abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×

dnes 05:55 | Zajímavý projekt

Dle příspěvku na blogu zaměstnanců CZ.NIC byl spuštěn ostrý provoz služby Honeypot as a Service (HaaS). Zapojit se může kdokoli. Stačí se zaregistrovat a nainstalovat HaaS proxy, která začne příchozí komunikaci z portu 22 (běžně používaného pro SSH) přeposílat na server HaaS, kde honeypot Cowrie (GitHub) simuluje zařízení a zaznamenává provedené příkazy. Získat lze tak zajímavé informace o provedených útocích. K dispozici jsou globální statistiky.

Ladislav Hagara | Komentářů: 0
dnes 04:44 | Komunita

Před týdnem společnost Feral Interactive zabývající se vydáváním počítačových her pro operační systémy macOS a Linux oznámila, že pro macOS a Linux vydají hru Rise of the Tomb Raider. Včera společnost oznámila (YouTube), že pro macOS a Linux vydají také hru Total War Saga: Thrones of Britannia. Verze pro Windows by měla vyjít 19. dubna. Verze pro macOS a Linux krátce na to.

Ladislav Hagara | Komentářů: 0
včera 21:33 | Nová verze

Byla vydána nová major verze 7.10 svobodného systému pro řízení vztahů se zákazníky (CRM) s názvem SuiteCRM (Wikipedie). Jedná se o fork systému SugarCRM (Wikipedie). Zdrojové kódy SuiteCRM jsou k dispozici na GitHubu pod licencí AGPL.

Ladislav Hagara | Komentářů: 0
včera 16:44 | Nová verze

Byla vydána nová verze 0.30 display serveru Mir (Wikipedie) a nová verze 2.31 nástrojů snapd pro práci s balíčky ve formátu snap (Wikipedie). Z novinek Miru vývojáři zdůrazňují vylepšenou podporu Waylandu nebo možnost sestavení a spouštění Miru ve Fedoře. Nová verze snapd umí Mir spouštět jako snap.

Ladislav Hagara | Komentářů: 0
včera 14:00 | Komunita

Na Indiegogo běží kampaň na podporu Sway Hackathonu, tj. pracovního setkání klíčových vývojářů s i3 kompatibilního dlaždicového (tiling) správce oken pro Wayland Sway. Cílová částka 1 500 dolarů byla vybrána již za 9 hodin. Nový cíl 2 000 dolarů byl dosažen záhy. Vývojáři přemýšlejí nad dalšími cíli.

Ladislav Hagara | Komentářů: 1
včera 11:11 | Nasazení Linuxu

Před dvěma týdny se skupina fail0verflow (Blog, Twitter, GitHub) pochlubila, že se jim podařilo dostat Linux na herní konzoli Nintendo Switch. O víkendu bylo Twitteru zveřejněno další video. Povedlo se jim na Nintendo Switch rozchodit KDE Plasmu [reddit].

Ladislav Hagara | Komentářů: 3
včera 05:55 | Komunita

Byla vydána vývojová verze 3.2 softwaru Wine (Wikipedie), tj. softwaru, který vytváří aplikační rozhraní umožňující chod aplikací pro Microsoft Windows také pod GNU/Linuxem. Z novinek lze zdůraznit například podporu HID gamepadů. Aktuální stabilní verze Wine je 3.0, viz verzování. Nejistá je budoucnost testovací větve Wine Staging s řadou experimentálních vlastností. Současní vývojáři na ni již nemají čas. Alexandre Julliard, vedoucí projektu Wine, otevřel v diskusním listu wine-devel diskusi o její budoucnosti.

Ladislav Hagara | Komentářů: 2
18.2. 16:55 | Komunita

Do 22. března se lze přihlásit do dalšího kola programu Outreachy (Wikipedie), jehož cílem je přitáhnout do světa svobodného a otevřeného softwaru lidi ze skupin, jež jsou ve světě svobodného a otevřeného softwaru málo zastoupeny. Za 3 měsíce práce, od 14. května do 14. srpna 2018, v participujících organizacích lze vydělat 5 500 USD.

Ladislav Hagara | Komentářů: 54
17.2. 15:44 | Komunita

Nadace The Document Foundation (TDF) zastřešující vývoj svobodného kancelářského balíku LibreOffice dnes slaví 6 let od svého oficiálního vzniku. Nadace byla představena 28. září 2010. Formálně ale byla založena až 17. února 2012. Poslední lednový den byl vydán LibreOffice 6.0. Dle zveřejněných statistik byl za dva týdny stažen již cca milionkrát.

