Reverse proxy windows server 2019

Client’s with a need to secure legacy servers behind a reverse proxy server have an option to use Microsoft IIS. While we typically recommend using a Linux server that has NGINX installed, we understand the need for such a use case and feel it’s important to demonstrate this basic technique.  

We’ll be using a VM running Windows Server 2019 with IIS 10 installed. The IIS extension we’ll use is called URL Rewrite and has been around since IIS 7, so this technique should work well with older versions of IIS.

Assumptions

We won’t cover the basics of spinning up a VM running Windows Server on Microsoft Azure in this article. For more information on that topic, check out this great Microsoft Quickstart Tutorial on setting up a VM and installing IIS.

This article assumes you have the following items setup prior to starting this tutorial:

• Azure Portal — you will need a Microsoft Azure account.
• Azure Windows VM — we will be running Windows Server 2019 for this tutorial.
• IIS — we have installed IIS 10.
• Domain Name — you will need access to a domain or use a dynamic DNS service.
• DNS — we have setup azure-test.tevpro.com to point to the public IP of our VM.

Step 1: Install URL Rewrite

We have installed IIS 10 using a simple PowerShell command.

Doing so will setup and configure IIS using all the basic defaults that come with IIS.

Install-WindowsFeature -name Web-Server -IncludeManagementTools

The first thing we need to do is install an IIS extension called URL Rewrite. This will allow us to configure IIS to act as a reverse proxy server.

On the server you choose as your reverse proxy, download and install the URL Rewrite extension taking all the defaults when installing.

Step 2: Setup a Website

To begin, open up IIS manager and create a new website to use as your reverse proxy end-point. It should look like this:

Right click on Sites, then select Add Website.

Next, fill in some details about the website. For our example, we will create a new sub-domain for our Tevpro.com website.

Note: Even though we aren’t setting up an actual website, we still need to create a folder somewhere for our dummy site. Here, we created a test folder under our websites folder.

Once you have completed the form, click OK.

After clicking OK, we should see our website.

When selected, we should see the following options. Notice the URL Rewrite option that shows up after we successfully installed the extension. This is what we will use to configure our reverse proxy.

Step 3: Configure URL Rewrite

After we have setup our new website, that will act as our public end-point, we need to configure it as our reverse proxy.

To do this, double click on the URL Rewrite option under our website (shown in Figure 3).

Next, click the Add Rule(s) item from the Actions section on the far right.

This will bring up the following dialog, under Inbound rules. Select Blank rule and click OK.

For our example, the configuration is pretty straightforward. It’s outside of the scope of this article, but know you can get more complex in the pattern matching and route handling.

First, we need to provide a name for our rule, add a pattern for how we want to match incoming request, and set the rewrite URL.

Breaking this step down a bit further, the pattern is how we want to handle capturing incoming request to the website we setup to act as our reverse proxy (azure-test.tevpro.com).

Since we want to be very broad and capture everything, our regex is quite simple. We want to match everything after the domain name, which is what «.*» will do for us.

Click the Test pattern… button and a tool dialog pops up that allows us to test our pattern. We want to make sure that anytime someone visits azure-test.tevpro.com/blog, we capture anything after the domain name. This way we ensure when we rewrite the URL, we can point to the right location.

Take note of the capture group {R:0}. We will use this to configure our rewrite URL.

Taking a closer look at our action section, we see the Rewrite URL input field. This field indicates where we want our website to point. Since we want to route back to our website, we put in the URL and append the regex capture group {R:0} from the previous test pattern.

This will forward any request coming into our reverse proxy to the origin server tevpro.com keeping the URL fully intact.

Once you have finished setting up the new rule, click Apply.

And viola. We have configured our new website to act as a reverse proxy.

Note: Since we require SSL for our website, we configured SSL for our test server. That’s beyond the scope of this article, however we used Let’s Encrypt.

Step 4: Test the Reverse Proxy

Now that we have completed the reverse proxy configuration, we need to test our new website.

We expect that anytime a user visits the URL, azure-test.tevpro.com, we’ll automatically reroute the corresponding request to tevpro.com.

As you can see below, when we type the URL into our web browser, we see the Tevpro.com website. It is actually being masked behind our reverse proxy website. Pretty cool, right?

Conclusion

As you can see, it’s pretty simple technique to set up a reverse proxy server using IIS. The IIS extension does most of the heavy lifting and can be used for more complex routing when needed.

