TL;DR

外部サイトにアクセスする際に、プロキシを踏まなければならない
でも、使うソフトウェアがプロキシに対応していない
Apacheでリバースプロキシを立てて、対象のソフトウェアの代わりにApacheにプロキシを踏んでもらおう
透過型プロキシとか言わない

そんな、なんとかしてプロキシ環境から外に出たいお話。

環境

Ubuntu Linux 18.04 LTSで行います。

$ lsb_release -a
No LSB modules are available.
Distributor ID:	Ubuntu
Description:	Ubuntu 18.04.4 LTS
Release:	18.04
Codename:	bionic

このサーバーのIPアドレスは、192.168.33.10とします。

Apacheのインストール＆バージョン。

$ sudo apt install apache2


$ /usr/sbin/apache2 -v
Server version: Apache/2.4.29 (Ubuntu)
Server built:   2019-09-16T12:58:48

mod_ssl、それからmod_proxyを導入します。HTTPSの時にフォワードプロキシを踏むことを考えて、mod_proxy_connectも導入しておきます。

$ sudo a2enmod ssl proxy_http proxy_connect

デフォルトのHTTPサイトの有効化。

$ sudo a2ensite default-ssl

とりあえず、Apacheを再起動。

$ sudo systemctl restart apache2

この環境で始めていきます。

設定する

プロキシ先のターゲットとするサイトは、以下としましょう。

HTTP … http://wttr.in/tokyo
HTTPS … https://www.google.com

パターンは、以下の3つで構築します。

HTTP（8080） → フォワードプロキシ → HTTP（ターゲット）
HTTP（18080） → フォワードプロキシ → HTTPS（ターゲット）
HTTPS（8443） → フォワードプロキシ → HTTPS（ターゲット）

最後の2つは中間者なんとかっぽい気がしないでもないですが、バリエーションとしてできることは覚えておきましょう。

参照するドキュメントは、こちら。

最小構成で設定します。

HTTP（8080） → フォワードプロキシ → HTTP（ターゲット）

設定。

Listen 8080

<VirtualHost *:8080>
	ProxyPass / http://wttr.in/tokyo
	ProxyPassReverse / http://wttr.in/tokyo

	ProxyRemote * http://[your-proxy-host]:[your-proxy-port]
</VirtualHost>

フォワードプロキシを踏ませる場合には、ProxyRemoteディレクティブを使うのがポイントです。

確認。

$ curl -I 192.168.33.10:8080?lang=ja

HTTP（18080） → フォワードプロキシ → HTTPS（ターゲット）

設定。

Listen 18080

<VirtualHost *:18080>
	SSLProxyEngine on

	ProxyPass / https://www.google.com
	ProxyPassReverse / https://www.google.com

	ProxyRemote * http://[your-proxy-host]:[your-proxy-port]
</VirtualHost>

プロキシ先がHTTPSの場合は、SSLProxyEngineディレクティブが必要です。

確認。

$ curl -I 192.168.33.10:18080

なお、今回の構成では、ターゲットのSSL証明書をApacheが理解できることが前提になっています。

HTTPS（8443） → フォワードプロキシ → HTTPS（ターゲット）

設定。

Listen 8443

<VirtualHost *:8443>
	SSLEngine on

	SSLCertificateFile	/etc/ssl/certs/ssl-cert-snakeoil.pem
	SSLCertificateKeyFile /etc/ssl/private/ssl-cert-snakeoil.key

	SSLProxyEngine on

	ProxyPass / https://www.google.com
	ProxyPassReverse / https://www.google.com

	ProxyRemote * http://[your-proxy-host]:[your-proxy-port]
</VirtualHost>

Apache自体もHTTPSにしつつ、プロキシ先もHTTPSなのでSSLEngine、SSLProxyEngineの両方が必要です。

確認。

$ curl -I -k https://192.168.33.10:8443

Apache自体の証明書は自己署名証明書なので、curlのオプションに-kが必要です。

まとめ

これで、本来のサイトに直接アクセスしようとするのではなく、Apacheを経由して、Apacheにフォワードプロキシを踏んでもらうことで、プロキシに対応していないソフトウェアでもプロキシを踏ませられるようになる、と。

もちろん、クライアントソフトウェアから見た時のアクセス先の変更は、なんらかの方法で必要ですが。