Ladislav Hagara | Komentářů: 1
17.2. 04:44 | Bezpečnostní upozornění

CSIRT.CZ upozorňuje, že byla vydána nová verze 1.2.3 svobodného routovacího démona Quagga (Wikipedie) přinášející několik bezpečnostních záplat. Při nejhorší variantě může dojít až k ovládnutí běžícího procesu, mezi dalšími možnostmi je únik informací z běžícího procesu nebo odepření služby DoS. Konkrétní zranitelnosti mají následující ID CVE-2018-5378, CVE-2018-5379, CVE-2018-5380 a CVE-2018-5381.

Ladislav Hagara | Komentářů: 0
Který webový vyhledávač používáte nejčastěji?
 (2%)
 (28%)
 (62%)
 (2%)
 (3%)
 (1%)
 (1%)
 (1%)
Celkem 389 hlasů
 Komentářů: 34, poslední 14.2. 18:44
    Rozcestník

    Dotaz: Apache2 proxy SSL, Tomcat, SSL

    23.3.2012 21:58 Nautil | skóre: 2 | Praha
    Apache2 proxy SSL, Tomcat, SSL
    Přečteno: 771×
    Ahoj!

    Potřebuju nastavit frontendový server s Apache2 jako proxy pro HTTP i HTTPS provoz. Obsluhuje backendový server s Tomcatem 6.0.

    Nastavení pro HTTP na front.dom.cz je dáno v souboru /etc/apache2/default-server.conf - ten je defaultní, nijak jsem ho neupravoval.

    Schéma HTTP
    http://front.dom.cz --> http://back.dom.cz:8080/app1
    V adresním řádku prohlížeče se má zobrazovat http://front.dom.cz/app1

    To už jsem s pomocí zdejší poradny zvládnul: na front.dom.cz inkluduju do httpd.conf soubor mod_proxy.conf s tímto obsahem
    ProxyRequests Off
    ProxyPreserveHost On
    
    <Proxy *>
      Order deny,allow
      Allow from all
    </Proxy>
    
    ProxyPass               /app1   http://back.dom.cz:8080/app1
    ProxyPassReverse        /app1   http://back.dom.cz:8080/app1
    ProxyPass               /       http://back.dom.cz:8080/app1
    ProxyPassReverse        /       http://back.dom.cz:8080/app1
    
    Schéma HTTPS
    https://front.dom.cz --> https://back.dom.cz:8443/app1
    Zobrazovat se má
    https://front.dom.cz/app1

    Popravdě, potřebuju šifrované spojení HTTPS jen pro přihlašování, ale to bych zatím neřešil. Klidně ať zatím běží celá aplikace na HTTPS, před přihlášením i po. To je ostatně věc aplikace.

    Na frontendu jsem zapnul SSL v Apache a definoval virtuálního hosta /etc/apache2/vhosts.d/front.dom.cz
    <IfDefine SSL>
    <IfDefine !NOSSL>
    NameVirtualHost IPadresaFront:443
    <VirtualHost IPadresaFront:443>
            DocumentRoot "/srv/www/htdocs/front.dom.cz"
            ServerName IPadresaFront:443
            ServerAdmin admin@dom.cz
            ErrorLog /var/log/apache2/error_log
            TransferLog /var/log/apache2/access_log
            SSLEngine on
            SSLProtocol all -SSLv2
            SSLCipherSuite HIGH:MEDIUM
            SSLCertificateFile /etc/apache2/ssl.crt/ap2server.crt
            SSLCertificateKeyFile /etc/apache2/ssl.key/ap2server.key
            SSLCertificateChainFile /etc/apache2/ssl.crt/newca.crt
            SSLCACertificateFile /etc/apache2/ssl.crt/newca.crt
    
            <Files ~ "\.(cgi|shtml|phtml|php3?)$">
                SSLOptions +StdEnvVars
            </Files>
            <Directory "/srv/www/htdocs/front.dom.cz">
              Options Indexes
              AllowOverride None
              Allow from from all
              Order allow,deny
            </Directory>
    
            CustomLog /var/log/apache2/ssl_request_log   ssl_combined
    </VirtualHost>
    </IfDefine>
    </IfDefine>
    
    Ačkoli jsem na backendovém stroji SSL ještě nezprovoznil a proxy pro HTTPS nenastavil, funguje mi https://front.dom.cz/app1, tj. zobrazuje obsah z back.dom.cz/app1, ale jestli šifrovaně, to nepoznám.

    Zdá se, že direktivy z mod_proxy.conf mi přesměrovávají i HTTPS provoz. Ale to nejspíš nebude v pořádku, když SSL je jen na proxy serveru, že? Rád bych, aby byla celá komunikace šifrovaná, nejen se tak tvářila.

    Kde všude má být konfigurováno SSL a vložen certifikát? Potřebuju certifikát s Common Name=front.dom.cz. Jak korektně nastavit proxy pro HTTPS provoz?

    Díkes za každou radu!

