Configurer les serveurs relais

Les serveurs relais assurent la connectivité entre utilisateurs et ressources (VMs, conteneurs, postes distants) quand une connexion directe WebRTC n’est pas possible ou quand l’on choisit un transport Websocket géré par la plateforme.

Deux types existent :

• Serveurs TURN : relais WebRTC de secours. Ils peuvent être PUBLIC (accessibles à toutes les organisations) ou PRIVATE (association explicite requise).

• Relais Websocket : font passer la session par un websocket, en secours quand WebRTC ne se connecte pas ou à la place de WebRTC. Utiles pour les réseaux très contraints. Ils sont privés et nécessitent une association explicite.

Cette page couvre aussi les bonnes pratiques essentielles pour configurer l’URL, l’SNI, les Base URLs et le certificat.

Serveurs TURN

Les serveurs TURN relaient le flux WebRTC lorsque l’établissement peer-to-peer échoue (NAT strict, pare-feu, proxy). Ils assurent la fiabilité au prix d’une latence plus haute qu’en direct.

Accès : verified_user Zone d’administration > shield Réseau & Sécurité > cast Relais TURN.

Créer un serveur TURN

1. Ouvrez verified_user Zone d’administration > shield Réseau & Sécurité > cast Relais TURN, puis cliquez sur + Nouveau relais TURN.

2. Renseignez les champs du formulaire.

3. Cliquez sur Créer.

Champs du formulaire

• Nom : identifiant interne (ex. TURN1).

• Visibilité : PUBLIC ou PRIVATE.

• Hôte : FQDN ou IP du serveur TURN.

• Port : port d’écoute (souvent 443).

• Authentification : mode d’authentification du serveur TURN.

  • Nom d’utilisateur et mot de passe : tous les clients reçoivent les mêmes identifiants, qui ne changent jamais.

  • Secret partagé : l’API dérive de ce secret un identifiant valable 24 heures, à chaque connexion. Le serveur TURN doit tourner en mode use-auth-secret.

Note

Le secret partagé n’est jamais transmis au client : seul votre serveur TURN et Reemo le connaissent. À chaque connexion, Reemo en dérive un identifiant temporaire, valable 24 heures. Contrairement à un identifiant/mot de passe fixe partagé par tous les clients, cette méthode limite les risques en cas de fuite : les identifiants générés expirent rapidement et ne sont jamais réutilisés.

Associer un serveur TURN privé

Un serveur TURN peut avoir 2 statuts de visibilité dans la plateforme:

• PUBLIC : disponible pour toutes les organisations.

• PRIVATE : à associer explicitement à une organisation.

Cette association se fait depuis les paramètres de l’organisation — voir Serveurs relais TURN. Depuis la fiche d’un serveur relais, vous pouvez consulter quelles organisations y sont actuellement associées.

Bonnes pratiques TURN

• Préférer le port 443 pour passer les proxies d’entreprise.

• Segmenter par environnement ou organisation avec la visibilité PRIVATE et des associations ciblées.

Relais Websocket

Les relais Websocket font passer une session par un websocket, en secours de WebRTC ou à sa place. Un websocket traverse les réseaux qui bloquent WebRTC (pare-feu stricts, proxies), au prix de performances moindres. Ils sont utiles en réseaux très contraints.

Accès : verified_user Zone d’administration > shield Réseau & Sécurité > settings_ethernet Relais Websocket.

Pour mettre en place un relais :

1. Cochez Relais Websocket activés dans les Paramètres globaux.

2. Créez le relais.

3. Associez-le à un fournisseur de conteneurs ou à une organisation.

4. Si le relais est optionnel pour les conteneurs, ou si le fournisseur a plusieurs relais, réglez-le sur chaque profil de conteneur.

Types de relais

• SWARM et KUBERNETES : Reemo déploie un mini-conteneur relais sur le cluster pour chaque connexion et le supprime à la fin de la session.

• Partagé (un relais pour toutes les sessions) : un seul processus relais, toujours actif, appaire lui-même toutes les sessions. Rien n’est démarré par connexion : un serveur dessert plusieurs utilisateurs.

Mode du relais

Le Mode du relais d’une organisation définit comment ses sessions utilisent le relais :

• Toujours passer par le relais (désactive WebRTC) : toutes les sessions passent par le relais.

• WebRTC d’abord, relais en secours : la session tente d’abord une connexion WebRTC directe et ne bascule sur le relais que si elle ne se connecte pas en 10 secondes.

Dans le second mode, Reemo teste à la première connexion si WebRTC fonctionne sur le réseau de l’utilisateur. Si ce n’est pas le cas, la session passe par le relais Websocket, et une notification indique à l’utilisateur que WebRTC est indisponible. Reemo ne teste pas à nouveau WebRTC dans le même navigateur avant 24 heures.

Notification affichée à l’utilisateur quand la session bascule sur le relais Websocket.

Les performances du Websocket sont inférieures à celles de WebRTC, mais la connexion est plus robuste. Les utilisateurs voient que leur session passe par le relais dans l’onglet Stats de la barre d’outils, et peuvent y tester à nouveau WebRTC.

Créer un relais Websocket

1. Ouvrez verified_user Zone d’administration > shield Réseau & Sécurité > settings_ethernet Relais Websocket, puis cliquez sur + Nouveau relais Websocket.

