单点登录服务Authelia（下篇）

最新推荐文章于 2024-06-13 09:50:25 发布
最新推荐文章于 2024-06-13 09:50:25 发布
阅读量742 收藏
点赞数 1
分类专栏： 运维人生 文章标签： 网络 运维 服务器
原文链接：https://blog.csdn.net/wbsu2004/article/details/123370075?spm=1001.2101.3001.6650.2&utm_medium=distribute.pc_relevant.none-task-blog-2%7Edefault%7ECTRLIST%7ERate-2-123370075-blog-123324859.pc_relevant_3mothn_strategy_and_data_recovery&depth_1-utm_source=di
版权

高级设置

Authelia

进入 Nginx Proxy Manager，找到 Authelia 域名 auth.laosu.ml 对应的 Proxy Hosts，进入编辑状态，并切换到 Advanced 界面

在 Custom Nginx Configuration 中粘贴下面的代码

location / {
    set $upstream_authelia http://192.168.0.199:9091; # authelia 的 ip 和端口
    proxy_pass $upstream_authelia;
    client_body_buffer_size 128k;

    #Timeout if the real server is dead
    proxy_next_upstream error timeout invalid_header http_500 http_502 http_503;

    # Advanced Proxy Config
    send_timeout 5m;
    proxy_read_timeout 360;
    proxy_send_timeout 360;
    proxy_connect_timeout 360;

    # Basic Proxy Config
    proxy_set_header Host $http_host; # 原为 $host，按照作者建议改为 $http_host；
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;
    proxy_set_header X-Forwarded-Host $host;
    proxy_set_header X-Forwarded-Uri $request_uri;
    proxy_set_header X-Forwarded-Ssl on;
    proxy_redirect  http://  $scheme://;
    proxy_http_version 1.1;
    proxy_set_header Connection "";
    proxy_cache_bypass $cookie_session;
    proxy_no_cache $cookie_session;
    proxy_buffers 64 256k;

    set_real_ip_from 192.168.0.0/24; #根据你的网段进行修改
    real_ip_header X-Forwarded-For;
    real_ip_recursive on;
}

粘贴前有两处需要修改👇

  • 第一处要改成你的群晖主机的 IP 和 Authelia 的端口
    set $upstream_authelia http://192.168.0.199:9091;
  • 第二处根据你的网段进行修改
    set_real_ip_from 192.168.0.0/24; #根据你的网段进行修改

受保护的域

域名用途规则
https://ad.laosu.mlAdminer 的访问地址one_factor
https://sp1.laosu.mlspeed test 的访问地址one_factor
https://nas.laosu.ml群晖管理界面 的访问地址two_factor
https://n8n.laosu.mln8n 的访问地址two_factor

每个受保护的域，不管是 one_factor 还是 two_factor，都要进入 Nginx Proxy Manager，找到对应的 Proxy Hosts，进入编辑状态，并切换到 Advanced 界面，在 Custom Nginx Configuration 中粘贴下面的代码

location /authelia {
    internal;
    set $upstream_authelia http://192.168.0.199:9091/api/verify; # authelia 的 ip 和端口
    proxy_pass_request_body off;
    proxy_pass $upstream_authelia;    
    proxy_set_header Content-Length "";
 
    # Timeout if the real server is dead
    proxy_next_upstream error timeout invalid_header http_500 http_502 http_503;
    client_body_buffer_size 128k;
    proxy_set_header Host $http_host;
    proxy_set_header X-Original-URL $scheme://$http_host$request_uri;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $remote_addr; 
    proxy_set_header X-Forwarded-Proto $scheme;
    proxy_set_header X-Forwarded-Host $http_host;
    proxy_set_header X-Forwarded-Uri $request_uri;
    proxy_set_header X-Forwarded-Ssl on;
    proxy_redirect  http://  $scheme://;
    proxy_http_version 1.1;
    proxy_set_header Connection "";
    proxy_cache_bypass $cookie_session;
    proxy_no_cache $cookie_session;
    proxy_buffers 4 32k;
 
    send_timeout 5m;
    proxy_read_timeout 240;
    proxy_send_timeout 240;
    proxy_connect_timeout 240;
}
 
