Debian: SSL Zertifikat für Apache 1.3 erstellen und einbinde

[maggot-ats]

Hat jemand ne Ahnung, wie ich das hinbekomme oder nen Idiotensichers Tutorial ?

Oder gibts da evtl einfach nen Tool für (linux/Windows egal) ?
Ich meine natürlich für das erstellen, einbinden muss ich das dan eh selbst.

das entsprechende make file gibbet bei mir nicht:

make certificate TYPE=custom

[blackm]

Now I've got my server installed, how do I create a test certificate? musst da noch ein bischen runterscrollen

[maggot-ats]

Wow, das war schnell THX
hier gibbet das auch in Deutsch:
http://www.werthmoeller.de/Dokus/OpenSSL/

(habe gesündigt und diese Frage auch in einem anderen Forum gestellt)

[asb]

Hi,

ich habe in der /etc/apache/httpd.conf die folgende Direktive zu stehen:

Code: Alles auswählen

<IfModule mod_ssl.c>
    Listen 80
    Listen 443
</IfModule>

Dennoch ist der Apache weder nur über http, nicht jedoch über https erreichbar.

Das error.log sagt:

Code: Alles auswählen

deb:/var/log/apache# tail error.log
[...]
[Fri Oct 10 16:17:12 2003] [crit] (98)Address already in use: make_sock: could not bind to port 443

.

Wer oder was könnte das verursachen?

Wenn ich in der o.g. Direktive das "<IfModule mod_ssl.c>" auskommentiere, so dass dort nur noch steht:

Code: Alles auswählen

    Listen 80
    Listen 443

Dann passiert beim Starten folgendes:

Code: Alles auswählen

deb:/# apachectl start
Syntax error on line 1136 of /etc/apache/httpd.conf:
Invalid command 'SSLCertitificateFile', perhaps mis-spelled or defined by a module not included in the server configuration

Das Zertifikat existiert, die Direktive ist m.E. ebenfalls korrekt:

Code: Alles auswählen

deb:/# ls /etc/apache/ssl.crt/server.crt 
/etc/apache/ssl.crt/server.crt

...

<VirtualHost ***:443>
    SSLEngine on
#   <IfModule mod_ssl.c>
        SSLCertitificateFile /etc/apache/ssl.crt/server.crt
        SSLCertificateKeyFile /etc/apache/ssl.key/server.key
        DocumentRoot /var/www
#   </IfModule> 
</VirtualHost>

Dabei ist wieder vom Ergebnis her egal, ob ich <IfModule mod_ssl.c> auskommentiere oder nicht.

Ausserdem sollte es nach dem Buch "Apache Webserver" von Lars Eilebracht et al. möglich sein, den Apache zu starten mit deb:/# apachectl startssl (4. Aufl. S. 555); das funktioniert aber auch nicht, da das apachectl von Woody diesen Parameter anscheinen gar nicht kennt.

Any ideas?

Danke & Gruss,
-asb

[asb]

Noch eine Ergänzung:

Ein ähnlich unsinniges Ergebnis bekomme ich übrigens auch bei dem apache-ssl (natürlich nach apt-get remove apache und stoppen des alten httpd-Prozesses):

Code: Alles auswählen

deb:/# tail /var/log/apache-ssl/error.log
[...]
[Sat Oct 11 15:26:27 2003] [crit] (98)Address already in use: make_sock: could not bind to port 443

Aber was soll da auf Port 443 rumlungern? lsof -i -P | grep 443 sagt:

Code: Alles auswählen

apache 688 root 16u IPv4 2952 TCP *:443 (LISTEN)
apache 689 root 16u IPv4 2952 TCP *:443 (LISTEN)
apache 690 root 16u IPv4 2952 TCP *:443 (LISTEN)
apache 691 root 16u IPv4 2952 TCP *:443 (LISTEN)
apache 692 root 16u IPv4 2952 TCP *:443 (LISTEN)
apache 693 root 16u IPv4 2952 TCP *:443 (LISTEN)
apache 695 root 16u IPv4 2952 TCP *:443 (LISTEN)
apache 696 root 16u IPv4 2952 TCP *:443 (LISTEN)
apache 697 root 16u IPv4 2952 TCP *:443 (LISTEN)

MfG -asb

[blackm]

Die Konfiguration fuer Apache SSL solltest du in /etc/apache-ssl/httpd.conf machen.

