Configurar Nginx HTTP Reverse-Proxy

Exponer OpenKM directamente desde Tomcat puede ser peligroso si necesita que se acceda a la aplicación desde Internet (por ejemplo https://issues.jboss.org/browse/JBAS-3861). Como resultado, puede infectarse con PerlBot. Además, el puerto 8080 puede estar bloqueado por un cortafuegos. Por estas razones, es buena idea exponer su instalación de OpenKM a través del puerto web estándar 80. En los siguientes pasos explicamos cómo configurar Apache para que gestione estas peticiones y las reenvíe al servidor de aplicaciones Tomcat mediante el protocolo AJP13.

De la documentación de Apache: el protocolo AJP13 está orientado a paquetes. Presumiblemente se eligió un formato binario en lugar del texto plano, más legible, por motivos de rendimiento. El servidor web se comunica con el contenedor de servlets mediante conexiones TCP. Para reducir el costoso proceso de creación de sockets, el servidor web intentará mantener conexiones TCP persistentes con el contenedor de servlets y reutilizar una conexión para varios ciclos de petición/respuesta.

IP interna frente a IP externa

Su OpenKM puede ser accedido desde dos zonas diferentes: Internet y la LAN. Esto significa que, para acceder a este servidor, necesita utilizar dos IP: la IP externa (Internet) y la IP interna (LAN).

La dirección IP interna (también conocida como “dirección IP local”) es la dirección que asigna el router de su red local y que suele empezar por 192.168.x.x. Estas direcciones IP solo pueden ser vistas por otros equipos de su red local (LAN) y no por ningún equipo conectado a una red externa como Internet.

Para llegar a Internet o a un equipo de otra red, a su equipo se le suele asignar una dirección IP externa, que puede utilizarse después para referirse al equipo de su red local.

En la imagen anterior hay tres equipos en la red local a los que el router ha asignado a cada uno su propia dirección IP interna. El ISP está conectado al router y le proporciona una dirección IP externa que le permite comunicarse con Internet. En Internet todo el mundo ve su dirección IP externa, pero cualquier información que llega desde el router se “convierte” de la dirección IP externa a la dirección IP interna.

Por tanto, si desea que su instalación de OpenKM sea accesible tanto desde la LAN como desde Internet, el truco consiste en configurar los equipos cliente para que resuelvan su IP interna (192.168.0.50) si están dentro de la LAN o la IP externa si están en Internet. Para resolver la IP de Internet (67.166.214.148), su equipo utiliza el DNS público. Por tanto, necesita configurar algún tipo de servidor DNS dentro de la LAN o modificar el archivo hosts de cada cliente para que resuelva a la IP interna.

Debian y Ubuntu

El primer paso es instalar el software Apache necesario. En Debian / Ubuntu puede instalar Apache con un solo comando:

$ sudo apt-get install nginx

Ahora cree el archivo de configuración /etc/nginx/sites-available/openkm con este contenido:

$ vim /etc/nginx/sites-available/openkm

server {
    listen 80;
    server_name openkm.your-domain.com;
    # Avoid checking files size
    #    client_max_body_size 0;
    rewrite ^/$ /OpenKM permanent;
    location /OpenKM/frontend/webSocket {
        proxy_pass http://localhost:8080/OpenKM/frontend/webSocket;
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";
        proxy_set_header Host $host;
    }

    location /OpenKM {
         proxy_set_header X-Forwarded-Host $host;
         proxy_set_header X-Forwarded-Server $host;
         proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
         proxy_pass http://localhost:8080/OpenKM;
    }
}

Nota

Cambie openkm.your-domain.com por la IP de su servidor o el valor de su dominio.

Habilite esta configuración de sitio:  

$ ln -s /etc/nginx/sites-available/openkm /etc/nginx/sites-enabled/

Comprobar la configuración

Reinicie Nginx:

$ sudo /etc/init.d/nginx restart

Compruebe el acceso a su instalación de OpenKM desde http://openkm.your-domain.com/.  

Consejo

Otra ventaja de utilizar Nginx es que puede registrar los accesos a OpenKM y generar estadísticas web.

Red Hat y CentOS

Utilice el gestor de aplicaciones yum para instalar Nginx:

$ sudo yum install nginx

Habilítelo en el arranque:

$ sudo chkconfig nginx --level 2345 on

Según su versión de CentOS, esta versión de Nginx puede ser demasiado antigua, por lo que es mejor instalarlo desde sus repositorios. Para ello, cree un archivo llamado /etc/yum.repos.d/nginx.repo e incluya la configuración correspondiente:

CentOS

[nginx]
name=nginx repo
baseurl=http://nginx.org/packages/centos/$releasever/$basearch/
gpgcheck=0
enabled=1

RedHat

[nginx]
name=nginx repo
baseurl=http://nginx.org/packages/rhel/$releasever/$basearch/
gpgcheck=0
enabled=1

Ahora cree el archivo de configuración /etc/nginx/conf.d/openkm.conf con este contenido:

$ vim /etc/nginx/conf.d/openkm.conf

server {
    listen 80;
    server_name openkm.your-domain.com;
    # Avoid checking files size
    #    client_max_body_size 0;
    rewrite ^/$ /OpenKM/ permanent;

    location /OpenKM/frontend/webSocket {
        proxy_pass http://localhost:8080/OpenKM/frontend/webSocket;
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";
        proxy_set_header Host $host;
    }

    location /OpenKM {
         proxy_set_header X-Forwarded-Host $host;
         proxy_set_header X-Forwarded-Server $host;
         proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
         proxy_pass http://localhost:8080/OpenKM;
    }
}

Nota

Cambie openkm.your-domain.com por la IP de su servidor o el valor de su dominio.

Comprobar la configuración

Reinicie Nginx:

$ sudo /etc/init.d/nginx restart

Compruebe el acceso a su instalación de OpenKM desde http://openkm.your-domain.com/.

Si no puede acceder al puerto del servidor desde otras máquinas, revise la configuración de su cortafuegos. Para más información, lea How To Set Up a Basic Iptables Firewall on Centos 6.

Consejo

Otra ventaja de utilizar Nginx es que puede registrar los accesos a OpenKM y generar estadísticas web.

Precaución

En caso de que vea este error, u otro similar, en el registro de Nginx:

connect() to 127.0.0.1:8080 failed (13: Permission denied)

Ejecute este comando e inténtelo de nuevo:

$ setsebool -P httpd_can_network_connect on

Estos son varios comandos útiles relacionados con SELinux:

Obtener toda la configuración relacionada con HTTP

$ getsebool -a | grep httpd

Más información en SELinux Booleans.