    location / {
        set $upstream_speedtest http://192.168.0.199:8180;  # 更改应用的名称， IP 和端口
        proxy_pass $upstream_speedtest;  # 更改应用的名称，一般可以用 upstream_应用名称 的方式
 
auth_request /authelia;
auth_request_set $target_url $scheme://$http_host$request_uri;
auth_request_set $user $upstream_http_remote_user;
auth_request_set $groups $upstream_http_remote_groups;
proxy_set_header Remote-User $user;
proxy_set_header Remote-Groups $groups;
error_page 401 =302 https://auth.laosu.ml:444/?rd=$target_url; # 改为你的 authelia 域名，有端口也要带上
 
client_body_buffer_size 128k;
 
proxy_next_upstream error timeout invalid_header http_500 http_502 http_503;
 
send_timeout 5m;
proxy_read_timeout 360;
proxy_send_timeout 360;
proxy_connect_timeout 360;
 
proxy_set_header Host $http_host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
proxy_set_header X-Forwarded-Host $http_host;
proxy_set_header X-Forwarded-Uri $request_uri;
proxy_set_header X-Forwarded-Ssl on;
proxy_redirect  http://  $scheme://;
proxy_http_version 1.1;
proxy_set_header Connection "";
proxy_cache_bypass $cookie_session;
proxy_no_cache $cookie_session;
proxy_buffers 64 256k;
 
set_real_ip_from 192.168.0.0/16; #根据你的网段进行修改
real_ip_header X-Forwarded-For;
real_ip_recursive on;
    }

粘贴前有几处需要修改👇

  • 第一处要改成你的群晖主机的 IP 和 Authelia 的端口
    set $upstream_authelia http://192.168.0.199:9091/api/verify; # authelia 的 ip 和端口
  • 第二处是修改 $upstream_speedtest ，一般按照应用的名称、容器的名称改，主要是便于识别，例如：$upstream_adminer、 $upstream_n8n 等
  • 后面的地址 http://192.168.0.199:8180 则需要按照你的应用来设置，这是老苏安装的 speedtest 应用
        set $upstream_speedtest http://192.168.0.199:8180;  # 更改应用的名称， IP 和端口
        proxy_pass $upstream_speedtest;  # 更改应用的名称，一般可以用 upstream_应用名称 的方式
  • 第三处需要改为你的 authelia 的域名，如果和老苏一样没有备案的话，这里必须把端口带上
error_page 401 =302 https://auth.laosu.ml:444/?rd=$target_url; # 改为你的 authelia 域名，有端口也要带上
  • 第四处根据你的网段进行修改
set_real_ip_from 192.168.0.0/16; #根据你的网段进行修改

运行

先打开 https://auth.laosu.ml:444，出现了 authelia 的登录界面

按照我们前面在 users_database.yml 中的设置，账号为 authelia，密码为 123456；这里老苏只是示例，如果你也这么设，那设不设的也没啥区别

登录成功后

如果设置了 two_factor，会显示需要注册设备

接下来试试 https://sp1.laosu.ml:444，出现了 authelia 的登录界面，输入账号、密码，登录成功直接打开了测试界面

打开 https://n8n.laosu.ml:444，这个通行规则是 two_factor，需要点 METHODS，选择 TOTP

点 Register device 可以注册设备

一次性密码（One-Time Password，简称 OTP），又称 “一次性口令”，是指只能使用一次的密码。一次性密码是根据专门算法、每隔 60 秒生成一个不可预测的随机数字组合，iKEY 一次性密码已在金融、电信、网游等领域被广泛应用，有效地保护了用户的安全。【百度百科】

OTP 软件挺多的，比如老苏用的 Microsoft Authenticator，还有 Google Authenticator 、FreeOTP 等等

右上角显示发送邮件

进邮箱，点中间蓝色的 Register 按钮

如果页面错误，看看 url 中是不是少了端口，老苏用的 444 端口是非标端口（ SSL 默认端口为 443，所以老苏认为 444 是非标的），需要自己加，加好了在地址栏中直接回车刷新页面就可以了