Whether you’re trying to protect a legacy system or add an extra layer in front of your existing website to make migrations easier, this approach has worked well over the years.

At Tevpro, we have helped countless clients improve their business with even the most basic techniques and technology solutions. We’re here to help clients discover their potential in a range of solutions, and weigh pros/cons, so that they are empowered to make the best decision for their business.

Feel free to reach out to us on Twitter or via email with any questions.

Photo by Science in HD

Обратный прокси-сервер становится все более популярным инструментом для эффективного управления и защиты сетей в организациях. Он позволяет обеспечить безопасность и высокую производительность серверов, а также распределить трафик между различными серверами.

В этой статье мы рассмотрим подробное руководство по настройке обратного прокси-сервера на операционной системе Windows Server 2019. Мы поговорим о том, что такое обратный прокси и как он работает, а также о том, как правильно настроить обратный прокси-сервер на вашем сервере.

Во-первых, вам понадобится установить и настроить компоненты, необходимые для работы обратного прокси-сервера. Мы расскажем вам, как установить Internet Information Services (IIS) и URL Rewrite, а также настроить SSL-сертификат для безопасной работы вашего прокси-сервера.

Затем мы рассмотрим, как настроить обратный прокси-сервер с использованием функциональности IIS. Мы расскажем вам о правилах перенаправления URL, балансировке нагрузки и защите от DDoS-атак. Также мы рассмотрим различные возможности настройки прокси-сервера для достижения оптимальной производительности и безопасности.

В заключение мы предоставим вам полезные советы по управлению и обслуживанию обратного прокси-сервера на Windows Server 2019. Вы узнаете, как мониторить работу прокси-сервера, резервировать сервера и выполнять регулярное обновление программного обеспечения, чтобы поддерживать высокую надежность и безопасность вашей системы.

Установка Windows Server 2019

Перед установкой Windows Server 2019 убедитесь, что ваша система соответствует минимальным требованиям:

• Процессор: 1,4 ГГц 64-бит (2 ГГц и выше рекомендуется)
• Оперативная память: 2 ГБ (4 ГБ и выше рекомендуется)
• Место на диске: 32 ГБ (64 ГБ и выше рекомендуется)
• Графический адаптер: с поддержкой DirectX 9 или выше
• Сетевой адаптер: подключение к сети

Чтобы установить Windows Server 2019, выполните следующие шаги:

1. Вставьте загрузочный диск или USB-флешку с установочным образом Windows Server 2019 в ваш компьютер или сервер.
2. Перезагрузите компьютер и настройте загрузку с диска или USB-флешки в BIOS.
3. Выберите язык установки, часовой пояс и другие предпочтения, а затем нажмите «Далее».
4. Нажмите «Установить» и согласитесь с условиями лицензии.
5. Выберите тип установки в зависимости от ваших потребностей: «Полная установка на новый том» или «Обновление существующего экземпляра Windows Server».
6. Выберите том для установки и нажмите «Далее».
7. Следуйте инструкциям установщика и дождитесь завершения процесса установки.
8. После установки настройте необходимые параметры системы, такие как имя компьютера, пароль администратора, сетевые настройки и другие.
9. Подтвердите настройки и завершите установку.

После завершения установки Windows Server 2019 вы можете приступить к настройке обратного прокси-сервера на вашем сервере.

Подготовка сервера перед установкой системы

Прежде чем приступить к настройке обратного прокси-сервера на Windows Server 2019, необходимо выполнить несколько предварительных шагов:

1. Убедитесь, что сервер соответствует минимальным требованиям для установки Windows Server 2019. Проверьте наличие достаточного объема оперативной памяти, свободного места на жестком диске и совместимости с архитектурой процессора.
2. Создайте раздел на жестком диске, на который будет установлена операционная система. Рекомендуется использовать отдельный раздел для обеспечения безопасности данных и возможности легкой переустановки системы при необходимости.
3. Загрузите образ Windows Server 2019 с официального сайта Microsoft. Убедитесь, что загруженный образ соответствует архитектуре вашего сервера (32-битная или 64-битная).
4. Подготовьте загрузочное устройство, такое как DVD-диск или USB-накопитель, для установки операционной системы.
5. В BIOS сервера установите загрузку с загрузочного устройства, на котором находится образ Windows Server 2019.
6. Запустите установку операционной системы, следуя инструкциям на экране. Выберите язык установки, региональные настройки и прочие параметры в соответствии с вашими потребностями.
7. Выберите раздел на жестком диске для установки операционной системы и выполните необходимые настройки, такие как создание имени пользователя и пароля администратора.
8. Дождитесь завершения установки операционной системы и перезагрузите сервер.

