🙋DSMR Reader achter reverse proxy

[Flappiee]

Description

Ik heb momenteel DSMR Reader draaien op dezelfde machine waarop ik ook Home Assistant heb draaien.
Dit betreft een virtuele machine die op Proxmox draait en draait in het lokale LAN.

Ik heb tevens een Nginx reverse proxy draaien (ook als VM, maar dat doet er niet toe).
Deze zit in een apart DMZ VLAN en er zit een firewall tussen en deze reverse proxy doet tevens alle SSL offloading.

Ik wil nu graag de DSMR Reader extern beschikbaar maken via Nginx (met SSL), maar niet de admin pagina extern bereikbaar hebben.

Heeft iemand hier ervaring met DSMR Reader achter een reverse proxy?
En heeft eventueel de juiste regels om niet de admin pagina extern bereikbaar te hebben?

DSMR-reader version

5.3

DSMR-reader platform

No response

Debug info dump

DSMR-READER
    App / Python / Database                                                        v5.3 / v3.9.2 / postgresql
    BE sleep / DL sleep / Retention / Override                                     1.0s / 5.0s / 672h / False
    Latest telegram version read / Parser settings                                                 "42" / "4"

DATA
    Telegrams total (est.)                                                                             242962
    Consumption records electricity / gas (est.)                                                 45626 / 4816

[dennissiemensma]

In principe draait DSMR-reader zelf in Gunicorn en zit er Nginx voor als proxy. Dus je kunt het vrij gemakkelijk proxy'en of vervangen door een andere proxy, of je eigen proxy weer voor de Nginx van DSMR-reader zetten. (mits de paden niet veranderen, al is daar ook wel omheen te werken)

Nginx doet niets anders dan alle requests forwarden naar het socket waar Gunicorn op luistert:

• https://github.com/dsmrreader/dsmr-reader/blob/v5/dsmrreader/provisioning/nginx/dsmr-webinterface#L2

Uitzonderingen daarop zijn alle requests die beginnen met /static/, zodat Nginx zelf direct die statische files serveert (CSS, images, javascript, etc) ipv Gunicorn:

• https://github.com/dsmrreader/dsmr-reader/blob/v5/dsmrreader/provisioning/nginx/dsmr-webinterface#L18-L20

Je kunt zo'n uitzondering waarschijnlijk ook wel maken voor /admin/ om het te deny'en/redirecten of (extra) HTTP Basic Auth op te zetten.

[Flappiee]

@dennissiemensma dank, hier kon ik verder mee.
Ik heb het als volgt opgelost. Ik redirect de urls /admin /configuration /about en /export ter naar /

Hierbij mijn nginx configuratie

server {
        # Allow specific countries to connect
        include /etc/nginx/shared-configs/internal-networks.conf;
        include /etc/nginx/shared-configs/netherlands.conf;
        include /etc/nginx/shared-configs/belgium.conf;
        include /etc/nginx/shared-configs/luxembourg.conf;
        include /etc/nginx/shared-configs/germany.conf;
        deny all;

        client_max_body_size 0;
        server_name _;

        # Redirect specific urls back to main screen
        location /admin {
        return 301 /;
        }
        location /configuration {
        return 301 /;
        }
        location /about {
        return 301 /;
        }
        location /export {
        return 301 /;
        }


        location / {
                proxy_max_temp_file_size 0;
                proxy_read_timeout 3600;
                proxy_pass http://10.0.0.27;
        }

        add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
        add_header X-Frame-Options SAMEORIGIN;
        add_header X-Content-Type-Options nosniff;
        add_header X-XSS-Protection "1; mode=block";
        add_header Referrer-Policy no-referrer;
        add_header Feature-Policy "geolocation none;midi none;notifications none;push none;sync-xhr none;microphone none;camera none;magnetomet>
        add_header Expect-CT "enforce, max-age=300";

    listen 80;

}

[dennissiemensma]

Fijn om te horen, dank voor het delen!