按作者的说法，可能需要到 v4.34 才会修复非标准端口运行的问题

老苏用的是 Microsoft Authenticator ，打开后通过 添加账号 --> 个人账号 --> 扫描 QR 码

回到网页的登录界面，刷新后会显示 6 个方框

填入 Microsoft Authenticator 中的 6 位数字，验证通过后就可以看到 n8n 的界面了

结语

有了 Authelia，再配合 Fail2ban 防止暴力破解，公网访问的安全性问题会得到很大的保障。

虽然官方强调 OpenID Connect 仍处于预览阶段，但实际上Authelia 已经支持 OIDC 认证，不过限于篇幅，还是留到下回吧。

下期预告👉『 Outline使用Authelia实现本地认证』，文章将讨论如何实现 Outline 通过 Authelia 的 OIDC 完成本地认证，而不再需要借助基于公网的第三方认证。

参考文档

authelia/authelia: The Single Sign-On Multi-Factor portal for web apps
地址：https://github.com/authelia/authelia

Home - Authelia
地址：https://www.authelia.com/docs/

Running authelia on a non standard HTTPs port. Base href is not valid. · Issue #2765 · authelia/authelia
地址：https://github.com/authelia/authelia/issues/2765

Authelia - SSO and 2FA portal
地址：https://www.blackvoid.club/authelia-sso-and-2fa-portal/

Self-Hosted SSO with Authelia and NGINX
地址：https://matwick.ca/authelia-nginx-sso/

Setup Authelia to work… | The Homelab Wiki
地址：https://thehomelab.wiki/books/dns-reverse-proxy/page/setup-authelia-to-work-with-nginx-proxy-manager

Authelia: Install Guide on Unraid + NGINX (Brief) - YouTube
地址：https://www.youtube.com/watch?app=desktop&v=fr-t7sGrYtI

SkyPi/README.md at main · Just5KY/SkyPi
地址：https://github.com/Just5KY/SkyPi/blob/main/Authelia/README.md

