OpenVPN achter NGINX

[NiRo]

Hallo iedereen

Ik heb hier thuis een server staan waarmee ik graag zou willen verbinden via OpenVPN. Ik gebruik een NGINX reverse proxy om alle verkeer naar de server te verdelen over webservers etc. SSL verkeer leid ik via de server_name attribute om naar de desbetreffende server. Aangezien ik daarvoor de poort 443 moet openzetten zou ik deze ook graag gebruiken voor OpenVPN verbindingen. Dat beketent dat ik een TCP verbinding naar OpenVPN moet leggen.

Via research kwam ik erachter dat ik voor dit doeleind een nieuwe block 'stream' in nginx.conf nodig heb. Op dit moment staat dit erin:

stream {
upstream tcp_backend {
server 192.168.0.123:443;
}

server {
proxy_connect_timeout 300s;
proxy_timeout 300s;
listen 443;
proxy_pass tcp_backend;
}
}

Als ik nu mijn NGINX server restart geeft hij een bind failed error. Logisch ook, aangezien ik poort 443 gebruik voor SSL verbindingen. Ik vond hier echter dat stream en http blocks verschillend zijn dus dat dit geen probleem vormt, wat het bij mij wel doet. Waarschijnlijk ligt dit aan de verkeerde configuratie van mijn stream block. Wat doe ik precies fout?

Alvast bedankt!
Rob Nickmans

[BugBoy]

Je kan beter NGINX achter OpenVPN zetten: https://jarrousse.org/get...d-nginx-to-share-port-443. Alle non-VPN traffic zet die dan door. Werkt denk ik beter.

[NiRo]

Is het proberen waard! Ik hou jullie op de hoogte. Andere suggesties zijn nog steeds welkom!

[Tha Render_2]

OpenVPN over UDP gebruiken ipv TCP?

the best general advice is to use the faster UDP protocol unless you experience connection problems, which is the strategy adopted by most VPN providers by default.

[NiRo]

Werkt dit dan ook volgens het stream principe? Want op meerdere fora met een vergelijkbaar probleem werd het TCP-protocol gebruikt.

[powerboat]

Volgens mij kan nginx geen tcp stream aan en alleen http/https (kan me vergissen).

Ik heb dit opgelost door een haproxy ervoor te zetten.

[NiRo]

Kan ik dan niet beter Haproxy voor alles gebruiken in plaats van te combineren met nginx? Beetje te gek om met twee proxy servers te knoeien. Op de website van nginx staat iets van "ssl preread" vermeld om ssh en http te combineren maar dat werd nogal simpel voorgesteld, zonder http headers of certificates bijvoorbeeld.

[powerboat]

Dat denk ik ook, momenteel heb ik nog een apache reverse proxy achter zitten vanwege oude meuk die ik nog moet opzetten.

[DiedX]

Maar waarom openvpn niet native op udp draaien?

Ik heb het werkend gehad, inderdaad eerst openvpn naar nginx. Werkt leuk. Je komt door alle firewalls heen. Maar de verbinding was niet stabiel.

[NiRo]

Dan moet ik mijn VPN inderdaad ervoor zetten. Bedankt voor de inspiratie!

[idef1x]

Je kunt ook eens naar SSLH (https://github.com/yrutschle/sslh) kijken. Werkte bij mij prima i.c.m. met een nginx reversed proxy, openvpn en ssh allemaal via TCP poort 443 te benaderen