После выполнения всех этих шагов сервер будет готов к настройке обратного прокси-сервера на Windows Server 2019.

Настройка сетевых параметров

Перед началом настройки обратного прокси-сервера на Windows Server 2019 необходимо настроить сетевые параметры.

1. Откройте меню «Пуск» и выберите «Панель управления». В поисковой строке введите «Центр управления сетями и общим доступом» и выберите соответствующий результат.

2. В открывшемся окне выберите раздел «Изменение параметров адаптера».

3. Найдите сетевой адаптер, который будет использоваться для обратного прокси-сервера, и щелкните правой кнопкой мыши на его значке. В контекстном меню выберите «Свойства».

4. В открывшемся окне выберите протокол IPv4 (если его нет, выберите «Интернет-протокол версии 4 (TCP/IPv4)»). Щелкните на кнопке «Свойства».

5. В открывшемся окне выберите опцию «Использовать следующий IP-адрес» и заполните поля «IP-адрес» и «Маска подсети» в соответствии с вашей сетевой конфигурацией. Запишите эти значения, они понадобятся в дальнейшем.

6. Щелкните на кнопке «ОК», чтобы сохранить изменения.

Теперь вы настроили сетевые параметры для обратного прокси-сервера на Windows Server 2019.

Установка обратного прокси-сервера

Для установки обратного прокси-сервера на Windows Server 2019 необходимо выполнить следующие шаги:

1. Загрузите установочный файл обратного прокси-сервера с официального сайта разработчика или из надежного источника.
2. Запустите установочный файл и следуйте инструкциям мастера установки.
3. Во время установки укажите необходимые параметры, такие как путь установки, порт прокси и другие настройки в зависимости от ваших требований.
4. Дождитесь завершения установки обратного прокси-сервера.
5. Откройте конфигурационный файл обратного прокси-сервера (обычно расположен в папке установки) в текстовом редакторе.
6. Настройте конфигурационный файл согласно вашим потребностям, указав параметры прокси-сервера, трансляцию портов, настройки безопасности и другие параметры.
7. Сохраните изменения в конфигурационном файле и закройте его.
8. Перезапустите обратный прокси-сервер, чтобы применить внесенные изменения.

После завершения этих шагов установка обратного прокси-сервера на Windows Server 2019 будет успешно выполнена, и вы сможете использовать его для обеспечения безопасного и эффективного доступа к веб-серверам и приложениям с внешних устройств.

Настройка и тестирование прокси-сервера

После установки обратного прокси-сервера на Windows Server 2019 необходимо выполнить его настройку и протестировать его работу перед использованием в продакшене. В этом разделе мы рассмотрим основные шаги по настройке и тестированию прокси-сервера.

1. Конфигурация прокси-сервера

Для начала необходимо сконфигурировать прокси-сервер в соответствии с требованиями вашей сети. Это включает указание портов для прослушивания входящих соединений, настройку аутентификации пользователей и другие параметры.

Наиболее распространенным прокси-сервером для Windows является Squid, и мы рассмотрим пример настройки конфигурационного файла для Squid:

• Откройте файл squid.conf в редакторе текста.
• Настройте параметры прокси-сервера, такие как порт прослушивания, правила доступа и аутентификации пользователей.
• Сохраните изменения и перезапустите прокси-сервер.

2. Проверка доступности прокси-сервера

После настройки прокси-сервера необходимо убедиться в его доступности и корректной работе. Для этого можно использовать следующие шаги:

1. Откройте веб-браузер на клиентской машине.
2. Настройте браузер на использование прокси-сервера, указав его IP-адрес и порт.
3. Попробуйте открыть веб-страницу или выполнить другой сетевой запрос через прокси-сервер.
4. Проверьте результаты запроса, убедитесь, что данные успешно получены и отображены в браузере.

Если веб-страницы успешно загружаются через прокси-сервер, значит его настройка прошла успешно. В противном случае, необходимо проверить и исправить возможные проблемы с настройками или сетевыми соединениями.

