Apache VirtualHost mit Mod-Proxy und SSL

Ich versuche, einen Server mit mehreren Webanwendungen einzurichten, die alle über Apache VirtualHost (Apache wird auf demselben Server ausgeführt) bereitgestellt werden. Meine Hauptbeschränkung ist, dass jede Webanwendung SSL-Verschlüsselung verwenden muss. Nachdem ich eine Weile gegoogelt und andere Fragen zum Stackoverflow untersucht hatte, schrieb ich die folgende Konfiguration für den VirtualHost:

<VirtualHost 1.2.3.4:443>
    ServerName host.example.org

    <Proxy *>
        Order deny,allow
        Allow from all
    </Proxy>

    SSLProxyEngine On
    ProxyRequests Off
    ProxyPreserveHost On
    ProxyPass / https://localhost:8443/
    ProxyPassReverse / https://localhost:8443/
</VirtualHost>

Auf https://host.example.org:8443 kann zwar zugegriffen werden, nicht jedoch auf https://host.example.org , was den Zweck meiner virtuellen Hostkonfiguration beeinträchtigt. Firefox beschwert sich, dass die Verbindung unterbrochen wurde, obwohl die Verbindung zum Server erfolgreich hergestellt wurde. Ich erhalte auch die folgende Warnung in Apaches error.log:

proxy: no HTTP 0.9 request (with no host line) on incoming request and preserve host set forcing hostname to be host.example.org for uri 

In der Webanwendung (einem Tomcat-Server) zeigt das Zugriffsprotokoll eine ungewöhnliche Zugriffsanforderung an:

"?O^A^C / HTTP/1.1" 302

Das Folgende ist die korrekte Zugriffsanfrage, die ich erhalte, wenn ich mich direkt mit https://host.example.org:8443 verbinde :

"GET / HTTP/1.1" 302

Abschließend sollte ich noch erwähnen, dass der virtuelle Host einwandfrei funktioniert, wenn ich kein SSL verwende.

Wie kann ich das schaffen?

Endlich habe ich einen Weg gefunden, es zum Laufen zu bringen. Zuerst habe ich den Vorschlag von Dave Cheney ausprobiert, also habe ich ein anderes Zertifikat für den Apache-Server installiert, der auf den Tomcat-Nicht-SSL-Port umgeleitet wurde (der Proxy hat also auf http: // localhost: 8080 / umgeleitet ). Leider funktionierte es nicht vollständig, da im Webbrowser das https sofort nach dem Herstellen der Verbindung in http umgewandelt wurde. Also habe ich wieder https: // localhost: 8443 / verwendet und als letzten Schliff habe ich SSLProxyEngine hinzugefügt.

Hier ist die resultierende VirtualHost-Konfiguration:

<VirtualHost 1.2.3.4:443>
    ServerName host.domain.org

    <Proxy *>
        Order deny,allow
        Allow from all
    </Proxy>

    SSLEngine on
    SSLProxyEngine On
    SSLCertificateFile /etc/apache2/ssl/certificate.crt
    SSLCertificateKeyFile /etc/apache2/ssl/certificate.key

    ProxyRequests Off
    ProxyPreserveHost On
    ProxyPass / https://localhost:8443/
    ProxyPassReverse / https://localhost:8443/
</VirtualHost>

Probieren Sie diese Konfiguration

<VirtualHost 1.2.3.4:443>
    ServerName host.domain.org

    SSLEngine On
    # include other ssl options, like cert and key here

    ProxyRequests Off
    ProxyPreserveHost On

    <Location />
        ProxyPass http://localhost:8443/
    </Location>
</VirtualHost>

Wenn Ihre Anwendung über die Proxy-Verbindung auf die SSL-Informationen zugreifen muss, sollten Sie die Verwendung von mod_proxy_ajp und des Tomcat-Connectors ajp1.3 in Betracht ziehen.

Wenn Sie jedoch mehrere SSL-fähige Webanwendungen auf demselben Server ausführen möchten. Wenn Sie Apache in Front hinzufügen, werden sie mit der obigen Konfiguration nicht ausgeglichen. Sie benötigen weiterhin einen Load Balancer.

ProxyRequests Off

<Proxy balancer://someapplication>
    BalancerMember http://127.0.0.1:18443 keepalive=on max=2 retry=30
    BalancerMember http://127.0.0.1:18444 keepalive=on max=2 retry=30
    BalancerMember http://127.0.0.1:18445 keepalive=on max=2 retry=30
</Proxy>


<VirtualHost 1.2.3.4:443>
    SSLEngine on
    SSLCipherSuite SSLv2:-LOW:-EXPORT:RC4+RSA
    SSLCertificateFile /path/to/cert.pem
    SSLCertificateKeyFile //path/to/key.pem
    SSLVerifyClient optional

    RequestHeader set X-Client-DN %{SSL_CLIENT_S_DN}e
    RequestHeader set X-Client-Verify %{SSL_CLIENT_VERIFY}e

<Location />
    SetHandler balancer-manager
    Order allow,deny
    Allow from all
</Location>

ProxyPass / balancer://someapplication:443/
ProxyPassReverse / balancer://someapplication:443/
ProxyPreserveHost on

Was ich hier nicht verstehe, ist, warum Sie eine SSL-Verbindung von Ihrem Apache zu Ihrer Anwendung benötigen, die sich anscheinend auf demselben Computer befindet ( http: // localhost: 8443 / ).

Ich vermute, die übliche Art, solche Dinge einzurichten, besteht darin, dass Apache dem "Kunden" eine SSL-Verschlüsselung zur Verfügung stellt, z. B. das Internet, und eine unverschlüsselte Verbindung zur Anwendung hat. Dies gibt Ihnen auch mehr Freiheit beim Debuggen Ihrer Anwendungsantworten.

Die andere Sache, die Dave Cheney erwähnte, ist die Verwendung des nativen Tomcat-Connectors, um einen Lastenausgleich und andere Funktionen zu erhalten.

Müssen Sie wirklich einen Proxy für einen HTTPS-Dienst einrichten? Möglicherweise möchten Sie dem Nicht-SSL-Dienst in localhost einen Proxy zuweisen, z

ProxyPass / http://localhost:8080/
ProxyPassReverse / http://localhost:8080/

Zuerst würde ich schauen, ob Sie eine Anfrage von localhost an localhost machen können: 8443 und sehen, ob das erfolgreich ist (IE tun ein GET oder wget http: // localhost: 8443 )

Ich bin mir nicht ganz sicher, warum Ihr virtueller Host Port 443 abhört und ihn dann an einen anderen SSL-Host weiterleitet

warum kann man die anwendung nicht einfach 443 nativ nutzen? Wenn Sie es nicht ändern können, können Sie einfach iptables verwenden, um den Port umzuleiten

Überprüfen Sie Ihr SSL-Fehlerprotokoll und stellen Sie sicher, dass Sie keine Fehler haben, weil Sie die CA-Zertifikatkette nicht überprüfen können.