Pangolin 1.25 อัปเกรดฟีเจอร์ HTTP Redirects และ mTLS

Pangolin แพลตฟอร์ม tunneled reverse proxy แบบ open-source ที่สามารถโฮสต์เองได้และเป็นระบบเข้าถึงที่ปลอดภัยซึ่งสร้างขึ้นบน WireGuard ได้เปิดตัวเวอร์ชัน 1.25 แล้ว

ส่วนที่เพิ่มเข้ามาอย่างโดดเด่นคือการรองรับ HTTP redirect ซึ่งช่วยให้ผู้ดูแลระบบสามารถเปลี่ยนเส้นทางคำร้องขอระหว่างโดเมนหรือเส้นทาง (path) ได้โดยตรงผ่าน Pangolin โดยไม่ต้องตั้งค่า reverse proxy แยกต่างหาก โดยสามารถใช้งานได้ในส่วน Settings > Redirects ของหน้า dashboard

การ Redirect สามารถแนบเข้ากับชื่อโฮสต์ของโดเมนหรือทรัพยากรสาธารณะ (public resource) เฉพาะเจาะจงได้ ผู้ดูแลระบบสามารถกำหนดกฎการจับคู่ชื่อโฮสต์และเส้นทาง เขียนเส้นทาง URL ใหม่ และตั้งค่าการเปลี่ยนเส้นทางแบบถาวรหรือชั่วคราวได้ตามต้องการ

การปรับปรุงที่สำคัญอีกประการหนึ่งคือการยืนยันตัวตนแบบ mutual TLS สำหรับทรัพยากรสาธารณะ ซึ่งช่วยให้ผู้ดูแลระบบสามารถกำหนดให้ client ต้องแสดงใบรับรอง TLS ที่ถูกต้องก่อนที่จะเข้าถึงบริการที่ได้รับการคุ้มครอง

ในการกำหนดค่านี้ ผู้ดูแลระบบจะอัปโหลดใบรับรองจากผู้ออกใบรับรอง (certificate authority) ที่เชื่อถือได้หนึ่งรายการหรือมากกว่าผ่านการตั้งค่าการยืนยันตัวตนของทรัพยากร จากนั้น client จะต้องระบุใบรับรองที่ลงนามโดยหนึ่งในผู้ออกใบรับรองเหล่านั้นในระหว่างการทำ TLS handshake

การเปิดตัวครั้งนี้ยังแนะนำการกำหนดบทบาท (role assignments) สำหรับ machine client ซึ่งเป็นการขยายการจัดการการเข้าถึงตามบทบาทที่มีอยู่ของ Pangolin ให้ครอบคลุมมากกว่าแค่ผู้ใช้รายบุคคล

machine client สามารถรับสิทธิ์สืบทอดจากบทบาทที่ได้รับมอบหมาย แทนที่จะต้องให้ผู้ดูแลระบบกำหนดค่าการเข้าถึงทรัพยากรส่วนตัว (private resource) ทุกรายการแยกกัน สิทธิ์ที่มีผลบังคับใช้จะรวมการอนุญาตตามบทบาทเข้ากับสิทธิ์ใดๆ ที่กำหนดให้แก่ machine client โดยตรง

ในด้านการจัดการทราฟฟิก Pangolin 1.25 ได้นำเสนอกลยุทธ์ Load Balancing ที่กำหนดค่าได้ 4 แบบสำหรับทรัพยากรสาธารณะ HTTP และ HTTPS ที่มีเป้าหมายหลายรายการภายในกลุ่มการกำหนดเส้นทางเดียวกัน ได้แก่:

• Round Robin - กระจายคำร้องขออย่างเท่าเทียมกันไปยังเป้าหมายที่มีอยู่
• Power of Two Choices - เลือกเป้าหมายที่มีภาระงานน้อยกว่าจากเป้าหมายที่สุ่มเลือกมาสองรายการ
• Client IP Hash - นำทาง client ไปยังเป้าหมายเดิมอย่างสม่ำเสมอ
• Least Response Time - ให้ความสำคัญกับเป้าหมายที่ตอบสนองเร็วกว่าและมีการเชื่อมต่อที่ใช้งานอยู่จำนวนน้อยกว่า

โปรดทราบว่าการรองรับกลยุทธ์ Load Balancing เหล่านี้อย่างเต็มรูปแบบจำเป็นต้องใช้ Traefik 3.6 หรือใหม่กว่า ซึ่งจะต้องทำการอัปเดตด้วยตนเอง

ฟีเจอร์เสริมที่มีประโยชน์อีกอย่างหนึ่งคือให้คุณสามารถส่งออกทรัพยากรสาธารณะและส่วนตัวเป็นพิมพ์เขียว YAML (YAML blueprints) ได้โดยตรงจากหน้า dashboard เพื่อให้ผู้ดูแลระบบสามารถนำการกำหนดค่าทรัพยากรที่มีอยู่กลับมาใช้ใหม่ได้ผ่าน dashboard, API, CLI หรือพิมพ์เขียวของไซต์ของ Pangolin

นอกจากนี้ ทรัพยากร HTTP ส่วนตัวยังสามารถส่งต่อตัวตนของ client ที่ได้รับการยืนยันแล้วไปยังแอปพลิเคชันต้นน้ำ (upstream applications) โดยใช้ส่วนหัว Remote-User, Remote-Email, Remote-Name และ Remote-Role

ท้ายที่สุด Pangolin 1.25 ได้นำฟีเจอร์การสร้างข้อมูลประจำตัวใหม่ (credential regeneration) มาสู่ผู้ใช้ Community Edition โดยผู้ดูแลระบบสามารถสร้างข้อมูลประจำตัวใหม่สำหรับไซต์, machine client และ remote node ได้โดยตรงจากหน้า dashboard ซึ่งมีสองตัวเลือกคือ Regenerate เพื่อแทนที่ข้อมูลเดิมโดยไม่ตัดการเชื่อมต่อ และ Regenerate and Disconnect ที่จะยุติเซสชันปัจจุบันทันที

นอกเหนือจากฟีเจอร์ที่เพิ่มเข้ามาเหล่านี้ การเปิดตัวครั้งนี้ยังรวมถึงการปรับปรุงอินเทอร์เฟซต่างๆ และการแก้ไขบั๊ก สำหรับข้อมูลเพิ่มเติม โปรดดูที่ Pangolin 1.25 release announcement

สำหรับผู้ใช้ที่อัปเกรดจากการติดตั้งเดิม ควรทราบว่าการเปลี่ยนเส้นทาง HTTP แบบถาวร (Permanent HTTP redirects) จำเป็นต้องใช้ Badger 1.8 หรือใหม่กว่า โดยการย้ายข้อมูลอัตโนมัติของ Pangolin จะอัปเดต Badger ให้เมื่อพบการกำหนดค่า Traefik ในตำแหน่งมาตรฐาน มิฉะนั้นจำเป็นต้องทำการอัปเดตด้วยตนเอง