Ansible роль "papanito.cloudflared"

Эта роль Ansible загружает и устанавливает cloudflared на хост и по желанию устанавливает [argo-tunnel] в качестве сервиса.

Существенные изменения в версии 3.0.0

Это изменение, касающееся нового поведения именованных туннелей

Роль должна позаботиться о подготовке, если вы использовали ее до версии 3.0.0. Однако вы должны обновить конфигурацию (переменные) в вашем проекте Ansible. Я переименовал переменные - обычно с префиксом cf_, чтобы сделать их уникальными для роли. Если они не уникальны, может произойти, что переменные с одинаковыми именами в разных ролях могут иметь нежелательные побочные эффекты.

Cloudflared и подключение приложений к туннелям

Согласно [1], для создания и управления туннелями, вам сначала нужно:

1. Скачать и установить cloudflared на вашем компьютере.
2. Аутентифицировать cloudflared.

После установки и аутентификации cloudflared, процесс создания первого туннеля включает 3 основных шага:

3. Создать туннель.
4. Направить трафик на ваш туннель.
5. Запустить ваш туннель.

Шаги 4-5 выполняются один раз для каждого туннеля, обычно администратором, а шаг 6 выполняется каждый раз, когда туннель необходимо запустить, обычно владельцем туннеля (который может отличаться от администратора).

Что делает роль?

Роль на самом деле имеет две цели:

• Установка демон-системы на стороне сервера.
• Настройка SSH клиента.

Установка демон-системы на стороне сервера

Роль отвечает только за настройку сервиса на узлах, то есть выполняет шаги 1, 2, 4 и 5 из вышеуказанных, поскольку

Создание туннелей и включение маршрутизации - это задача администратора, а не роли ^[1].

Вы можете настроить одно или несколько [именованных туннелей], а также [один сервис] - даже так, для [именованных туннелей] обычно нужен только один демон. Роль фактически выполняет следующие шаги:

1. Скачать и установить двоичный файл согласно [загрузкам].

2. Установить/настроить демон - см. Аутентификация демона.

3. Для [именованных туннелей] создается [файл учетных данных] в {{ cf_credentials_dir }}/{{ tunnel_id }}.json, похожий на этот

   {"AccountTag":"{{ account_tag }}","TunnelSecret":"{{ tunnel_secret }}","TunnelID":"{{ tunnel_id }}","TunnelName":"{{ cf_tunnels.key }}"}
   

4. Для каждого ключа в cf_tunnels создается конфигурация туннеля в /etc/cloudflare.

   Файл называется {{ tunnel }}.yml и будет содержать минимальную конфигурацию:

   Именованные туннели

   tunnel: {{ cf_tunnels.key }}
   credentials-file: {{ cf_credentials_dir }}/{{ tunnel_id }}.json
   ingress:
     {{ item.value.ingress }}
   

   Один сервис

   hostname: {{ hostname }}
   url: {{ url }}
   

   Дополнительные параметры настраиваются с помощью Параметры конфигурации туннеля.

5. В зависимости от вашей системы инициализации - в соответствии с cf_init_system - роль выполняет следующее:

   • Systemd

     Создает [шаблон юнита systemd] cloudflared@{{ tunnel }}.service и запускает экземпляр для каждого сервиса в списке cf_tunnels.

     cloudflared tunnel --config {{ tunnel }}.yml
     

   • Init-V системы

     1. Устанавливает сервис cloudflared в /etc/init.d/{{ systemd_filename }}-{{ tunnel_name }}.
     2. Создает символическую ссылку на скрипт остановки в /etc/init.d/{{ systemd_filename }}-{{ tunnel_name }}.
     3. Создает символическую ссылку на скрипт запуска в /etc/init.d/{{ systemd_filename }}-{{ tunnel_name }}.

6. Если вы используете [именованные туннели], роль также создаст [dns маршрут].

Настройка SSH клиента

Для доступа к вашим узлам через ssh, который проксируется через cloudflared, вам нужно следовать [гайду ssh-клиента]. Вы должны добавить следующее

Host xxx.mycompany.com
  ProxyCommand /usr/bin/cloudflared access ssh --hostname %h

Вы можете достигнуть этой конфигурации, если включите cf_ssh_client_config. Кроме того, вам нужно также указать cf_ssh_client_config_group. Предположим, ваши инвентарные данные выглядят следующим образом:

all:
  children:
    servers:
      hosts:
        host001:
        host002:

Если вы укажете cf_ssh_client_config_group: servers, вы получите запись для host001 и host002.

Требования

Отсутствуют.

Переменные роли

Параметры установки и удаления

Следующие параметры контролируют установку и/или удаление:

Параметры сервиса Cloudflared

Это параметры, необходимые для создания системного сервиса:

Рекомендуется использовать [именованные туннели] для cf_tunnels, которые требуют параметров именованного туннеля Cloudflare, но вы также можете использовать параметры старого туннеля Cloudflare.

Параметры именованного туннеля Cloudflare

  ...
    cf_tunnels:
      test:
        routes:
          dns:
            - "{{ inventory_hostname }}"
          cidr:
            - "192.168.42.0/24"
          lb:
            - hostname: website.mycompany.com
              poolname: bzh-west1.website.mycompany.com
        account_tag:  !vault....
        tunnel_secret: !vault....
        tunnel_id: !vault....
        ingress:
          - hostname: website.mycompany.com
            service: http://localhost:1313
          - hostname: hello.mycompany.com
            service: hello_world
          - hostname: ssh.mycompany.com
            service: ssh://localhost:22
          - service: http_status:404

key туннеля должно совпадать с tunnel_id.

