ISPConfig 2 на порту 80 через Apache reverse proxy

Этот материал показывает, как настроить Debian Etch с ISPConfig 2 так, чтобы панель была доступна по стандартному порту 80 через обратный прокси Apache (mod_proxy). Описаны два варианта: когда ISPConfig слушает по http на :81 и когда — по https на :81. В конце — чек-листы, отладка, советы по безопасности и альтернативные подходы.

Версия 1.0

Автор: Falko Timme

Важно: инструкция применима только к ISPConfig 2. Для ISPConfig 3 используйте соответствующие плагины/решения (например, nginx reverse proxy на GitHub).

Примечание: автор не даёт гарантий, что инструкция сработает в вашей среде.

1 Предварительная заметка

Я тестировал это на Debian Etch. Многие команды специфичны для Debian, но основная часть (особенно конфигурация Apache) применима и к другим дистрибутивам Linux.

В примерах используется имя хоста ispconfig.example.com. Цель — сделать ISPConfig доступным по URL http://ispconfig.example.com без явного указания порта :81. Я покажу два варианта: когда ISPConfig запущен как http://ispconfig.example.com:81 и когда как https://ispconfig.example.com:81.

Важно

Эта инструкция касается только ISPConfig 2.
Сохраняйте копии конфигурационных файлов перед изменениями.
Работа предполагает базовые знания Apache и доступа к системе с правами root.

2 ISPConfig через http (http://ispconfig.example.com:81)

Задача: создать обратный прокси Apache, который будет принимать соединения на порт 80 и передавать их на http://ispconfig.example.com:81.

Требуемые модули Apache: mod_proxy и mod_proxy_http. В стандартной установке Debian Etch Apache 2.2 они уже присутствуют — нужно только включить их:

a2enmod proxy  
 a2enmod proxy_http

Затем перезагрузите Apache:

/etc/init.d/apache2 force-reload

Далее нужно отредактировать конфигурацию Apache. Откройте /etc/apache2/apache2.conf и найдите секцию, похожую на эту:

vi /etc/apache2/apache2.conf

| [...] # Include the virtual host configurations: Include /etc/apache2/sites-enabled/ Options +Includes -Indexes AllowOverride None AllowOverride Indexes AuthConfig Limit FileInfo Order allow,deny Allow from all Deny from all [...] |

Перед этой секцией добавьте блок виртуального хоста:

| NameVirtualHost * ServerName ispconfig.example.com DocumentRoot /var/www/ ProxyRequests Off Order deny,allow Allow from all ProxyPass / http://ispconfig.example.com:81/ ProxyPassReverse / http://ispconfig.example.com:81/ |

В итоге файл будет выглядеть примерно так:

| [...] NameVirtualHost * ServerName ispconfig.example.com DocumentRoot /var/www/ ProxyRequests Off Order deny,allow Allow from all ProxyPass / http://ispconfig.example.com:81/ ProxyPassReverse / http://ispconfig.example.com:81/ # Include the virtual host configurations: Include /etc/apache2/sites-enabled/ Options +Includes -Indexes AllowOverride None AllowOverride Indexes AuthConfig Limit FileInfo Order allow,deny Allow from all Deny from all [...] |

Затем перезапустите Apache:

/etc/init.d/apache2 restart

Если при перезапуске вы видите предупреждения типа:

server1:~/ispconfig/httpd/conf# /etc/init.d/apache2 restart  
 Forcing reload of web server (apache2)...[Tue May 22 23:23:12 2007] [warn] NameVirtualHost *:0 has no VirtualHosts  
 [Tue May 22 23:23:22 2007] [warn] NameVirtualHost *:0 has no VirtualHosts

то можно устранить их одним из двух способов:

Закомментировать строчку Include /etc/apache2/sites-enabled/ в /etc/apache2/apache2.conf:

vi /etc/apache2/apache2.conf

| [...] # Include the virtual host configurations: #Include /etc/apache2/sites-enabled/ [...] |

Или закомментировать строку NameVirtualHost * в начале /etc/apache2/sites-available/default:

vi /etc/apache2/sites-available/default

| #NameVirtualHost * [...] |

После правки снова выполните:

/etc/init.d/apache2 restart

Предупреждения должны исчезнуть.

