環境構築するにあたり、publicにweb機・privateにApp機と分けたほうがよりセキュリティ強化につながるということでその設計でrailsの環境を立ててみたのでまとめてみます。
はじめに
全体図はこんな感じです。
設定していきます。
nginx側
EC2サーバーを立てて、nginxをインストールします。
# yum -y install nginx
インストール後、nginxの設定をいじっていきます。
ファイルは/etc/nginx/nginx.confでこの中に書いてあります。
コードは全体的にこんな感じだったような・・・違ったらすみません。
user nginx;
worker_processes auto;
error_log /var/log/nginx/error.log;
pid /var/run/nginx.pid;
# Load dynamic modules. See /usr/share/nginx/README.fedora.
include /usr/share/nginx/modules/*.conf;
events {
worker_connections 1024;
}
http {
log_format main '$remote_addr - $remote_user [$time_local] "$request" '
'$status $body_bytes_sent "$http_referer" '
'"$http_user_agent" "$http_x_forwarded_for"';
access_log /var/log/nginx/access.log main;
sendfile on;
tcp_nopush on;
tcp_nodelay on;
keepalive_timeout 65;
types_hash_max_size 2048;
include /etc/nginx/mime.types;
default_type application/octet-stream;
# Load modular configuration files from the /etc/nginx/conf.d directory.
# See http://nginx.org/en/docs/ngx_core_module.html#include
# for more information.
include /etc/nginx/conf.d/*.conf;
index index.html index.htm;
server {
listen 80 default_server;
listen [::]:80 default_server;
server_name localhost;
access_log /var/log/nginx/access.log;
error_log /var/log/nginx/error.log;
set_real_ip_from 172.200.0.0/21;
real_ip_header X-Forwarded-For;
client_max_body_size 100m;
error_page 404 /404.html;
error_page 500 502 503 504 /500.html;
try_files $uri/index.html $uri @unicorn;
location / {
proxy_pass http://xxx.xxx.xxx.xxxx:8080;
}
}
}
いじるのはserverの箇所です。取り出してみます。
server {
listen 80 default_server;
listen [::]:80 default_server;
server_name localhost;
access_log /var/log/nginx/access.log;
error_log /var/log/nginx/error.log;
set_real_ip_from xxx.xxx.xxx.xxxx/21; #←VPCのIPを設定
real_ip_header X-Forwarded-For;
client_max_body_size 100m;
error_page 404 /404.html;
error_page 500 502 503 504 /500.html;
try_files $uri/index.html $uri @unicorn;
location / {
proxy_pass http://xxx.xxx.xxx.xxxx:8080;#←privateインスタンスのIPを設定、ポート番号も設定する
}
}
修正すべきはlocationの部分です。（set_real_ip_fromとreal_ip_headerはALBを通した時にここのコードがないとALBのIPアドレスになってしまうため、自社からのアクセスなのかどうかを判断できるように入れています）
そこに指定するとポート8080でプライベートなインスタンスにリクエストを渡すことができます。
起動するときは以下コマンドです。
# nginx
unicorn
Gemfileにセットして、bundle installするだけです。
gem 'unicorn'
unicornの設定は以下です.
ファイルはconfig/unicorn.rb
$unicorn_user = "user"
$unicorn_group = "user"
worker_processes 16
working_directory '/var/www/app'
listen '/tmp/unicorn.sock', :backlog => 1024
listen 8080, :tcp_nopush => true #←ここを8080にする
timeout 120
pid "/tmp/pids/unicorn.pid"
stderr_path "/var/log/unicorn/unicorn_error.log"
stdout_path "/var/log/unicorn/unicorn.log"
preload_app true
before_fork do |server, worker|
defined?(ActiveRecord::Base) and ActiveRecord::Base.connection.disconnect!
