Dotaz: Apache 2 + OpenSSL

[Dalibor]

Zdravim,

snazim se rozchodit OpenSSL s Apache2 pres mod_ssl. Mam nastartovany apache, ten nasloucha na portu 443, vse nakonfigurovano tak, ze na jinem serveru to bezi vpoho, ale kdyz se snazim pripojit prohlizecem na tento server (https://www.example.com), tak mi to napise: "Spojení se serverem www.example.com bylo v průběhu načítání stránky ukončeno". V error logu se nic nenapise, v access logu pribude tohle:

xxx.xxx.xxx.xxx - - [24/Jul/2006:21:41:25 +0200] "\x80g\x01\x03" 200 14

kdyz zkousim telnetem (z jineho serveru) na port 443 na dany server a tam napsat nejake blbosti, tak to vypise:

# telnet xxx.xxx.xxx.xxx 443
Trying xxx.xxx.xxx.xxx...
Connected to xxx.xxx.xxx.xxx.
Escape character is '^]'.
dawwdawddawwdadawddawdawd
SSL OKConnection closed by foreign host.

kde "SSL OK" je vypis skriptu z jednoho virtual hostu, ktery je nakonfigorovany na volani na port 443.

Takze to znamena, ze castecne jede, ale nekde je stale chyba.

Netusite kde by mohla byt? Staci nakopnout..

Diky..

Odpovědi

[hafieror]

Toto je z mých poznámek, třeba tam najdete část kterou jste přeskočil. Jetště VirtualHost * ma byt mezi <>

Nainstalujeme balík podřebný pro podporu

apt-get install apache2-ssl

Zapneme modul ssl

a2enmod ssl

Vytvoříme certifikát

apache2-ssl-certificate

Uděláme kopii souboru /etc/apache2/sites-available/default a pojmenujeme ho ssl. Nyní tento soubor editujeme tak, že NameVirtualHost * VirtualHost *

přepíšeme na

NameVirtualHost *:443 VirtualHost *:443 a přidáme řádky pod ServerAdmin

SSLEngine On SSLCertificateFile /etc/apache2/ssl/apache.pem Nakonec přídáme do /etc/apache2/ports.conf řádek Listen 443 A vytvoříme symbolický odkaz

ln -s /etc/apache2/sites-available /etc/apache2/sites-enabled

Teď stačí restartovat apache2 a mělo by to jít.

[Dalibor]

Chtel jsem to napred zkusim pres mod_ssl, pokud to nepujde, tak ocenim Vas postup, diky..

[Jiří Poláček]

A certifikát to nabídne ke kontrole v prohlížeči? Je ten certifikát určen pro tento server? Je správně definován DocumentRoot?

[Dalibor]

Certifikat to nenabidne, hned to skonci tou hlaskou co jsem napsal. Certifikat jsem si vygeneroval sam (i podepsal), stejnym postupem mi to jinde funguje. A document root je nastaveny spravne..

[Ondra R.]

mod_ssl má svoje varianty logů error a access. Jako první bych si je zapl a podíval se co říkají.

tedy:
<VirtualHost _default_:443>
...
ErrorLog logs/ssl-error_log
TransferLog logs/ssl-access_log
SSLLog logs/ssl_engine_log
...

ten poslední řádek je nejduležitější

[miso]

Pokial je SSL OK vystup skriptu, tak to nie je ssl spojenie!
Obavam sa, ze bez ukazky konfiguraku Vam asi nikto nepomoze
BTW - distro?

[Dalibor]

Debian, tady je konfigurak:

SSLRandomSeed startup builtin
SSLRandomSeed connect builtin

<Ifdefine SSL>

Listen 443

AddType application/x-x509-ca-cert .crt
AddType application/x-pkcs7-crl    .crl

SSLPassPhraseDialog  builtin


SSLSessionCache         dbm:/usr/local/apache2/logs/ssl_scache
SSLSessionCacheTimeout  300

SSLMutex  file:/usr/local/apache2/logs/ssl_mutex


<VirtualHost _default_:443>

DocumentRoot "/var/www"
ServerName localhost
ServerAdmin you@example.com
ErrorLog /usr/local/apache2/logs/SSLerror_log
TransferLog /usr/local/apache2/logs/SSLaccess_log

SSLEngine on

SSLCipherSuite ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP:+eNULL

SSLCertificateFile /home/ssl/localhost.cert
SSLCertificateKeyFile /home/ssl/localhost.key.unsecure
<FilesMatch "\.(cgi|shtml|phtml|php3?)$">
    SSLOptions +StdEnvVars
</FilesMatch>
<Directory "/usr/local/apache2/cgi-bin">
    SSLOptions +StdEnvVars
</Directory>

SetEnvIf User-Agent ".*MSIE.*" \
         nokeepalive ssl-unclean-shutdown \
         downgrade-1.0 force-response-1.0

CustomLog /usr/local/apache2/logs/ssl_request_log \
          "%t %h %{SSL_PROTOCOL}x %{SSL_CIPHER}x \"%r\" %b"

</VirtualHost>                                  

</IfDefine>

Napada Vas neco? Cesty, ktere jsou tam uvedene jsem si preeditoval sam tak aby odpovidaly nastaveni serveru..

[Jiří Poláček]

Chybí mi tam deklarace přístupových práv pro DocumentRoot, tj. něco takového:

<Directory "/var/www">
    AllowOverride None
    Order allow,deny
    Allow from all
</Directory>

[Dalibor]

Tohle mam nadeklarovane primo v httpd.conf, ten konfigurak co jsem posilal je nacitan httpd.conf a obsahuje volby specialne pro SSL, a nacitan je, to jsem otestoval..

[miso]

Vyzera to dobre, az na to, ze cele je to v IfDefineSSL, teda:
bezi apache s -DSSL?
ps ax |grep apache

[Dalibor]

Apache bezi s -DSSL: vypis procesu:

/usr/local/apache2/bin/httpd -k start -DSSL

je otevreny i port 443, ale porad se to nemuze spojit, nevim kde mam hledat chybu.. Pri instalaci apache se nactou knihovny OpenSSL a pak uz nejsou treba, ne? Ty se nacetly spravne.. Apache zrejme vyuziva i mod_ssl, vsude ho pise, spravne ho detekuje.. Kde muze byt problem, v konfiguraci?

[miso]

Problem moze byt aj v zlej definicii virtual hostu.
Tento manual u mna zabral vzdy

[Sinuhet]

$ man s_client
$ man s_server

[Dalibor]

Tak jsem nakonec nainstaloval apache-ssl, restartoval server a uz to bezi, doufam, ze to bude fungovat

[Mirekh]

Zdravim

nainstaloval jsem na debian podle tohoto navodu podporu ssl, a bezi.

Jen me zajima, kdyz pomoci apache2-ssl-certificate vygegeruji certifikat, tak pak vidim, ze ma platnost pouze mesic. Da se to nejak prodlouzit ?