Наконец, измените конфигурацию ISPConfig: файл /home/admispconfig/ispconfig/lib/config.inc.php. В нём найдите блок примерно такого вида:

vi /home/admispconfig/ispconfig/lib/config.inc.php

| [...] if(isset($_SERVER['HTTP_HOST'])){ $go_info["server"]["server_url"] = 'http://'.$_SERVER['HTTP_HOST']; } else { $go_info["server"]["server_url"] = "http://ispconfig.example.com:81"; } [...] |

Измените его на фиксированный URL без порта 81, чтобы ссылки и редиректы генерировались корректно:

| [...] //if(isset($_SERVER['HTTP_HOST'])){ // $go_info["server"]["server_url"] = 'http://'.$_SERVER['HTTP_HOST']; //} else { $go_info["server"]["server_url"] = "http://ispconfig.example.com"; //} [...] |

Готово. Откройте в браузере http://ispconfig.example.com — должна появиться страница входа ISPConfig.

3 ISPConfig через https (https://ispconfig.example.com:81)

Если ISPConfig слушает HTTPS на порту 81, обратный прокси должен поддерживать SSL-проксирование. Помимо mod_proxy и mod_proxy_http потребуется mod_proxy_connect и mod_ssl.

Включите модули:

a2enmod proxy  
 a2enmod proxy_http

и дополнительно:

a2enmod proxy_connect  
 a2enmod ssl

Перезагрузите Apache:

/etc/init.d/apache2 force-reload

Откройте /etc/apache2/apache2.conf и найдите ту же секцию, что и раньше:

vi /etc/apache2/apache2.conf

Перед ней добавьте блок:

| NameVirtualHost * ServerName ispconfig.example.com DocumentRoot /var/www/ ProxyRequests Off Order deny,allow Allow from all ProxyPass / https://ispconfig.example.com:81/ ProxyPassReverse / https://ispconfig.example.com:81/ SSLProxyEngine on AllowCONNECT 81 |

Файл будет выглядеть так:

| [...] NameVirtualHost * ServerName ispconfig.example.com DocumentRoot /var/www/ ProxyRequests Off Order deny,allow Allow from all ProxyPass / https://ispconfig.example.com:81/ ProxyPassReverse / https://ispconfig.example.com:81/ SSLProxyEngine on AllowCONNECT 81 # Include the virtual host configurations: Include /etc/apache2/sites-enabled/ Options +Includes -Indexes AllowOverride None AllowOverride Indexes AuthConfig Limit FileInfo Order allow,deny Allow from all Deny from all [...] |

Перезапустите Apache:

/etc/init.d/apache2 restart

Если снова видите предупреждение про NameVirtualHost, примените те же варианты исправления, что описаны в разделе 2, затем перезапустите сервер.

Теперь — настройка ISPConfig. Откройте /home/admispconfig/ispconfig/lib/config.inc.php и найдите похожий фрагмент:

vi /home/admispconfig/ispconfig/lib/config.inc.php

| [...] if(isset($_SERVER['HTTP_HOST'])){ $go_info["server"]["server_url"] = 'https://'.$_SERVER['HTTP_HOST']; } else { $go_info["server"]["server_url"] = "https://ispconfig.example.com:81"; } [...] |

Измените его так, чтобы в конфигурации использовался http без порта 81 (это важно — обратный прокси делает SSL между прокси и бэкендом, но внешне сервис будет доступен по http на порту 80):

| [...] //if(isset($_SERVER['HTTP_HOST'])){ // $go_info["server"]["server_url"] = 'https://'.$_SERVER['HTTP_HOST']; //} else { $go_info["server"]["server_url"] = "http://ispconfig.example.com"; //} [...] |

Обратите внимание: тут намеренно указан http://ispconfig.example.com, а не https:// — это важно для корректной генерации ссылок и редиректов.

Откройте в браузере http://ispconfig.example.com — должна появиться форма входа.

4 Ссылки

Apache Module mod_proxy: http://httpd.apache.org/docs/2.2/mod/mod_proxy.html
Apache: http://httpd.apache.org
ISPConfig: http://www.ispconfig.org
Debian: http://www.debian.org

Проверки и критерии приёмки

Внешний URL http://ispconfig.example.com открывает страницу входа ISPConfig без указания порта.
Все ссылки в интерфейсе не содержат :81 и ведут на тот же домен.
Логи Apache не содержат повторяющихся ошибок proxy_* или SSLProxyEngine после настройки.
При использовании HTTPS на бэкенде, соединение между прокси и бэкендом устанавливается успешно (проверяется логами и netstat).

Быстрая пошаговая методика (мини‑SOP)

Сделайте резервные копии: /etc/apache2/apache2.conf и /home/admispconfig/ispconfig/lib/config.inc.php.
Включите нужные модули (proxy/ssl/conn по необходимости).
Добавьте VirtualHost с ProxyPass/ProxyPassReverse.
Перезапустите Apache и исправьте предупреждения про NameVirtualHost.
Подправьте $go_info[“server”][“server_url”] в конфиге ISPConfig.
Протестируйте внешний доступ и проверьте логи.

