Dotaz: Apache2 conflict SSL

[Jaros]

Dobrej. Nevite nekdo, proc mi Apache2 vypisuje tyhle chyby?

 

[warn] Init: SSL server IP/port conflict: webdav.mojedomena.cz:443 (/etc/apache2/sites-enabled/webdav.mojedomena.cz:3) vs. webmail.mojedomena.cz:443 (/etc/apache2/sites-enabled/webmail.mojedomena.cz:27)
[warn] Init: SSL server IP/port conflict: fax.mojedomena.cz:443 (/etc/apache2/sites-enabled/fax.mojedomena.cz:3) vs. webmail.mojedomena.cz:443 (/etc/apache2/sites-enabled/webmail.mojedomena.cz:27)
[warn] Init: SSL server IP/port conflict: drupal.mojedomena.cz:443 (/etc/apache2/sites-enabled/001drupal.mojedomena.cz_redirect:3) vs. webmail.mojedomena.cz:443 (/etc/apache2/sites-enabled/webmail.mojedomena.cz:27)
[Mon Feb 16 23:13:59 2009] [warn] Init: You should not use name-based virtual hosts in conjunction with SSL!!

 

------>>>> certifikaty mam vytvorene pro *.mojedomena.cz

Odpovědi

[Jendа]

Nelíbí se mu, že máš dva SSL VirtualHosty na stejné IP. Asi mu to nepříjde bezpečné. Paranoia...

Když si dáš do Googlu "You should not use name-based virtual hosts in conjunction with SSL!!", tak hned první odkaz navrhuje řešení.

[petr_p]

Navrhované řešení není nejlepší a taktéž staví na zastaralém předpokladu, že každý virtuální TLS server musí mít vlastní IP adresu.

V podstatě existují dvě řešení:

• Předpokládejme, že klient i server umí TLS. Pro každý virtuální server si vytvoříte vlastní certifikát na jeho jméno v commonName a když se připojí klient, tak při vyjednávání TLS pošle ve zprávě HELO jméno požadovaného serveru, podle ní server vybere certifikát a ten vrátí klientovi.

• Předpokládejme, že klient podporuje RFC 2818. Pak si vyrobíte certifikát, který v commonName bude mít „Toto je Frantův server“ a v rozšíření subjectAltName vyjmenujete všechna doménová jména v záznamech typu dNSName. Klient je pak povinnen nezajímat se commonName (to slouží pro lidi) a musí prozkoumat všechny dNSName záznamy.

[Filip Jirsák]

Předpokládejme, že klient i server umí TLS.

Např. MSIE 6, který má stále asi 20% podíl, neumí.

[Jaros]

Ano, presne tuhle hlasku jsem hledal a nasel jsem vzdy odpoved, ze toto Apache2 pise v pripade, ze mam pro jednu IP vice certifikatu pro ruzne virtualhosty. Reseni vsude bylo takove, udelat certifikat s CN  *.mojedomena.cz (coz jsem mel a mam) a problem se s tim vyresi... bohuzel si Apache2 i presto stezuje..

[Filip Jirsák]

mam pro jednu IP vice certifikatu pro ruzne virtualhosty

To "pro jednu IP adresu" vynechte, problém je v tom, že používáte SSL certifikáty pro name-based virtual hosty. Alespoň to je napsané v té hlášce. Jestli Apache podporuje hvězdičkové certifikáty nebo vícenásobné subjekty, musíte jej nakonfigurovat s touto podporou.

[Jaros]

A kde nastavim, aby Apache2 podporoval hvezdickove certifikaty. Z pozice klienta mam pocit, ze je podporuje, protoze prohlizec nekrici, ze server je jineho jmena nez certifikat...

[Filip Jirsák]

Nevím, zda to Apache vůbec umí (bez toho varování), zběžným prolétnutím dokumentace jsem dospěl k tomu že spíš ne. Ale třeba je na to nějaký nový modul nebo nějaká volba, asi by to chtělo pročíst tu dokumentaci podrobněji.

[cronin]

AFAIK, v Apaci netreba nastavovat nic specialne pre wildcartove certifikaty, treba ich nastavit ako kazdy iny certifikat. Zvycajne az klient je ten, kto moze a nemusi mat problem s takymto certifikatom. Rozne klienty - rozne spravanie. Pokial je to co len trochu mozne, odporucam sa wildcartovym certifikatom oblukom vyhnut.