old_pid = "#{ server.config[:pid] }.oldbin"
unless old_pid == server.pid
begin
Process.kill :QUIT, File.read(old_pid).to_i
rescue Errno::ENOENT, Errno::ESRCH
end
end
end
after_fork do |server, worker|
defined?(ActiveRecord::Base) and ActiveRecord::Base.establish_connection
end
ポート番号をnginxで渡すポートに合わせます。
起動するときは以下コマンドです。
bundle exec unicorn_rails -c config/unicorn.rb -E development -D
killするときは以下です。unicornの設定のpidsのところと合わせます。
kill -QUIT `cat /tmp/pids/unicorn.pid`
最後に
これでセキュアな環境を立てられます。同じ環境を建てる時にめんどくさいのでcloudformationで作成したいと思います。
nginxの設定ファイルを書き直します。
server {
listen 80 default_server;
listen [::]:80 default_server;
server_name localhost;
access_log /var/log/nginx/access.log;
error_log /var/log/nginx/error.log;
set_real_ip_from xxx.xxx.xxx.xxxx/21; #←VPCのIPを設定
real_ip_header X-Forwarded-For;
client_max_body_size 100m;
error_page 404 /404.html;
error_page 500 502 503 504 /500.html;
try_files $uri/index.html $uri @unicorn;
location / {
proxy_pass http://private_ip_address:8080;#←privateインスタンスのIPを設定、ポート番号も設定する
}
}
locationのところをprivate_ip_addressに修正しています。このようにしてcloudformationのタスク実行時に置換してIPを入れ込む作戦です。テンプレートが以下です。
{
"AWSTemplateFormatVersion": "2010-09-09",
"Description": "Green CloudFormation Template for User Production",
"Parameters": {
"KeyName": {
"Type": "AWS::EC2::KeyPair::KeyName"
},
"ALBName": {
"Type": "String",
"Description": "Production ALBName"
},
"LoadBalancerArn": {
"Type": "String",
"Description": "Production ALBName"
},
"VPCID": {
"Type": "String",
"Description": "Production VPC"
},
"PublicSubnetB": {
"Type": "String",
"Description": "Public SubnetId B"
},
"PrivateSubnetB": {
"Type": "String",
"Description": "Private Subnet B"
},
"InstanceSecurityGroupWeb": {
"Type": "String",
"Description": "WebServer SecurityGroup"
},
"InstanceSecurityGroupApp": {
"Type": "String",
"Description": "WebServer SecurityGroup"
},
"SSHGroup": {
"Type": "String",
"Description": "SSH SecurityGroup"
}
},
"Resources": {
"PrivateEc2Instance": {
"Type": "AWS::EC2::Instance",
"Properties": {
"ImageId": "ami-xxxxxxxx",
"InstanceType": "c3.2xlarge",
"IamInstanceProfile": "ApplicationServer",
"SecurityGroupIds": [
{
"Ref": "InstanceSecurityGroupApp"
},
{
"Ref": "SSHGroup"
}
],
"SubnetId": {
"Ref": "PrivateSubnetB"
},
"KeyName": {
"Ref": "KeyName"
},
"Tags": [
{
"Key": "Name",
"Value": "ApplicationServer"
}
],
"UserData": {
"Fn::Base64": {
"Fn::Join": [
"",
[
"#!/bin/bash\n",
"sudo su\n",
"su user \n",
"cd \n",
"sudo dd if=/dev/zero of=/swapfile bs=1M count=1024\n",
"sudo mkswap /swapfile\n",
"sudo swapon /swapfile\n"
]
]
}
}
}
},
"PublicEc2Instance": {
"Type": "AWS::EC2::Instance",
"Properties": {
"ImageId": "ami-xxxxxxx",
"InstanceType": "t2.small",
"SecurityGroupIds": [
{
"Ref": "InstanceSecurityGroupWeb"
},
{
"Ref": "SSHGroup"
}
],
"SubnetId": {
"Ref": "PublicSubnetB"
},
"KeyName": {
"Ref": "KeyName"
},
"Tags": [
{
"Key": "Name",
"Value": "WebServer"
}
],
"UserData": {
"Fn::Base64": {
"Fn::Join": [
"",
[
"#!/bin/bash\n",
"sudo su\n",
"su user\n",
"cd \n",
"sudo dd if=/dev/zero of=/swapfile bs=1M count=1024\n",
"sudo mkswap /swapfile\n",
"sudo swapon /swapfile\n",
"sudo sed -i \"s/private_ip_address/",
{
"Fn::GetAtt": [
"PrivateEc2Instance",
"PrivateIp"
]
},
"/g\" /etc/nginx/nginx.conf \n",
"sudo su \n",
"service nginx start \n"
]
]
}
}
}
},
"ALBTarget": {
"Type": "AWS::ElasticLoadBalancingV2::TargetGroup",
"Properties": {
"HealthCheckIntervalSeconds": "30",
"HealthCheckPath": "/login",
"HealthCheckPort": "traffic-port",
"HealthCheckProtocol": "HTTP",
"HealthCheckTimeoutSeconds": "5",
"HealthyThresholdCount": "5",
"Matcher": {
"HttpCode": "200"
},
"Name": {
"Ref": "ALBName"
},
"Port": "80",
"Protocol": "HTTP",
"Targets": [
{
"Id": {
"Ref": "PublicEc2Instance"
},
"Port": "80"
}
],
"UnhealthyThresholdCount": "2",
"VpcId": {
"Ref": "VPCID"
}
}
}
}
}
これが既存のALBのターゲットグループに作成したEC2を入れて、かつnginxとunicornの接続を可能したものです。
webserverのUserDataの箇所にごちゃごちゃコードを入れています。ここで置換をして接続を可能にしています。またスワップ設定も必要なので入れておきました。
nginxがスタートしてくれなかったので、その設定も入れておきました。
終わりに
cloudformationでテンプレートを作っておくと、同じ構成のものを作る時かなり楽になるのでオススメです。またAMIのID指定でその状態のものを使って構築できるのでこれも大きなメリットだなーと使用して思いました。