Также рекомендуется протестировать работу прокси-сервера с различными типами запросов, такими как HTTP, HTTPS, FTP и другими, чтобы убедиться в его полной функциональности.

3. Анализ логов прокси-сервера

Прокси-серверы часто имеют возможность записи логов о проходящем через них сетевом трафике. После осуществления тестовых запросов через прокси-сервер рекомендуется проанализировать эти логи, чтобы получить информацию о работе сервера и его использовании.

Логи могут содержать следующую информацию:

• IP-адреса клиентов и серверов, с которыми взаимодействует прокси-сервер.
• Время и дата сетевых запросов и ответов.
• Размер переданных данных.
• Информацию об ошибках и сбоях в работе прокси-сервера.

Анализ логов может помочь выявить проблемы сетевого трафика, обнаружить несанкционированные запросы или оптимизировать работу прокси-сервера.

В заключение, настройка и тестирование прокси-сервера являются важными этапами перед его использованием в живой среде. Правильная настройка и проверка помогут гарантировать безопасность, стабильность и эффективность прокси-сервера.

This installation procedure is made using the following Windows Server versions: 2012 r2 and 2019 Standard. Some installation steps might differ in other Windows versions. This is not production setup guide. This guidance can be used in restricted test environment installation.

Step 1: Add Internet Information Service — Feature into Windows Server 2012/2019

1. Use Server manager for installing IIS: Manage → Add Roles and Features

2. Click Add roles and features.
   

3. Select IIS feature and accept all additional component that is suggested.
   

4. Before installing, setup shows confirmation where components are listed. Click Install.

5. After Installation, IIS is shown in Server Management view.

Step 2. Configure Firewall

1. Open the Firewall advanced settings: click the Windows button → type: firewall → select Windows Firewall with Advanced Security.
2. Create a new Outbound rule:
   1. Under the Windows Firewall with Advanced Security on Local Computer field, click the Outbound Rules
   2. Under the Actions field, click New Rule…

3. Under the Rule Type page, select the option Port and click the Next button.
4. Under the Protocols and Ports page, choose the following:
   1. Does this rule apply to TCP or UDP: TCP
   2. Specific remote ports: 8080
   3. Click the Next button.
5. Under the Action page:
   1. Choose the option: Allow the connection.
   2. Click the Next button.
6. Under the Profile page:
   1. Choose that the rule applies with Domain, Private and Public.
   2. Click the Next button.
7. Under the Name page:
   1. Assign a name for the rule.
   2. Click the Finish button.

Reverse proxy configuration consists of the following operations:

• Open the Internet Information Services (ISS) Manager
• Create a self-signed certificate
• Add a website
• Add a server farm
• Verify the Routing rule and URL Rewrite Rule
• Configure the Server Affinity
• Configure the Proxy settings
• Configure the load balancer
  

1. Open the Internet Information Services (ISS) Manager:
   
   1. Windows button → Type and click Server Manager.
      
   2. Under the Servers field, highlight the IIS on the left.
   3. Right click the Proxy Server name.
   4. Select Internet Information Services (IIS) Manager.
2. Create a self-signed certificate:
   1. Go to IIS Manager
   2. Under the Connections field, left-click the server name
   3. Double-click the Server Certificates icon.

   HTTPS connections require a web certificate. Either self-signed or trusted certificate can be used. In this example, a self-signed certificate is used.

   You can also use for testing the self-signed certificate created during SSO installation process by importing C:\Program Files\Ubisecure\ubilogin-sso\ubilogin\custom\tomcat\keystore.pfx. This certificate has as alternative subjects both SSO and Accounting Service host names.
3. Click the Self-Signed Certificate under the Actions field.
   1. Assign a name for the certificate.
   2. Use value Personal for the certificate store.

4. Under the Connections field, right-click the Sites → Select Add Website…
   

5. In the Add Website dialog, define the following parameters:

   1. Site name: <your site name>

   2. Physical Path: C:\inetpub\wwwroot

   3. Type: https

   4. Host name: <uas.url from win32.config>

   5. SSL certificate: <certificate created before>
6. Click the OK button.
7. Under the Connections field, right-click the Server Farm.
   1. Select Create Server Farm…

8. Assign a name for the server farm

   1. Click the Next button

9. Add the SSO servers to the server farm.

   1. Define the Server address (host name or IP address).

   2. Under the advanced settings, verify that you have the correct HTTP and HTTPS port numbers. In this example, the default HTTP port 80 is changed to 8080 (from proxy.local.url in win32.config).