[maggot-ats]

Ja, der kann natürlich nicht die commandos des SSl-Modules erkennen bzw. starten, wenn das ssl-modul nicht eingeschaltet wird.
Bei einem "normalen" Apache, welcher so (also mit ssl-mod) konfiguriert ist sollte dann auch mit dem Aufruf:
"apachectl startssl" bzw. im Startupscript (init.d) mit "-DSSL" gestartet werden..... hst du das getan ?

Ausserdem musst du die Dateiendungen für das Zertifikat noch festlegen und einem Interpreter zuweisen einfach diesen Eintrag über den Virtuellen Hosts machen:

Code: Alles auswählen

AddType application/x-x509-ca-cert .crt
AddType application/x-pkcs7-crl    .crl
SSLPassPhraseDialog  builtin
SSLSessionCache         dbm:/Pfad (wo auch immer)/ssl_scache
SSLSessionCacheTimeout  300
SSLMutex  file:/:/Pfad (wo auch immer)ssl_mutex
SSLRandomSeed startup builtin
SSLRandomSeed connect builtin
SSLLog     /Pfad (wo auch immer)/ssl_engine_log
SSLLogLevel info

Dann muss der ganze Kram noch vom Virtuellen Host abgegriffen werden:

Code: Alles auswählen

<VirtualHost IP:PORT>
  SSLOptions +FakeBasicAuth +ExportCertData +CompatEnvVars
  SSLEngine On
  SSLVerifyClient 0
  SSLVerifyDepth 10
  SSLProtocol +SSLv3 +SSLv2 +TLSv1
  SSLCertificateKeyFile /Pfad (wo auch immer)/key.key
  SSLCertificateFile /:/Pfad (wo auch immer)/key.crt
  SSLCACertificateFile /Pfad (wo auch immer)/key.crt
   DocumentRoot /Pfad (wo auch immer)/
  Options +ExecCGI

....so jedenfalls klappt da bei mir wunderbar....
SSLSessionCache, SSLMutex, Logs usw. kannst du natürlich auch weglassen, die sind nur um das Ganze zu beschleunigen und abzurunden.....

[asb]

> Die Konfiguration fuer Apache SSL solltest du in /etc/apache-ssl/httpd.conf machen.

Das Debian-Paket "apache-ssl" konfiguriere ich natürlich in /etc/apache-ssl/, das Debian-Paket "apache" konfiguriere ich in /etc/apache/, das ist mir schon klar.

Oder meintest Du, dass ein normaler Apache mit mod_ssl ebenfalls in /etc/apache-ssl/ konfiguriert wird? Dann hätte ich natürlich Mist gebaut. Hm, wie finde ich eigentlich heraus, welche Konfigurationsdatei ein laufender Apache verwendet? Grübel...

MfG, -asb

[asb]

> Bei einem "normalen" Apache, welcher so (also mit ssl-mod) konfiguriert ist sollte
> dann auch mit dem Aufruf: "apachectl startssl" bzw. im Startupscript (init.d)
> mit "-DSSL" gestartet werden..... hst du das getan ?

Wie gesagt, das apachectl von dem Debian-Woody-Paket "apache" mit mod_ssl (Debian-Woody-Paket "libapache-mod-ssl") bietet mir diesen Parameter nicht:

Code: Alles auswählen

deb:~# apachectl 
usage: /usr/sbin/apachectl (start|stop|restart|fullstatus|status|graceful|configtest|help)

start      - start httpd
stop       - stop httpd
restart    - restart httpd if running by sending a SIGHUP or start if 
             not running
fullstatus - dump a full status screen; requires lynx and mod_status enabled
status     - dump a short status screen; requires lynx and mod_status enabled
graceful   - do a graceful restart by sending a SIGUSR1 or start if not running
configtest - do a configuration syntax test
help       - this screen

Die httpd.conf sieht bei mir wirklich etwas schlanker aus:

Code: Alles auswählen

deb:~# cat /etc/apache/httpd.conf | grep ssl
LoadModule ssl_module /usr/lib/apache/1.3/mod_ssl.so
SSLSessionCache         dbm:/var/run/ssl_scache
SSLMutex  file:/var/run/ssl_mutex

Die restlichen vorkonfigurierten EInträge habe ich entfernen müssen, weil der httpd sonst gar nicht mehr hochkommt:

Code: Alles auswählen

deb:~# apachectl start
Syntax error on line 1136 of /etc/apache/httpd.conf:
Invalid command 'SSLCertitificateFile', perhaps mis-spelled or defined by a module not included in the server configuration
/usr/sbin/apachectl start: httpd could not be started

Moment mal... Argll... "SSLCertitificateFile" kann wirklich nicht funktionieren, *steu* *Asche* *aufs* Haupt*...