Маршруты

DNS

Маршруты dns ожидают список CNAME, которые нужно создать, как здесь описано. Если CNAME уже существует, задача будет пропущена, но ошибка не будет выдана. Также добавляйте только CNAME, а не FQDN, так как FQDN определяется cloudflared.

Частная сеть

Маршруты private network ожидают список CIDR, которые нужно создать, как здесь описано. Плейбук выполняет цикл по списку, чтобы выполнить cloudflared tunnel route ip add {{ cf_cidr_entry }} {{ cf_tunnel.key }}. Если CIDR уже существует, ошибка будет выдана, но игнорируется.

Балансировщик нагрузки

Маршруты lb ожидают список существующих балансировщиков нагрузки cloudflared (плюс их пула) для маршрутизации туннеля, как здесь описано. Плейбук выполняет цикл по списку, чтобы выполнить cloudflared tunnel route lb {{ cf_tunnel.key }} {{ cf_lb_entry.host_name }} {{ cf_lb_entry.pool_name }}. Если туннель уже связан с пулом, будет выдана игнорируемая ошибка.

Параметры единичного сервиса Cloudflare

Как и в предыдущих версиях этой роли, вы можете использовать [стиль конфигурации единичного сервиса][single service].

Если вам нужно перенаправить трафик только на один локальный сервис, вы можете сделать это, используя файл конфигурации. В качестве альтернативы можно настроить конфигурацию единичного сервиса.

cf_tunnels:
  ssh:
    hostname: xxx
    url: ssh.mycompany.com

Параметры конфигурации туннеля

Эти параметры используются для настройки параметров для каждого сервиса cloudflared. Вы все еще можете настраивать Конфигурацию на основе правил для именованных туннелей в качестве части ingress в cf_tunnels.

Зависимости

Отсутствуют.

Примеры плейбуков

Следующий пример устанавливает единичный сервис для ssh-туннеля для каждого server:

- hosts: servers
  vars:
    cf_systemd_user: root
    cf_systemd_group: root
    cf_cert_location: /home/papanito/cert.pem
    services:
      ssh:
        hostname: "{{ inventory_hostname }}.mycompany.com"
        url: ssh://localhost:22
  roles:
    - papanito.cloudflared

Следующий пример устанавливает [именованный туннель] servers с входом на {{ inventory_hostname }}.mycompany.com для ssh и [hello world], если вы обращаетесь к hello-{{ inventory_hostname }}.mycompany.com через браузер:

- hosts: servers
  remote_user: ansible
  become: true
  vars:
    cf_cert_location: /home/papanito/.cloudflared/cert.mycompany.com.pem
    cf_tunnels:
      test:
        account_tag: !vault...
        tunnel_secret: !vault...
        tunnel_id: !vault...
        routes:
          dns:
          - "{{ inventory_hostname }}"
          - "hello-{{ inventory_hostname }}"
        ingress:
        - hostname: "hello-{{ inventory_hostname }}.mycompany.com"
          service: hello_world
        - hostname: "{{ inventory_hostname }}.mycompany.com"
          service: ssh://localhost:22
        - service: http_status:404
  roles:
    - papanito.cloudflared

Следующий пример просто загружает cloudflared на ваш локальный компьютер и настраивает файл конфигурации ssh:

- hosts: localhost
  remote_user: papanito # ваш локальный пользователь с правами администратора
  vars:
    cf_install_only: true
    cf_ssh_client_config: true
    cf_ssh_client_config_group: servers
  roles:
    - papanito.cloudflared

Тест

ansible-playbook tests/test.yml -i tests/inventory

Дополнительная информация

Аутентификация демона

Согласно [authenticate-the-cloudflare-daemon], при аутентификации демона открывается оконный браузер или - если это невозможно - тогда ссылку нужно ввести вручную. В это время демон ждет. Я не смог придумать, как автоматизировать это поведение, так что я пришел к следующей реализации.

• если ничего не указано, то ansible вызывает cloudflared login и будет продолжать, когда аутентификация завершена - это имеет смысл, если вы используете роль для установки демона локально на своем компьютере, где есть оконный браузер.
• если cf_cert_location, сертификат фактически будет скопирован из cf_cert_location, или если cf_cert_content определено, тогда сертификат создается непосредственно из значения, хранящегося в нем. Таким образом, вы можете войти в систему один раз в Cloudflare с вашего мастер-узла (где вы запускаете ansible) или из удаленного местоположения.

Вы можете зашифровать cert.pem с помощью ansible vault и сохранить его где-то в безопасном месте.

Ссылки:

• [загрузки] - инструкции по загрузке cloudflared
• [ssh-гайд] - ssh-соединения с cloudflared
• [cli-args] - аргументы командной строки
• [config] - формат файла конфигурации использует синтаксис YAML

Лицензия

Это бесплатное программное обеспечение, выпущенное на условиях лицензии Apache v2.

Информация об авторе

Написано Papanito - Gitlab / Github