2. Sélectionnez le Type, puis renseignez les champs du formulaire.

3. Cliquez sur Créer.

Une fois le relais créé, vous pouvez le tester depuis la liste des relais Websocket grâce au bouton Test.

Note

Le bouton Test vérifie que le serveur relais est accessible et, pour les types SWARM et KUBERNETES, qu’il peut provisionner des conteneurs. Un badge vert Succès ou rouge Échoué apparaît ensuite à côté du bouton selon le résultat.

Champs du formulaire

Pour les types SWARM et KUBERNETES :

• Type : moteur cible (SWARM ou KUBERNETES).

• Nom : identifiant interne du relais.

• URL : URL du cluster à contacter pour créer les mini-conteneurs relais.

• Nom du serveur (SNI) : nom de serveur attendu dans le certificat SSL présenté par le relais.

• Adresses IP du relais : IP de repli si le relais n’est pas joignable via DNS (liste séparée par des virgules).

• Websocket Base URL : URL publique appelée par le navigateur des utilisateurs.

• Status Base URL : URL de statut appelée par l’ API de provisioning pour savoir quand le relais est prêt.

• Port des stats HAProxy : port d’exposition des statistiques HAProxy (8404 par défaut). Utilisé par le diagnostic des nœuds.

• Certificat : choisissez d’utiliser un certificat existant, puis sélectionnez-le dans la liste.

Pour le type Partagé :

• Nom : identifiant interne du relais.

• URL websocket : adresse à laquelle se connecte le navigateur des utilisateurs, par exemple wss://relay.example.com.

• URL websocket des agents : seulement si les agents joignent le relais à une autre adresse, par exemple wss://relay.internal:8070.

• URL de statut : adresse qui répond sur /health, en général le même hôte en https.

• Adresses IP du relais : IP de repli si le relais n’est pas joignable via DNS (liste séparée par des virgules).

• Secret : généré par Reemo. Démarrez le processus websocket-relay avec cette valeur dans RELAY_SECRETS.

Attention

Le Secret n’est affiché qu’une seule fois, à la création du relais. Copiez-le avant de cliquer sur Créer.

Associer un relais Websocket

Un relais peut être associé à un fournisseur de conteneurs ou à une organisation. Depuis la fiche d’un serveur relais, vous pouvez consulter quelles organisations y sont actuellement associées.

Avec un fournisseur de conteneurs

1. Accédez à verified_user Zone d’administration > view_in_ar Conteneurs & Stations de travail > dns Fournisseurs de conteneurs et cliquez sur le Nom du fournisseur.

2. Ouvrez l’onglet Relais Websocket, puis cliquez sur Ajouter un relais Websocket.

3. Sélectionnez le relais, puis cliquez sur Ajouter.

Pour retirer un relais du fournisseur, cliquez sur Retirer à côté de lui dans la liste.

Si le fournisseur n’a qu’un seul relais, il est utilisé pour tous les conteneurs du fournisseur. S’il en a plusieurs, il faut sélectionner un relais sur chaque profil de conteneur associé au fournisseur (voir ci-dessous).

Avec une organisation

1. Accédez à verified_user Zone d’administration > domain Organisations.

2. Sélectionnez l’organisation souhaitée.

3. Cliquez sur admin_panel_settings Administration > settings_ethernet Relais Websocket.

4. Cochez Activer le relais Websocket, puis sélectionnez le Relais à utiliser.

5. Choisissez le Mode du relais.

6. Cliquez sur Enregistrer.

Le relais s’applique alors à toutes les ressources de l’organisation, ordinateurs et conteneurs.

Note

Par défaut, le relais s’applique à tous les conteneurs de l’organisation. Cochez Optionnel pour les conteneurs pour le rendre optionnel : il faudra alors l’activer manuellement sur chaque profil de conteneur (voir ci-dessous).

Important

Si un fournisseur de conteneurs et une organisation ont des relais différents, le relais du fournisseur est utilisé en priorité.

Utiliser le relais sur un profil de conteneur

Quand Optionnel pour les conteneurs est coché sur l’organisation, activez le relais sur chaque profil de conteneur qui en a besoin :

1. Accédez à inventory_2 Inventaire > box_edit Profils de conteneurs et cliquez sur le nom du profil.

2. Cliquez sur Éditer.

3. À l’étape Paramètres, cochez Utiliser le relais WebSocket de l’organisation.

4. Cliquez sur Mettre à jour.

Ses conteneurs utilisent alors le relais configuré sur l’organisation.

Si le fournisseur de conteneurs du profil a plusieurs relais, l’étape Paramètres affiche à la place deux autres champs : Relais Websocket, pour sélectionner le relais du profil, et Mode du relais Websocket, pour choisir comment les conteneurs du profil l’utilisent.

Étape Paramètres d’un profil de conteneur, quand le fournisseur a plusieurs relais.

Bonnes pratiques Websocket

Pour les types SWARM et KUBERNETES :

• Websocket Base URL doit être publique, stable et couverte par le certificat.

• Renseigner SNI pour sécuriser la validation TLS côté client.

• Dimensionner le cluster cible pour absorber la création à la demande des mini-conteneurs.

Pour tous les types, utilisez les Adresses IP du relais seulement en repli.

Voir aussi

Sécuriser son instance — Vue d’ensemble des contrôles qui protègent votre instance.