OK, jetzt geht's natürlich, Danke!

Ich hätte wohl doch einmal mehr apachectl configtest aufrufen sollen ;-)

Gruss, -asb

[zimon]

ich hab genau deine config, wie oben, übernommen. Krieg allerdings jedesmal diesen Error-Log von mod_ssl:

Code: Alles auswählen

[14/Dec/2003 18:39:25 00723] [info]  Connection to child 3 established (server mail.test.de:443, client 194.230.213.2)
[14/Dec/2003 18:39:25 00723] [info]  Seeding PRNG with 23177 bytes of entropy
[14/Dec/2003 18:39:25 00723] [info]  Connection: Client IP: 194.230.213.2, Protocol: SSLv3, Cipher: RC4-MD5 (128/128 bits)
[14/Dec/2003 18:39:25 00723] [info]  Connection to child 3 closed with standard shutdown (server mail.test.de:443, client 194.2
30.x.x)

Verbindung per ssl kann ich keine aufbauen - der Browser schreibt error.

Mein Vhost sieht wie folgt aus:

Code: Alles auswählen

<VirtualHost 230.50.x.x:443>
<IfModule mod_ssl.c>
SSLOptions +FakeBasicAuth +ExportCertData +CompatEnvVars
SSLEngine On
SSLVerifyClient 0
SSLVerifyDepth 10
SSLProtocol +SSLv3 +SSLv2 +TLSv1
SSLCertificateKeyFile /etc/apache/ssl.key/server.key
SSLCertificateFile /etc/apache/ssl.crt/server.crt
SSLCACertificateFile /etc/apache/ssl.crt/server.crt
</IfModule>
 DocumentRoot /www/mail
 ServerName mail.test.de
</VirtualHost>

Error.log sagt gar nichts dazu und beim apachctl configtest sagt auch alles ok.

Wieso krieg ich denn keine Verbinung aufgebaut?

Danke, Simon

[maggot-ats]

was für einen Fehler spuckt denn der Browser aus ?

[zimon]

IE meint:

Code: Alles auswählen

Die Seite kann nicht angezeigt werden. 
Die gewünschte Seite ist zurzeit nicht verfügbar. Möglicherweise sind technische Schwierigkeiten aufgetreten oder Sie sollten die Browsereinstellungen überprüfen. 

Port 443 ist allerdings geöffnet und kann angesprochen werden.

bei
http://mail.test.de:443
generiert Apache die Seite

Code: Alles auswählen

Bad Request
Your browser sent a request that this server could not understand.
Reason: You're speaking plain HTTP to an SSL-enabled server port.
Instead use the HTTPS scheme to access this URL, please.

Hint: https://mail.test.de:443/

was darauf hinweist, dass eigentlich alles ok ist, beim click auf den https - Link kommt dann wieder das alt bekannt - Seite kann nicht angezeigt werden...

[zimon]

Bitte, einer soll mir doch eine httpd.conf mit mod_ssl und vhost posten.

Ich bin am verzweifeln - kriegs einfach nicht hin - hab die httpd.conf schon 1000mal editiert, hab alles gemacht wie im Script von den Debian Docs, geht nicht - krieg keine Verbindung hin.

Wäre sehr dankbar!