[Jaros]

Wildcart je ten "hvezdickovy" jestli to dobre chapu.. Zatim jsem se nesetkal s tim, ze by s tim mel nejaky klient problem.. Ale nechapu, proc s tim ma problem Apache2 (alespon podle toho logu)...

[Filip Jirsák]

Apache nemá problém s hvězdičkovým certifikátem, ale s tím, že je certifikát přiřazen virtual hostu založeném na jméně (místo IP adresy). Klasicky v HTTPS můžete mít jen jeden certifikát na IP adresu a certifikát je na jedno jméno -- a za takové kombinace samozřejmě nemůže přiřazení certifikátů name-based virtual hostům fungovat. Že takhle striktní pravidla už dávno neplatí, existují hvězdičkové certifikáty nebo certifikáty vystavené pro více jmen, zřejmě příslušný modul Apache (tedy alespoň jeho varování) nepostřehl.

[Jaros]

Ja mam Virtualhosty zalozene na IP adrese, respektive od nove verze Apache2 (v Lenny) je to promenna, ktera odkazuje na IP adresu zapsanou v /etc/apache2/envvars ..

[cronin]

IMHO hlavny problem je, ze nie je mozne pouzit name-based virtual hosting pre HTTPS, ako bolo naznacene vyssie a vysvetlene nizsie. Puntickari mozu zacat vymenovavat podmienky, za ktorych to mozne je, ale vzdy sa jedna o krehke riesenie ktore skor ci neskor niekde narazi.

[Jaros]

No a jsme zase u toho, k čemu jsou tedy ty "hvezdickove" certifikaty, ktere se bezne pouzivaji?

[Filip Jirsák]

Ten certifikát by se ale neměl v konfiguraci vázat k name-based virtual hostu, ale k IP adrese. Jenže Apache používá takovou strukturu konfigurace, kde tohle nejde vyjádřit.

[cronin]

To je predsa jednoduche:

1) Mam wildcart certifikat pre *.example.com.

2) Mam 1ks zeleza, na ktorom mam nakonfigurovne adresy 192.168.1.1 a 192.168.1.2.

3) V DNS mam dva zaznamy: 192.168.1.1 - svn.example.com a 192.168.1.2 - bugzilla.example.com.

4) V Apaci mam nakonfigurovane dva ip-based virtual hosty, jeden pre 192.168.1.1 a druhy pre 192.168.1.2. Oba pouzivaju ten isty certifikat z bodu 1).

[Jaros]

To chapu. Ja mam jeden kus zeleza, jednu IP a virtualhosty s tou jednou IP. Apache2 by mel byt podle me spokojeny, ale neni .... no nechame to, kdybych si nevsiml te chyby, tak mam pocit, ze vse funguje tak jak ma..

[cronin]

Ja mam ... jednu IP a virtualhosty s tou jednou IP.

A to je problem. Nemozes mat virtualhosty s jednou IP -- t.j. name-based -- a zaroven pouzivat SSL. Pri prijati requestu je potrebne na zaklade niecoho rozhodnut, ktory z virtual hostov ma request obsluzit. Pri name-based sa rozhoduje na zaklade polozky protokolu HTTP/1.1 Host: v hlavicke requestu. Tato je ale v momente prijatia requestu cez SSL spojenie sifrovana, t.j. necitatelna. Na rozsifrovanie treba najskor urcit, ktory z virtualhostov ju ma rozsifrovat. Preto sa o pouzitom virtualhoste rozhoduje na zaklade niecoho ineho, co je mimo sifrovanych udajov. V tomto pripade na zaklade IP adresy, na ktoru request dorazil. Preto je pre SSL potrebne pouzitie IP-based virtualhostingu.

[petr_p]

Nemozes mat virtualhosty s jednou IP -- t.j. name-based -- a zaroven pouzivat SSL.

Ale můžeš.

[cronin]

Ale ano, puntickarov som uz spominal. Vtip je v tom, ze to riesenie ma tak vela roznych "ale", ze ho nie je mozne povazovat za riesenie.

[frEon]

Neni to zadna paranoia, jde o to, ze se to tak uplne nejde delat. Predstav si situaci, mas 2 ruzne name vhosty, pro kazdy mas jiny certifikat. Na server prijde ssl sifrovany dotaz a apache pak nema podle ceho poznat, do kteryho z vhostu ma dotaz padnout kdyz je dotaz sifrovan a tim padem kterym certifikatem to rozsifrovat. Je to takova situace "slepice nebo vejce". Pokud mas pro vsechno jeden certifikat, tak muzes hlasku ignorovat.