Ansible-Rolle "papanito.cloudflared"

Diese Ansible-Rolle lädt cloudflared auf dem Host herunter und installiert es. Optional wird der [argo-tunnel] als Dienst installiert.

Änderungen in Version 3.0.0

Dies ist eine wichtige Änderung, um das neue Verhalten von benannten Tunneln widerzuspiegeln.

Die Rolle kümmert sich um die Bereinigung, wenn Sie die Rolle vor v.3.0.0 verwendet haben. Allerdings müssen Sie die Konfiguration (Variablen) in Ihrem Ansible-Projekt aktualisieren. Ich habe die Variablen umbenannt, häufig mit cf_ vorangestellt, um sie eindeutig für die Rolle zu machen. Wenn sie nicht eindeutig sind, kann es zu unerwünschten Nebeneffekten kommen, wenn Variablen mit dem gleichen Namen in verschiedenen Rollen verwendet werden.

Cloudflared und Apps mit Tunneln verbinden

Laut [1] müssen Sie zunächst Folgendes tun, um Tunnel zu erstellen und zu verwalten:

1. Cloudflared herunterladen und installieren auf Ihrem Computer.
2. Cloudflared authentifizieren.

Sobald cloudflared installiert und authentifiziert ist, umfasst der Prozess, um Ihren ersten Tunnel zum Laufen zu bringen, 3 grundlegende Schritte:

3. Einen Tunnel erstellen.
4. Den Verkehr zu Ihrem Tunnel leiten.
5. Ihren Tunnel ausführen.

Die Schritte 4-5 werden einmal pro Tunnel ausgeführt, normalerweise von einem Administrator, und Schritt 6 wird ausgeführt, wann immer der Tunnel gestartet werden soll, normalerweise von dem, der den Tunnel besitzt (der möglicherweise nicht der Administrator ist).

Was macht die Rolle?

Die Rolle hat tatsächlich zwei Zwecke:

• Installation des Server-Daemons
• SSH-Client-Konfiguration

Server-seitige Daemon-Installation

Die Rolle kümmert sich nur um das Einrichten des Dienstes auf den Knoten, d.h. Schritte 1, 2, 4 und 5 von oben, weil

Das Erstellen von Tunneln und das Ermöglichen von Routen ist eine Aufgabe, die von einem Administrator und nicht von der Rolle erledigt werden sollte ^[1].

Sie können ein oder mehrere [benannte Tunnel] sowie [einzelne Dienste] konfigurieren - normalerweise benötigen Sie mit [benannten Tunneln] nur einen Daemon. Die Rolle führt tatsächlich diese Schritte aus:

1. Herunterladen und Installieren des Binaries gemäß [Downloads].

2. Installieren/konfigurieren des Daemons - siehe Daemon authentifizieren.

3. Für [benannte Tunnel] wird eine [Zugangsdaten-Datei] unter {{ cf_credentials_dir }}/{{ tunnel_id }}.json erstellt, die ähnlich aussieht wie:

   {"AccountTag":"{{ account_tag }}","TunnelSecret":"{{ tunnel_secret }}","TunnelID":"{{ tunnel_id }}","TunnelName":"{{ cf_tunnels.key }}"}
   

4. Für jeden Schlüssel in cf_tunnels wird eine Tunnelkonfiguration in /etc/cloudflare erstellt.

   Die Datei wird {{ tunnel }}.yml genannt und die minimale Konfiguration sieht wie folgt aus:

   benannte Tunnel

   tunnel: {{ cf_tunnels.key }}
   credentials-file: {{ cf_credentials_dir }}/{{ tunnel_id }}.json
   ingress:
     {{ item.value.ingress }}
   

   einzelner Dienst

   hostname: {{ hostname }}
   url: {{ url }}
   

   Zusätzliche Parameter werden mit Tunnel-Konfigurationsparametern konfiguriert.

