MetaProxy v2
Manual Técnico y de Arquitectura

1. Visión General y Objetivos del Proyecto

MetaProxy v2 es una plataforma proxy inversa multitenant de alto rendimiento diseñada por Metabiblioteca para reemplazar la infraestructura existente basada en MuseProxy y BunkerWeb. Su propósito primordial es facultar el acceso remoto y seguro a recursos de investigación científica (Elsevier ScienceDirect, EBSCOhost, SpringerLink, JSTOR, ProQuest, vLex, eLibro) asegurando que el tráfico de cada institución salga a Internet exclusivamente por su dirección IP pública autorizada (Egress Isolation) y que la navegación del usuario permanezca confinada bajo el dominio institucional.

2. Arquitectura de Alto Nivel y Componentes

El sistema se organiza en tres componentes ejecutables independientes:

• metaproxy-runtime (Data Plane): Motor de proxy inverso en streaming ejecutado como un proceso aislado por tenant bajo systemd (metaproxy-runtime@<tenant>.service).
• metaproxy-admin (Control Plane): Servidor central con API REST y panel de control web SPA embebido (//go:embed) en el puerto 9443.
• mpctl (CLI Administrativa): Herramienta de consola para validar perfiles YAML, compilar reglas y calcular hashes criptográficos Argon2id.

3. Aislamiento de Red y Egress Isolation (RNF-001)

El servidor tmpproxy-04 dispone de dos interfaces de red físicas independientes:

Enlace de Socket en Go:

func BindToInterface(fd uintptr, iface string) error {
    return unix.SetsockoptString(int(fd), unix.SOL_SOCKET, unix.SO_BINDTODEVICE, iface)
}

Guardia en nftables por cgroupv2:

socket cgroupv2 level 1 "mp-t07.slice" oifname != "lo" ip saddr != 54.36.18.254 counter drop
socket cgroupv2 level 1 "mp-t08.slice" oifname != "lo" ip saddr != 54.36.18.253 counter drop

4. Motor de Reescritura Determinista

El motor de reescritura en Go garantiza que ninguna petición se fugue a la editorial original sin pasar por el proxy:

• Streaming HTML Tokenizer: Basado en golang.org/x/net/html, procesa etiquetas en flujo continuo sin almacenar páginas completas en RAM.
• CSS & JS Lexical Rewrite: Analiza directivas url(...) y literales de URLs en scripts.
• Shim JS Inyectado: Intercepta en el cliente las llamadas a window.fetch, XMLHttpRequest y asignaciones de window.location.
• Aislamiento de Cookies: Cookies de sesión de portal restringidas al apex (mp_sid) y cookies de host firmadas con HMAC (mp_hs) emitidas mediante tickets de un solo uso.

5. API REST del Plano de Control

6. Infraestructura de Red, DNS y Terminación TLS (Apache + Certbot)

MetaProxy requiere resolver cualquier subdominio codificado (*.temp-proxy07.metaproxy.org y *.temp-proxy08.metaproxy.org) hacia la IP del servidor y terminar TLS con certificados comodín válidos.

6.1 Configuración de Nombres de Dominio (DNS Wildcard)

6.2 Apache VirtualHost con SSL Reverse Proxy

Implementado en deploy/apache/metaproxy-wildcard.conf:

• VirtualHosts exclusivos enlazados por IP pública (54.36.18.254:443 y 54.36.18.253:443).
• Redirección HTTP 301 global a HTTPS preservando host proxificado y path exacto.
• ProxyPreserveHost On para conservar cabecera Host requerida por hostmap.
• Enrutamiento condicional para WebSocket (Upgrade: websocket → ws://127.0.0.1:8087/).
• Reenvío HTTP inverso a http://127.0.0.1:8087/ con timeout=120 y retry=0.

6.3 Automatización de Certificados con Certbot (DNS-01 GoDaddy)

Para certificados comodín, MetaProxy utiliza el desafío DNS-01 mediante deploy/certbot/obtain-wildcard.sh:

certbot certonly \
  --dns-godaddy \
  --dns-godaddy-credentials /etc/letsencrypt/godaddy.ini \
  --dns-godaddy-propagation-seconds 60 \
  -d "$DOM" -d "*.$DOM" \
  --non-interactive --agree-tos -m "soporte@metabiblioteca.com.co" \
  --deploy-hook "/bin/systemctl reload metaproxy-runtime@$TENANT.service"

Los certificados emitidos se sincronizan en /var/lib/metaproxy/<tenant>/tls/ con permisos 0640/0600.

6.4 Estrategia de Fallback TLS On-Demand y Autofirmado

Para entornos de staging, pruebas de laboratorio o contingencias en la API de DNS:

• OpenSSL Autofirmado: Si no existe el certificado de Let's Encrypt al arrancar, setup-apache.sh genera un par TLS ECDSA prime256v1 con SAN comodín para garantizar operatividad inmediata.
• Emisión Nativa Go: mpctl gen-selfsigned -cert <ruta> -key <ruta> -hosts <hosts> genera certificados X.509 v3 sin dependencias del sistema operativo.
• Hot-Reload sin Downtime: Tanto Apache como metaproxy-runtime soportan recarga en caliente de certificados sin interrumpir conexiones TCP activas.

7. Comandos de Operación y Administración

# Iniciar servicio de runtime para un tenant
systemctl start metaproxy-runtime@t07.service

# Recargar configuración y certificados en caliente (sin corte)
systemctl reload metaproxy-runtime@t07.service

# Recargar servidor Apache
systemctl reload apache2

# Validar catálogo de perfiles offline con mpctl
./bin/mpctl validate -d profiles ebsco sciencedirect springer jstor proquest

# Iniciar servidor de administración y panel web
./bin/metaproxy-admin -listen 0.0.0.0:9443 -profiles profiles -tenants deploy/tenants