    Odpovědi

    23.3.2012 22:36 DK
    Rozbalit Rozbalit vše Re: Apache2 proxy SSL, Tomcat, SSL
    pouzijte nginx, nenarocny, jednoduchy na nastaveni, ochrana proti ddos a slowloris utokum...
    24.3.2012 00:01 Zdenek 'Mst. Spider' Sedlak | skóre: 37 | blog: xMstSpider
    Rozbalit Rozbalit vše Re: Apache2 proxy SSL, Tomcat, SSL
    To je rada, jak noha (kdyz nemate sojovku, dejte tam spenat...).

    Nic proti nginx (pouzivam ho taky jako reverzni proxy), ale tazatel se pta, jak to vyresit v Apache...
    24.3.2012 08:52 Filip Jirsák | skóre: 67 | blog: Fa & Bi
    Rozbalit Rozbalit vše Re: Apache2 proxy SSL, Tomcat, SSL
    Pokud se vám v prohlížeči zobrazuje v adresním řádku protokol https, je komunikace šifrovaná. V případě HTTPS bude šifrovaná komunikace vždy mezi klientem a proxy serverem, ten musí šifrovanou komunikaci vybalit, a pak s ní něco udělá dál. Pokud je Tomcat na stejném stroji nebo ve stejné důvěryhodné síti, je zbytečné komunikaci znovu šifrovat a je lepší mezi proxy a Tomcatem použít obyčejné HTTP. Certifikát a vše týkající se HTTPS pak bude jen na Apachi. Ještě můžete (snad) nastavit proxy tak, že bude Tomcatu v hlavičkách předávat informaci o tom, že komunikace byla šifrovaná, pak to lze i z Tomcatu ze servletu zjistit voláním ServletRequest.isSecure().

    Část konfiguráku mi připadá zbytečná, nebo tam opravdu máte nějaké PHP nebo CGI skripty?
    <Files ~ "\.(cgi|shtml|phtml|php3?)$">
      SSLOptions +StdEnvVars
    </Files>
    
    Jinak máte nějaký důvod, proč tam cpát ten proxy server? Bude na tom portu 80 a 443 poskytovat ještě nějaké jiné služby? Jinak můžete vystavit do internetu rovnou Tomcat a bude to celé jednodušší...
    26.3.2012 17:34 Nautil | skóre: 2 | Praha
    Rozbalit Rozbalit vše Re: Apache2 proxy SSL, Tomcat, SSL

    Díky za radu. Ano, server s Tomcatem (backend) leží v důvěryhodné síti, takže komunikace Proxy - Tomcat nemusí být šifrovaná. Nebyl jsem si jist, zda HTTPS komunikace nutně musí být end-to-end, tedy z klienta až k backendovému serveru, nebo stačí, když bude šifrovaná jen část, která jde k frontendu. Proto tedy použiju obyčejné HTTP.

    Část toho konfiguráku je opravdu zbytečná, půjde pryč.

    Proxy je tam kvůli snížení zátěže na server s Tomcatem, a časem z něho taky bude load balancer - backendových serverů přibyde.

    26.3.2012 21:03 Filip Jirsák | skóre: 67 | blog: Fa & Bi
    Rozbalit Rozbalit vše Re: Apache2 proxy SSL, Tomcat, SSL
    Nebyl jsem si jist, zda HTTPS komunikace nutně musí být end-to-end, tedy z klienta až k backendovému serveru, nebo stačí, když bude šifrovaná jen část, která jde k frontendu.
    Naopak, HTTPS je vždy mezi klientem a serverem/proxy, kde je dané HTTPS spojení zakončeno. Tam se musí dešifrovat, ověřit certifikáty atd., a případně je možné odsud navázat další spojení (HTTP i HTTPS), kterým se přenese dešifrovaný obsah spojení. Nejsnazší je vždy si uvědomit, že HTTPS chrání proti útokům MITM -- takže uprostřed komunikace nemůže být nikdo, kdo by s komunikací nějak manipuloval nebo ji mohl číst.
    24.3.2012 12:19 alkoholik | skóre: 36 | blog: Alkoholik
    Rozbalit Rozbalit vše Re: Apache2 proxy SSL, Tomcat, SSL
    V soucasne chvili to sifruje mezi klientem a proxy. Jestli chcete sifrovat i mezi proxy a backendem, musite si nastavit SSLProxyEngine On a zmenit ProxyPass /app1 http://back.dom.cz:8080/app1 na ProxyPass /app1 https://back.dom.cz:8080/app1
    24.3.2012 12:22 alkoholik | skóre: 36 | blog: Alkoholik
    Rozbalit Rozbalit vše Re: Apache2 proxy SSL, Tomcat, SSL
    Samozrejme v tu chvili musite na backendu nahodit na portu 8080 SSL virtual a zmenu http -> https provest u vsech ctyr radku.
    29.3.2012 12:48 Nautil | skóre: 2 | Praha
    Rozbalit Rozbalit vše worker already used by another worker
    Díky za rady!