   3. Click the Finish button.

10. Click Yes to create a URL rewrite rule to automatically route all incoming requests to your server farm.
11. Under the Connections field, select your Server Farm name
    1. Double-click the Routing Rules icon.
12. Verify that the Use URL Rewrite to inspect incoming requests checkbox is enabled.

13. Under the Actions field, click the URL Rewrite… link.

14. The URL Rewrite name has to use the syntax: ARR_< Server Farm Name >_loadbalance.

    If you rename the rule it will break the link between ARR (Application Request Routing) and URL Rewrite rule.

15. To open the rule: Right-click the rule name → Select Inbound Rules → Select Edit…

16. Verify the following values:

    1. Action type: Route to Server Farm

    2. Scheme: http://

    3. Server Farm: <Your Server Farm Name>

    4. Path: /{R:0}

17. Click the Conditions drop-down list → Click the Add… button and specify the following values:

    1. Input: {HTTP_HOST}

    2. Check if input string: Matches the Pattern

    3. Pattern: <uas.url from win32.config>

18. Under the Connections field, select your Server Farm name → Double-click the Server Affinity icon.

19. Check the Client affinity checkbox.

20. Under the Actions field, click the Apply.

    «Sticky Sessions and client affinity are ways of maintaining a persistent connection to a specific webfarm node until the client session ends. When a client connects to a website, the load balancer starts a session on a specific node:  as long as the client is connected, all requests are sent back to that node.»

21. Under the Connections field, Select your Server Farm name → Double-click the Proxy icon.

22. Check the Reverse rewrite host in response header checkbox and uncheck the Include TCP port from client IP checkbox.
23. Under the Actions field, click Apply.

24. Under the Connections field, select your Server Farm name → Double-click the Load Balance icon.

25. Under the Load Balance field, configure the parameters:

    1. Load balance algorithm: Weighted round robin

    2. Load distribution: Custom distribution

    3. Relative Weight of SSO Server 1: 1000000000

    4. Relative Weight of SSO Server 2: 1

26. Click Apply under Actions.

    For High-Performance setup, only proxy related setting is «Load Balance». In High-Performance setup, requests are distributed equally.

    For High-Performance setup, SSO has to be setup for REDIS in-memory database for session management.

Step 4. Configure Reverse Proxy additionally for the Accounting Service

Reverse proxy configuration consists of the following operations

• Add binding to the website
• Create another server farm
• Verify the Routing rule and URL Rewrite Rule
• Create a specific Inbound rule
• Configure the Server Affinity
• Configure the Proxy settings
• Configure the load balancer

1. Add binding to the website: choose the site created in the previous step (let’s assume it was sso.example.com and not www.example.com like in the screen captures above), select Bindings… from Actions, and click Add.., enter following parameters:

   1. Type: https

   2. Port: 443

   3. Host name: <accounting.url from win32.config>

   4. SSL certificate: <certificate selected above>

2. Create another server farm with name e.g. «Acc Cluster Farm», and add the same servers as to the SSO server farm but with different http port numbers (port number from accounting.proxy.local.url in win32.config):

3. Click Yes to create a URL rewrite rule to automatically route all incoming requests to your server farm.

4. Verify the Routing rule and URL Rewrite Rule for the new server farm in the same way as with SSO configuration above.

5. Create a specific Inbound rule on top of the routing rules: choose Add Rule(s)… from Actions:

6. Choose Blank rule and enter the following parameters:

   1. Name: add-forward-headers

   2. Match URL Pattern: (.*)

   3. Server Variables:

      1.   Name: HTTP_X_FORWARDED_PROTO Value: https

   4. Action Rewrite URL: {R:0

7. Click Apply to confirm and click Move Up to move the new rule on top of the rules. This rule is needed for Accounting Service OAuth2 authentication flow to provide both X-Forwarded-For and X-Forwarded-Proto headers when redirecting back from SSO to Accounting Service.

   1. The outcome is shown in the following screen capture:

8. Configure the Server Affinity the same way as with SSO configuration above except use a different cookie name.

9. Configure the Proxy settings otherwise the same way as with SSO configuration above except disable the Reverse rewrite host in response headers checkbox. Otherwise redirecting from Accounting Service to SSO for OAuth2 login does not work.

10. Configure the load balancer as you wish to — there is no server side session in the Accounting Service.