Dotaz: Virtuální SSL server v apache

[vasek125]

Jak udělám několik z virtuálních serverů SSL? Když zapnu SSlengine u prvního, aplikuje se na včechny, když ne, neaplikuje se vůbec, potřebuju prostě několik virtuálních SSL serverů s vlastními certifikáty.

můj prozatimní konfigurák bez ssl konfigurák:
co mám doplnit?

...

NameVirtualHost x.x.x.x

<VirtualHost x.x.x.x>
ServerAdmin postmaster@mojedomena.cz
DocumentRoot /srv/www/htdocs
ServerName www.mojedomena.cz
</VirtualHost>

<VirtualHost x.x.x.x>
ServerAdmin postmaster@mojedomena.cz
DocumentRoot /srv/www/htdocs/mail
DirectoryIndex index.html index.php
ServerName mail.mojedomena.cz
</VirtualHost> 

...

bez ssl to funguje ale to ssl tam potřebuju

Odpovědi

[Michal Kubeček]

Name based virtuální servery v případě SSL jsou de facto nerealizovatelné, protože informace podstatná pro rozlišení virtuálu (položka Host v hlavičce dotazu) by byla už v zašifrované části komunikace. Takže by bylo potřeba vybrat klíč pro komunikaci dřív, než by se server dozvěděl, který má vlastně použít. Někdy se to obchází společným certifikátem (a klíčem) pro všechna jména, ale moc vhodné řešení to není. Resumé: posaďte servery na různé IP adresy (nebo porty) a použijte IP-based virtuální servery.

[vasek125]

Já ale když u toho prvního zapnu SSL engine, u ostatních je to jenom ssl a když tam dám default jako ssl tak ostatní servery ssl- je u nich ignorováno nastavení DocumentRoot... prostě všechno

[Michal Kubeček]

Jak už jsem napsal: name based virtuální servery se SSL prostě neuděláte. Jde to pouze trikem, který ale není příliš vhodným řešením a nedá se použít vždy.

[vasek125]

A jak mám udělat jeden SSL virtuální server. Jednou se mi to povedlo, ale rád bych to udělal nějak korektně. Jak a kam mám umístit virtuální server? Stačí mi jen jeden, když jich víc nejde.

[TimeLord]

Na jedno IP je mozne dat len jeden SSL certifikat, cize ak ten server ma len jedno IP, tak bude mat ten isty SSL certifikat pre vsetky virtualy.

[vasek125]

A jak mám udělat jeden SSL virtuální server. Jednou se mi to povedlo, ale rád bych to udělal nějak korektně. Jak a kam mám umístit virtuální server? Stačí mi jen jeden, když jich víc nejde.

[petr_p]

Misto SSL pouzijte TLS. Podle RFC 3546 je mozne jeste pred prejitim do sifrovaneho modu sdelit serveru jeho domenove jemeno.

Otazka je, zda to Apache implementuje.

[petr_p]

Ted jsem nasel pomerne dobre rozebrany tento problem na cz.comp.linux (odkaz do jyxa).

[vasek125]

výborný odkaz, díky. celou dobu jsem v tom hledal složitosti a ono je to přitom tak jednoduché

[Michal Kubeček]

Zajímavé. Nevšiml jsem si, že by se tam psalo něco zásadně jiného, než co jsme vám odpovídali tady…

[vasek125]

Ale stejnak mě štvou ty certifikáty. Jak to dám na jiný port? např port 555

udělal jsem následující kroky:

NameVirtualHost *:555 par ten Virtualhost <... *:555> odblokoval port na firewallu

a stejně mi to nejede, kde je problém

nejelo to ani po přidání Listen *:555

[vasek125]

To ano, ale dozvěděl jsem se tam to co jsem si myslel o verzích apache a ještě tam jsou i příklady virtualserverů. Nějak podobně jsem to měl i já nakonfigurované ale zajímavé čtení.

[vasek125]

Ale stejnak mě štvou ty certifikáty. Jak to dám na jiný port? např port 555

udělal jsem následující kroky:

NameVirtualHost *:555 par ten Virtualhost <... *:555> odblokoval port na firewallu

a stejně mi to nejede, kde je problém

nejelo to ani po přidání Listen *:555

[vasek125]

už to běží

[vasek125]

ale i na těch portech se bere stejnej certifikát

[Sinuhet]

No tak sem pastnete, jak ste ty ssl virtual hosty nakofiguroval.

[vasek125]

NameVirtualHost *:80 NameVirtualHost *:443

a už se jede ... very easy

.. ale na ty certifikaty, ty by meli jit taky nejak udelat ale nevim jak

[vasek125]

problém zcela vyřešen přídáno
namevirtualhost x.x.x.x:555
do virtualhostu přidáno
servername *:555

a už to má vlastní certifikát

hurá

[Dracula]

Hm a jeste by me zajimalo jesli ten port 555 nebrani v pruchodu pres ruzny firewally, docela bych si typnul ze ne:(

[vasek125]

Na firewallu jsem port 555 samozřejmě povolil

[vasek125]

Na firewallu jsem port 555 samozřejmě povolil

[TimeLord]

Vy ano, ale ini sa tam nemusia dostat, ak ich firewally alebo proxy port 555 blokuju. 555 je pre HTTPS nestandartny port a tym padom defaultne nemusi byt (a pravdepodobne ani nebude) povoleny na roznych firemnych firewalloch a proxy servroch.

[vasek125]

Jiné firewally jsou většinou na 99% nastaveny tak, že z vnitřní sítě povolují porty všechny. Co by asi dělali s uživateli, kteří se dejme tomu musí připojit někam nějakým nestandartním protokolem, což je vcelku možné.

[Zdeněk Burda]

Co jsem si všim v podnikových sítích, tak je přístupný web na portu 80 případně 443 a to je konec. Velmi často není možné používat ani ftp.

Pokud ten zaměstnanec potřebuje přístup kvůli práci někam ven, tak se mu to povolí (často i na omezenou dobu).

[vasek125]

Dle mého názoru je takovéto "omezování svobody" zcela nesmyslné. Např. já každý den využívám haldu protokolů a portů 22,21,443,25,10550,10551,80,993 ......... a mohl bych pokračovat Ještě že jsem spávcem ve své vl. síti :) Ale i z jiných se bez problému připojím

[Dracula]

No taky bych chtel byt jednou spravcem, zatim sem jen programator;) Ve velkejch firmach je to vetsinou udelany tak ze http ok, https jen na portu 443 a zbytek zakazanej sice se to da vzdycky nak obejit ale https server na portu 555 je asi fakt nepristupnej:(

[vasek125]

To není tak špatný být programátor. To zase neumim já, já maximálně něco v Borland Delphi, turbo pascal, php a jen ňáký skripty. Správcovství není tak těžké. Co člověk neví, na to přijde a když nepřijde najde na internetu návod. :) Je mi 16 a docela to zvládám.