Proxy inverso

Los proxies inversos permiten configurar funciones como TLS, la reescritura de cabeceras, el almacenamiento en caché y el equilibrio de carga. Algunos proxies inversos populares son IIS, Apache y NGINX.

Cada uno de estos sistemas captura el tráfico HTTP y lo reenvía a un servidor web backend, como PowerShell Universal. Hay algunas consideraciones que deben tenerse en cuenta al configurar un proxy inverso delante de PowerShell Universal.

Compatibilidad con WebSocket

PowerShell Universal requiere compatibilidad con WebSocket para ofrecer todas las funciones disponibles en la plataforma. Sin compatibilidad con WebSocket, las aplicaciones no funcionarán y las notificaciones no se mostrarán en tiempo real.

Según su proxy, puede que necesite configurar la compatibilidad con WebSocket.

• Compatibilidad con el protocolo WebSocket en IIS
• Proxy de WebSocket en NGINX

Cabeceras reenviadas

Cuando un servidor web está detrás de un proxy inverso, es probable que el nombre de host externo, el protocolo y el puerto difieran de los del propio proxy. Por ejemplo, PowerShell Universal escuchará en el puerto 5000, en HTTP y basándose en una dirección IP concreta (o de bucle invertido) en lugar de en un nombre DNS.

https://www.proxyaddress.com -> http://localhost:5000

Esto puede causar problemas con las redirecciones de URL, como las que se utilizan en los flujos de autenticación de OpenID Connect. PowerShell Universal debe poder formular correctamente la URL de redirección para el flujo de autenticación. Si no se conoce el nombre de host, el puerto o el protocolo reales utilizados por el usuario final, se pueden generar URL no válidas que hagan que el flujo falle.

De forma predeterminada, PowerShell Universal gestiona automáticamente las cabeceras reenviadas. Las siguientes cabeceras se procesan automáticamente.

• X-Forwarded-For
• X-Forwarded-Host
• X-Forwarded-Proto

Esto permite que PowerShell Universal cree las URL de redirección adecuadas para los flujos de autenticación.

Los proxies inversos pueden requerir configuración para enviar correctamente estas cabeceras.

• IIS configura automáticamente las cabeceras reenviadas.
• Cabeceras reenviadas en NGINX
• Apache mod_proxy
• Cabeceras de solicitud HTTP de CloudFlare

Azure Application Proxy

El Azure Application Proxy, también conocido como Entra ID Private Network Connector, proporciona acceso a recursos locales a través de internet utilizando la seguridad ofrecida por Microsoft. Necesitará un conector instalado en su red para hacer de proxy de la conexión a PowerShell Universal.

Configure los ajustes de Application Proxy de su aplicación empresarial para que apunten a su servidor local. En este ejemplo, el grupo Default - North America tiene mi conector asociado. Esta máquina conectora tiene PowerShell Universal instalado.

Para la configuración avanzada, utilice una cookie persistente y evite traducir ninguna URL. Puede elegir si desea validar el certificado SSL del backend, si así lo desea.