5. Abhängig von Ihrem Init-System - gesteuert durch cf_init_system - macht die Rolle Folgendes:

   • Systemd

     Erstellt eine [systemd-unit-template] cloudflared@{{ tunnel }}.service und startet eine Instanz für jeden Dienst in der Liste von cf_tunnels.

     cloudflared tunnel --config {{ tunnel }}.yml
     

   • Init-V Systeme

     1. Installiert cloudflared service nach /etc/init.d/{{ systemd_filename }}-{{ tunnel_name }}.
     2. Verlinkt das Stop-Skript zu /etc/init.d/{{ systemd_filename }}-{{ tunnel_name }}.
     3. Verlinkt das Start-Skript zu /etc/init.d/{{ systemd_filename }}-{{ tunnel_name }}.

6. Wenn Sie [benannte Tunnel] verwenden, erstellt die Rolle auch eine [DNS-Route].

SSH-Client-Konfiguration

Von dort, wo Sie auf Ihre Knoten über SSH zugreifen, die über cloudflared weitergeleitet werden, müssen Sie die [SSH-Guide-Client] befolgen. Sie müssen Folgendes hinzufügen:

Host xxx.mycompany.com
  ProxyCommand /usr/bin/cloudflared access ssh --hostname %h

Sie können diese Konfiguration erreichen, wenn Sie cf_ssh_client_config aktivieren. Zusätzlich müssen Sie auch cf_ssh_client_config_group angeben. Angenommen, Ihr Inventar sieht folgendermaßen aus:

all:
  children:
    servers:
      hosts:
        host001:
        host002:

Wenn Sie cf_ssh_client_config_group: servers angeben, erhalten Sie einen Eintrag für host001 und host002.

Anforderungen

Keine

Rollenvonvariablen

Installations- und Deinstallationsparameter

Die folgenden Parameter steuern die Installation und/oder Deinstallation:

Cloudflared Dienstparameter

Diese Parameter sind erforderlich, um den Systemdienst zu erstellen.

Es wird empfohlen, [benannte Tunnel] für cf_tunnels zu verwenden, die Cloudflare benannte Tunnelparameter erfordern, aber Sie können auch Cloudflare-legacy-Tunnelparameter verwenden.

Cloudflare benannte Tunnelparameter

  ...
    cf_tunnels:
      test:
        routes:
          dns:
            - "{{ inventory_hostname }}"
          cidr:
            - "192.168.42.0/24"
          lb:
            - hostname: website.mycompany.com
              poolname: bzh-west1.website.mycompany.com
        account_tag:  !vault....
        tunnel_secret: !vault....
        tunnel_id: !vault....
        ingress:
          - hostname: website.mycompany.com
            service: http://localhost:1313
          - hostname: hello.mycompany.com
            service: hello_world
          - hostname: ssh.mycompany.com
            service: ssh://localhost:22
          - service: http_status:404

Der key des Tunnels sollte mit dem tunnel_id übereinstimmen.

Routen

DNS

dns-Routen erwarten eine Liste von CNAMEs, die wie hier beschrieben erstellt werden sollen. Wenn der CNAME bereits existiert, wird die Aufgabe übersprungen, aber kein Fehler ausgelöst. Fügen Sie nur CNAME hinzu, keinen FQDN, da der FQDN von cloudflared bestimmt wird.

Privates Netzwerk

private network-Routen erwarten eine Liste von CIDRs, die erstellt werden sollen, wie hier beschrieben. Das Playbook läuft durch die Liste, um cloudflared tunnel route ip add {{ cf_cidr_entry }} {{ cf_tunnel.key }} auszuführen. Wenn der CIDR bereits existiert, wird ein Fehler ausgelöst, aber ignoriert.

Lastenausgleich

lb-Routen erwarten eine Liste von bestehenden cloudflared Lastenausgleichern (plus ihres Pools), auf denen Tunnel geroutet werden sollen, wie hier beschrieben. Das Playbook läuft durch die Liste, um cloudflared tunnel route lb {{ cf_tunnel.key }} {{ cf_lb_entry.host_name }} {{ cf_lb_entry.pool_name }} auszuführen. Wenn der Tunnel bereits im Pool gebunden ist, wird ein ignorierter Fehler ausgelöst.

Cloudflare einzelne Dienstparameter

Wie bei vorherigen Versionen dieser Rolle können Sie den [Einzelservice-Konfigurationsstil][single service] verwenden.

