Centos - SSL

13.3.2010 18:37 | Přečteno: 643× | Linux

I další zápisek se bude zabývat CentOSem. Tentokrát však z trošku jiné stránky a totiž zastaralosti openssl.

O co jde? Standardní openssl+mod_ssl neumožňují provoz více ssl vhostů na jedné IP adrese. Toto je vyřešeno až v openssl 0.9.8f a apachi 2.2.12. Problém je, že v CentOSu je openssl ve verzi 0.9.8e, tedy těsně o jednu předtím. Nejprve jsem se tedy pokoušel vyrobit si vlastní rpmko s touto verzí. Načež jsem narazil na to, že fko používá jiné číslo verze knihoven, než éčko a skoro celý systém je na openssl závislý. Zkoušel jsem i různé triky jako symlinky se starým číslem verze, ale to nepomohlo.

Také jsem zkoušel různé triky s certifikáty až jsem nakonec našel modul do apache mod_gnutls a považoval jsem to za vyřešené. Dneska však na mně vykouknul tento nevyřešený bug mod_gnutls, tedy, že ve spojení s FF na linuxu nefungují větší POST požadavky.

Jak řešíte na serverech problém s provozem více ssl domén na jedné IP adrese?        

Komentáře

[Limoto]

Poradna je tu k čemu?

[Marek Stopka]

Pokud ti jde jen o ochcání závislostí tak RPM tag

Provides:

ve specu by to řešil v kombinaci s tím symbolickým odkazem. :)

[Vlastimil Šetka]

Co jsem zatím viděl, tak obecný závěr je, že pro seriózní nasazení to stejně nemá smysl. Tj. co SSL certifikát (doména), to zvláštní IP adresa. Protože:

The client browser must also support SNI. Here are some browsers that do:

    * Mozilla Firefox 2.0 or later
    * Opera 8.0 or later (with TLS 1.1 enabled)
    * Internet Explorer 7.0 or later (on Vista, not XP)
    * Google Chrome
    * Safari 3.2.1 on Mac OS X 10.5.6 

tj. Windows XP + Internet Explorer to neumí.

( http://wiki.apache.org/httpd/NameBasedSSLVHostsWithSNI )

[filbar]

A IE šestku ještě dneska někdo používá? Když je k dispozici verze 7 a 8?

[Limoto]

Přečti si to ještě jednou.

[rincewind]

Není už skoro lehčí (lepší) využít stable debian než dělat takové, s prominutím, prasárny na produkčním stroji? I tam, a to je distro se "zastaralými" balíčky, je OpenSSL 0.9.8g-15+lenny6.

[Jan Drábek]

V debian stable (lenny) s SSL a name based virtualhosty taky ostrouháte. Příliš starý apache.

[Zdeněk Burda]

Vzhledem k "podpoře" na straně klientů je to stejně jedno.

[Heron]

Opět pěkná antireklama CentOSu na základě neznalosti

Problém je, že v CentOSu je openssl ve verzi 0.9.8e, tedy těsně o jednu předtím.

Ne, to není problém. CentOS zkrátka takový je. Ber nebo nech být. Za chvíli vyjde 6, tam dostaneš nové verze.

Jak řešíte na serverech problém s provozem více ssl domén na jedné IP adrese?

Neřešíme. Co vhost, to jedna IP. Od toho jsou.

[petr_p]

Jak jiné číslo? Tahleta písmenková vydání by měla být opravná, takže knihovna by neměla měnit API/ABI. Verze dynamické knihovny má tvar VERZE.REVIZE.KOMPATIBILITA. Jestli se jen změnila revize nebo o stejný rozdíl vzrostla VERZE i KOMPATIBILITA, tak by měly programy fungovat i proti nové knihovně.

Jinak se nerozčilujte, jednoho krásného dne bude vše nahrazeno NSS :)