大囚长
关注
  • 1
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 2
    评论
专栏目录
authelia：在unRAID操作系统中部署Authelia的说明和配置文件
02-05
authelia：在unRAID操作系统中部署Authelia的说明和配置文件
【 云原生 kubernetes 】- 单点登录Authelia + OpenLdap
ycloud
06-25 2150
Authelia是一个开源的单点登录身份验证系统，可以用于保护Web应用程序、API和其他服务
发现Auto-Authelia：您的个性化认证管理器
最新发布
gitblog_00012的博客
06-13 408
???? 发现Auto-Authelia：您的个性化认证管理器 auto-autheliaA series of scripts that will install a reverse proxy as well as configure authelia automatically.项目地址:https://gitcode.com/gh_mirrors/au/auto-authelia 在当今这个数...
组件分享之后端组件——Go开发的单点登录应用组件authelia
CN華少的博客
03-17 622
组件分享之后端组件——Go开发的单点登录应用组件authelia 背景 近期正在探索前端、后端、系统端各类常用组件与工具，对其一些常见的组件进行再次整理一下，形成标准化组件专题，后续该专题将包含各类语言中的一些常用组件。欢迎大家进行持续关注。 组件基本信息 组件：authelia 开源协议：Apache-2.0 License 官方文档：https://www.authelia.com/do...
探秘Authelia：一站式身份验证和访问控制解决方案
gitblog_00064的博客
03-19 760
探秘Authelia：一站式身份验证和访问控制解决方案 autheliaThe Single Sign-On Multi-Factor portal for web apps项目地址:https://gitcode.com/gh_mirrors/au/authelia 是一个开源的身份验证和访问控制解决方案，它为你的应用程序提供了强大的安全层。通过集成多因素认证（MFA）和其他高级安全特性，Au...
Outline使用Authelia实现本地认证
wbsu2004的博客
03-11 4554
通过 Authelia 的 OIDC 协议，让 Outline 实现本地化认证。
test-authelia
04-07
- 在多入口控制器的场景下，我们需要确保Authelia能够与各种不同的设备或系统接口良好地工作，包括但不限于Web服务器、API网关、数据库和其他服务。 5. **测试框架**： - 使用Shell脚本进行测试时，可能会结合...
autheliar:Authelia API的R接口
03-06
这意味着它可以稳定地处理登录、注册、身份验证以及可能的多因素认证等任务，同时保持与Authelia服务器的通信顺畅。 **标签分析：** 由于没有提供具体的标签，我们可以推测该包可能包含以下关键概念：身份验证、...
traefikv2apps:TreafikV2 Apps与Cloudflare上的Authelia
03-10
TreafikV2 Apps与Cloudflare上的Authelia 这是一项正在进行的工作 所有设置均适应我的需求 它可能但不一定在其他系统上工作，因此，只有在知道自己在做什么的情况下，才使用它 我对错误或对其他系统的适应不提供...
authelia-docker-swarm:在docker swarm上部署aulitelia lite的示例
04-10
$ git clone https://github.com/wuhanstudio/authelia-docker-swarm && cd authelia-docker-swarm # Replace wuhanstudio.cc with your domain $ find . -type f -name "*.yml" -exec sed -i'' -e 's/example....
开源SSO Authelia部署（Docker+Ubuntu）
Purpose_7的博客
11-29 4645
开源SSO Authelia部署（Docker+Ubuntu）
oidc-tester-app:实施OpenID Connect的应用程序，用于与Authelia进行测试
04-12
oidc-tester-app oidc-tester-app是用于测试Authelia提供的OIDC API的OIDC客户端 执照 该软件已获得 ）许可。
基于.Net的单点登录(SSO)解决方案
02-15
感谢吴剑提供的基于.Net的单点登录(SSO)解决方案。此源码包含其提供解决方案中只给出dll文件没给出代码的部分。
nginx_kibana配置
12-24
nginx_kibana配置
开源 SSO 单点登录认证系统，支持与 Nginx 直接集成
非著名程序员
07-27 2990
【公众号回复 “1024”，免费领取程序员赚钱实操经验】大家好，我是你们的章鱼猫。今天推荐一个比较正规的开源项目，每个公司基本都会有类似的系统，那就是登陆系统。Authelia 是一个开...
potplayer直播_国庆在家玩直播
weixin_39620037的博客
11-22 3249
准备工作推流工具：OBS(Open Broadcaster Software)，软件下载地址：https://obsproject.com/download播放工具：PotPlayer(windows)，下载地址：https://daumpotplayer.com/download/IINA(macOS)，下载地址：https://iina.io/download/VLC(跨平台)，下载...
重新定义NAS！群晖发布会上值得关注的亮点产品与技术
weixin_34362991的博客
08-09 372
群晖2017年新品发布会已经于上个周末(9月25日)在北京成功召开了。关于群晖这个专注于存储的厂商，行业内的用户相信并不陌生。对于这次发布会的报道，想来想去，还是为大家一一盘点一下在会上发布的新产品与新技术吧，毕竟，这才是用户最为关注的。当然，关于群晖未来的市场定位和产品方向，笔者将会在群晖科技CEO陈予建先生的采访中，为大家一一解答。 虽然...
SSO单点登录三种情况的实现方式详解
热门推荐
json_li的博客
06-26 1万+
单点登录（SSO——Single Sign On）对于我们来说已经不陌生了。对于大型系统来说使用单点登录可以减少用户很多的麻烦。就拿百度来说吧，百度下面有很多的子系统——百度经验、百度知道、百度文库等等，如果我们使用这些系统的时候，每一个系统都需要我们输入用户名和密码登录一次的话，我相信用户体验肯定会直线下降。当然，对于个人博客这类系统来说根本就用不上单点登录了。 假如，我们的系统很庞大，但是就
群晖DSM6.0系统完美修改root账号密码
琴怀诗韵
05-31 1万+
首先感谢贴吧：tom6781459的教程自从群晖NAS升级到DSM6.0以后，官方修改了系统的ROOT密码，原来一些老的教程都说是admin账户密码，其实已经修改过了。现如今已经有了完美修改root密码的方法，你可以修改成任意的，当然为了避免遗忘，还是建议你设置成admin账户的密码吧。方法很简单，几步操作就可以，开启后就可以做相应的修改了。工具/原料群晖NAS （DSM6.0以上版本）PUTTY...
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值