Wenn Sie den Verkehr nur an einen lokalen Dienst weiterleiten müssen, können Sie dies mit der Konfigurationsdatei tun. Alternativ können Sie die Einzelservice-Konfiguration einrichten.

cf_tunnels:
  ssh:
    hostname: xxx
    url: ssh.mycompany.com

Tunnel-Konfigurationsparameter

Diese Parameter werden verwendet, um die Parameter pro cloudflared-Dienst zu konfigurieren. Sie können weiterhin Pro-Regel-Konfiguration für benannte Tunnel als Teil des ingress unter cf_tunnels konfigurieren.

Abhängigkeiten

Keine

Beispiel-Playbooks

Das folgende Beispiel installiert einen einzelnen Dienst für einen SSH-Tunnel für jeden Server.

- hosts: servers
  vars:
    cf_systemd_user: root
    cf_systemd_group: root
    cf_cert_location: /home/papanito/cert.pem
    services:
      ssh:
        hostname: "{{ inventory_hostname }}.mycompany.com"
        url: ssh://localhost:22
  roles:
    - papanito.cloudflared

Das folgende Beispiel installiert einen [benannten Tunnel] servers mit einem Ingress zu {{ inventory_hostname }}.mycompany.com für SSH und einen [Hello World]-Dienst, wenn Sie auf hello-{{ inventory_hostname }}.mycompany.com über den Browser zugreifen.

- hosts: servers
  remote_user: ansible
  become: true
  vars:
    cf_cert_location: /home/papanito/.cloudflared/cert.mycompany.com.pem
    cf_tunnels:
      test:
        account_tag: !vault...
        tunnel_secret: !vault...
        tunnel_id: !vault...
        routes:
          dns:
          - "{{ inventory_hostname }}"
          - "hello-{{ inventory_hostname }}"
        ingress:
        - hostname: "hello-{{ inventory_hostname }}.mycompany.com"
          service: hello_world
        - hostname: "{{ inventory_hostname }}.mycompany.com"
          service: ssh://localhost:22
        - service: http_status:404
  roles:
    - papanito.cloudflared

Das folgende Beispiel lädt einfach cloudflared auf Ihrem lokalen Computer herunter und konfiguriert die SSH-Konfigurationsdatei:

- hosts: localhost
  remote_user: papanito # Ihr lokaler Benutzer mit Administratorrechten
  vars:
    cf_install_only: true
    cf_ssh_client_config: true
    cf_ssh_client_config_group: servers
  roles:
    - papanito.cloudflared

Test

ansible-playbook tests/test.yml -i tests/inventory

Zusätzliche Infos

Daemon authentifizieren

Laut [authenticate-the-cloudflare-daemon] wird beim Authentifizieren des Daemons ein Browserfenster geöffnet oder - falls dies nicht möglich ist - muss der Link manuell eingegeben werden. Während dieser Zeit wartet der Daemon. Ich konnte keine Lösung finden, um dieses Verhalten zu automatisieren, daher habe ich die folgende Implementierung gewählt.

• Wenn nichts angegeben ist, ruft Ansible cloudflared login auf und fährt fort, wenn die Authentifizierung abgeschlossen ist - dies macht Sinn, wenn Sie die Rolle verwenden, um den Daemon lokal auf Ihrem Computer zu installieren, wo Sie ein Browserfenster haben.

• Wenn der Wert von cf_cert_location angegeben ist, wird das Zertifikat tatsächlich aus dem cf_cert_location kopiert, oder wenn cf_cert_content definiert ist, wird das Zertifikat direkt aus dem gespeicherten Wert erstellt. So können Sie sich einmal in Cloudflare von Ihrem Master-Knoten (wo Sie Ansible ausführen) oder von einem Remote-Standort aus anmelden.

  Sie können das cert.pem mit Ansible Vault verschlüsseln und an einem sicheren Ort speichern.

Referenzen:

• [downloads] - cloudflared Download-Anleitungen
• [ssh-guide] - SSH-Verbindungen mit cloudflared
• [cli-args] - Befehlszeilenargumente
• [config] - Das Format der Konfigurationsdatei verwendet YAML-Syntax.

Lizenz

Dies ist freie Software, die unter den Bedingungen der Apache v2-Lizenz veröffentlicht wird.

Autoreninformation

Geschrieben von Papanito - Gitlab / Github