    Ještě bych měl jeden dotaz. Nastavil jsem proxy, aby HTTP (http://front.dom.cz) směrovala na http://back1.dom.cz/app1 a HTTPS (https://front.dom.cz) aby směrovala na http://back2.dom.cz/app1.

    Vytvořil jsem dva virtual hosty s touto konfigurací:
    front.dom.cz.conf
    NameVirtualHost 10.0.0.1:80
    <VirtualHost 10.0.0.1:80>
        ServerName 10.0.0.1
        ServerAdmin admin@dom.cz
        ProxyRequests Off
        ProxyPreserveHost On
        <Proxy *>
          Order deny,allow
          Allow from all
        </Proxy>
        ProxyPass               /app1   http://back1.dom.cz:8080/app1
        ProxyPassReverse        /app1   http://back1.dom.cz:8080/app1
        ProxyPass               /       http://back1.dom.cz:8080/app1
        ProxyPassReverse        /       http://back1.dom.cz:8080/app1
    
        DocumentRoot /srv/www/vhosts/front.dom.cz
        ErrorLog /var/log/apache2/front.dom.cz-error_log
        CustomLog /var/log/apache2/front.dom.cz-access_log combined
        #HostnameLookups Off
        #UseCanonicalName Off
        #ServerSignature On
        <Directory "/srv/www/vhosts/front.dom.cz">
            Options Indexes FollowSymLinks
            AllowOverride None
            Order allow,deny
            Allow from all
        </Directory>
    </VirtualHost>
    
    front.dom.cz_ssl.conf
    <IfDefine SSL>
    <IfDefine !NOSSL>
    <VirtualHost 10.0.0.1:443>
            ServerName 10.0.0.1:443
            ServerAdmin adminn@dom.cz
            ProxyRequests Off
            ProxyPreserveHost On
            <Proxy *>
              Order deny,allow
              Allow from all
            </Proxy>
            ProxyPass        /app1          http://back2.dom.cz:8080/app1
            ProxyPassReverse /app1          http://back2.dom.cz:8080/app1
            ProxyPass        /              http://back2.dom.cz:8080/app1
            ProxyPassReverse /              http://back2.dom.cz:8080/app1
    
            DocumentRoot "/srv/www/vhosts/front.dom.cz_ssl"
            ErrorLog /var/log/apache2/front.dom.cz_ssl-error_log
            TransferLog /var/log/apache2/front.dom.cz_ssl-access_log
            CustomLog /var/log/apache2/front.dom.cz_ssl-request_log ssl_combined
            <Directory "/srv/www/vhosts/front.dom.cz_ssl">
              Options Indexes
              AllowOverride None
              Allow from from all
              Order allow,deny
            </Directory>
    
            SSLEngine on
            SSLProtocol all -SSLv2
            SSLCipherSuite HIGH:MEDIUM
            SSLCertificateFile /etc/apache2/ssl.crt/ap2server.crt
            SSLCertificateKeyFile /etc/apache2/ssl.key/ap2server.key
            SSLCertificateChainFile /etc/apache2/ssl.crt/newca.crt
            SSLCACertificateFile /etc/apache2/ssl.crt/newca.crt
    </VirtualHost>
    
    </IfDefine>
    </IfDefine>
    
    Při startu Apache si mi webový server stěžuje
    ...
    Starting httpd2 (prefork) [Thu Mar 29 12:32:28 2012] [warn] worker http://back1.nkp.cz:8080/app1 already used by another worker
    [Thu Mar 29 12:32:28 2012] [warn] worker http://back2.nkp.cz:8080/app1 already used by another worker
    Apache/2.2.12 mod_ssl/2.2.12 (Pass Phrase Dialog)
    ...
    
    Na webu jsem našel, že se to stává, když je nějaká proxy direktiva zadaná vícekrát. Ale já tam nemám nic, co by se opakovalo... Nebo mám? Když v prvním konfiguráku zakomentuju řádky
        ProxyPass               /       http://back1.dom.cz:8080/app1
        ProxyPassReverse        /       http://back1.dom.cz:8080/app1
    
    tak si Apache už nestěžuje, ale pak zas nefunguje přesměrování http://front.dom.cz na http://back1.dom.cz/app1

    Nemám tušení, proč mu to vadí. Je to vlastnost Apache, nebo moje chyba? :-)
    29.3.2012 13:16 Filip Jirsák | skóre: 67 | blog: Fa & Bi
    Rozbalit Rozbalit vše Re: worker already used by another worker
    Myslím, že přebytečné jsou naopak řádky s /app1
        ProxyPass               /app1   http://back1.dom.cz:8080/app1
        ProxyPassReverse        /app1   http://back1.dom.cz:8080/app1
    

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.