Отладка — распространённые ошибки и решения

Предупреждение NameVirtualHost :0 has no VirtualHosts: закомментируйте Include /etc/apache2/sites-enabled/ или NameVirtualHost в /etc/apache2/sites-available/default и перезапустите Apache.
Ошибки proxy: проверьте, включён ли mod_proxy и mod_proxy_http.
SSL-проблемы при проксировании на https: проверьте mod_ssl и SSLProxyEngine on; проверьте, что AllowCONNECT включает порт 81.
Неправильные ссылки с портом :81: убедитесь, что вы изменили $go_info[“server”][“server_url”] на URL без порта.

Советы по логам

Основные логи Apache: /var/log/apache2/error.log и /var/log/apache2/access.log.
Логи ISPConfig находятся в каталоге установки (см. документацию ISPConfig).

Безопасность и жёсткая конфигурация

Разрешайте проксирование только для конкретного домена, если возможно, вместо Allow from all.
Ограничьте доступ к панели ISPConfig по IP для административных интерфейсов, если это соответствует политике безопасности.
Используйте брандмауэр (iptables/nftables) для управления доступом на уровне сети.
Если внешний доступ должен быть защищён, рассмотрите настройку HTTPS на фронтенд‑Apache и проброс на бэкенд по HTTP/HTTPS по внутренней сети.

Альтернативные подходы

Nginx в качестве обратного прокси: более лёгкий и быстрый путь, особенно для современных систем.
Проброс портов на уровне сетевого стека (iptables NAT) — менее гибко и безопасно по сравнению с обратным прокси.
Использование VPN или внутренней сети для доступа к панели без публичного выставления порта 80/443.

Когда предложенный метод не подходит

Если у вас ISPConfig 3 — этот метод не совместим; используйте официальные плагины/инструкции для ISPConfig 3.
Если у вас ограничение по использованию mod_proxy (политика хостинга) — рассмотрите Nginx или сетевые решения.

Роли и чек-листы

Администратор сервера

Резервные копии конфигураций.
Проверка доступности портов и включение модулей Apache.
Перезапуск и проверка логов.

Сетевой инженер

Проверка правил брандмауэра.
Маршрутизация и NAT при необходимости.

Оператор поддержки

Тестирование пользовательского входа.
Мониторинг логов и уведомления.

Тестовые случаи и приёмка

TC1: Открыть http://ispconfig.example.com — ожидается страница логина.
TC2: Войти под тестовым пользователем — интерфейс работает, ссылки корректны.
TC3: Попытка прямого доступа к ispconfig.example.com:81 извне — по политике доступа может быть запрещена; прокси обеспечивает внешний доступ по 80.

Ментальные модели и эвристики

Обратный прокси выступает как «маска» для внутреннего сервиса: внешние клиенты видят фронтенд (порт 80), а прокси передаёт запросы внутреннему сервису (порт 81).
Всегда думайте о двух «плечах» соединения: клиент ↔ фронтенд (прокси) и фронтенд ↔ бэкенд (ISPConfig).

Небольшой глоссарий (1 строка)

Reverse proxy — сервер, который принимает запросы от клиентов и пересылает их другому серверу.
ProxyPass / ProxyPassReverse — директивы Apache для настройки обратного проксирования.
SSLProxyEngine — директива для включения SSL при проксировании HTTPS-соединений.

Решение: быстрое дерево принятия (Mermaid)

flowchart TD
  A[ISPConfig слушает на :81?] --> B{HTTP или HTTPS}
  B -->|HTTP| C[Включить mod_proxy, mod_proxy_http]
  B -->|HTTPS| D[Включить mod_proxy, mod_proxy_http, mod_proxy_connect, mod_ssl]
  C --> E[Добавить VirtualHost с ProxyPass на http://...:81]
  D --> F[Добавить VirtualHost с ProxyPass на https://...:81 и SSLProxyEngine on]
  E --> G[Перезапустить Apache и обновить config.inc.php]
  F --> G
  G --> H[Тест: открыть http://ispconfig.example.com]

Итоговый обзор

Apache обратный прокси позволяет выдавать ISPConfig 2 на стандартном порту 80, устраняя проблемы с блокировкой нестандартных портов.
Вариант для HTTP проще; для HTTPS бэкенда требуется включение SSL-проксирования и разрешения CONNECT для порта 81.
Обязательно поправьте $go_info[“server”][“server_url”] в конфиге ISPConfig, чтобы ссылки генерировались без :81.

Краткое резюме и рекомендации