Google Cloud core)：Looker (Google Cloud Core) 執行個體的自訂網域。
   • private IP of Looker (Google Cloud core)：Looker (Google Cloud Core) 執行個體的私人 IP。

7. 確認 TLS 憑證檔案位於 /etc/httpd/conf.d/ssl.conf 檔案參照的目錄中：

   SSLCertificateFile "/etc/pki/tls/certs/custom domain of Looker (Google Cloud core).crt"
   SSLCertificateKeyFile "/etc/pki/tls/private/custom domain of Looker (Google Cloud core).key"
   

8. 檢查是否已安裝 mod_ssl：

   sudo yum list installed | grep mod_ssl
   

   如果未安裝 mod_ssl，請執行下列指令進行安裝：

   sudo yum install mod_ssl
   

   安裝 mod_ssl 後，您必須在 Apache 設定檔 /etc/httpd/conf/httpd.conf 中新增下列程式碼，才能啟用該模組：

   LoadModule ssl_module modules/mod_ssl.so
   

9. 在 Apache 設定檔 /etc/httpd/conf/httpd.conf 中，將 Listen 80 替換為 Listen 443。

10. 執行下列指令，允許 Apache Proxy VM 將流量轉送至 Looker (Google Cloud Core)：

    /usr/sbin/setsebool -P httpd_can_network_connect 1
    

11. 最後，重新啟動 Apache 以套用變更：

    sudo systemctl restart httpd
    

12. 使用下列指令，確認 Apache 已載入並準備好重新編寫模組：

    sudo httpd -M | grep rewrite
    

    系統應會傳回類似以下的輸出內容：

    rewrite_module (shared)

13. 最後，請啟動或重新啟動 Apache 程序，確保所有設定變更都能生效：

    sudo systemctl restart httpd
    

14. 使用下列指令，確認 Apache 程序已正確重新啟動：

    sudo systemctl status httpd
    

    系統應會傳回類似以下的輸出內容：

    httpd.service - The Apache HTTP Server
    Loaded: loaded (/usr/lib/systemd/system/httpd.service; disabled; vendor preset: disabled)
    Active: active (running) since Tue 2024-05-14 15:41:57 UTC; 1s ago
      Docs: man:httpd(8)
            man:apachectl(8)
    Main PID: 1400 (httpd)
    Status: "Processing requests..."
    CGroup: /system.slice/httpd.service
            ├─1400 /usr/sbin/httpd -DFOREGROUND
            ├─1401 /usr/sbin/httpd -DFOREGROUND
            ├─1402 /usr/sbin/httpd -DFOREGROUND
            ├─1403 /usr/sbin/httpd -DFOREGROUND
            ├─1404 /usr/sbin/httpd -DFOREGROUND
            └─1405 /usr/sbin/httpd -DFOREGROUND
    May 14 15:41:57 proxy-ingress-apache systemd[1]: Starting The Apache HTTP Server...
    May 14 15:41:57 proxy-ingress-apache systemd[1]: Started The Apache HTTP Server.