Gruss
Simon

[maggot-ats]

Hast Du ein Zertifikat erstellt ? Bzw. wird das abgefragt von Deinem Browser ?
Wenn nicht: http://faq.puretec.de/server/root_server/howto/9.html
Beachten solltest Du auch, wie oben beschrieben den Apache richtig zu starten !

aber hier mal ne Httpd.conf aus der Praxis:

Code: Alles auswählen

##
## httpd.conf -- Apache HTTP server configuration file
##
### Section 1: Global Environment

ServerType standalone
ServerRoot "/usr/local/apache_27"
PidFile /var/run/httpd.pid
ScoreBoardFile /usr/local/apache_27/logs/httpd.scoreboard
Timeout 300
KeepAlive On
MaxKeepAliveRequests 100
KeepAliveTimeout 15
MinSpareServers 20
MaxSpareServers 40
StartServers 25
MaxClients 100
MaxRequestsPerChild 50

#
# Dynamic Shared Object (DSO) Support
#
LoadModule ssl_module         libexec/libssl.so


ExtendedStatus On


### Section 2: 'Main' server configuration

Port 80
Listen 80
Listen 443
User nobody
Group nogroup
ServerAdmin xxxxxxxxxxxxx
DocumentRoot "/usr/virtualweb/default"

<Directory />
    Options FollowSymLinks
    AllowOverride None
</Directory>
<Directory "/usr/virtualweb">
  Options -Indexes FollowSymLinks MultiViews Includes
  AllowOverride All
  Order allow,deny
  Allow from all
</Directory>

<IfModule mod_dir.c>
 DirectoryIndex index.html index.htm index.shtml index.cgi index.php index.php4 index.php3
</IfModule>

AccessFileName .htaccess
<Files ~ "^\.ht">
    Order allow,deny
    Deny from all
    Satisfy All
</Files>

UseCanonicalName On
<IfModule mod_mime.c>
    TypesConfig /usr/local/apache_27/conf/mime.types
</IfModule>
DefaultType text/plain
<IfModule mod_mime_magic.c>
    MIMEMagicFile /usr/local/apache_27/conf/magic
</IfModule>
HostnameLookups Off

ErrorLog /usr/local/apache_27/logs/error_log
LogLevel warn

LogFormat "%v %h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\"" combined
CustomLog /usr/local/apache_27/logs/access_log combined
CustomLog "|/usr/local/ezad/bin/serverwatch/logwatcher" combined
ServerSignature On

<IfModule mod_alias.c>
    Alias /icons/ "/usr/local/apache_27/icons/"
    <Directory "/usr/local/apache_27/icons">
        Options Indexes MultiViews
        AllowOverride None
        Order allow,deny
        Allow from all
    </Directory>
</IfModule>

<IfModule mod_autoindex.c>
    IndexOptions FancyIndexing
    AddIconByEncoding (CMP,/icons/compressed.gif) x-compress x-gzip
    AddIconByType (TXT,/icons/text.gif) text/*
    AddIconByType (IMG,/icons/image2.gif) image/*
    AddIconByType (SND,/icons/sound2.gif) audio/*
    AddIconByType (VID,/icons/movie.gif) video/*
    AddIcon /icons/binary.gif .bin .exe
    AddIcon /icons/binhex.gif .hqx
    AddIcon /icons/tar.gif .tar
    AddIcon /icons/world2.gif .wrl .wrl.gz .vrml .vrm .iv
    AddIcon /icons/compressed.gif .Z .z .tgz .gz .zip
    AddIcon /icons/a.gif .ps .ai .eps
    AddIcon /icons/layout.gif .html .shtml .htm .pdf
    AddIcon /icons/text.gif .txt
    AddIcon /icons/c.gif .c
    AddIcon /icons/p.gif .pl .py
    AddIcon /icons/f.gif .for
    AddIcon /icons/dvi.gif .dvi
    AddIcon /icons/uuencoded.gif .uu
    AddIcon /icons/script.gif .conf .sh .shar .csh .ksh .tcl
    AddIcon /icons/tex.gif .tex
    AddIcon /icons/bomb.gif core
    AddIcon /icons/back.gif ..
    AddIcon /icons/hand.right.gif README
    AddIcon /icons/folder.gif ^^DIRECTORY^^
    AddIcon /icons/blank.gif ^^BLANKICON^^
    DefaultIcon /icons/unknown.gif
    ReadmeName README
    HeaderName HEADER
    IndexIgnore .??* *~ *# HEADER* README* RCS CVS *,v *,t
</IfModule>

<IfModule mod_mime.c>
    AddEncoding x-compress Z
    AddEncoding x-gzip gz tgz
    AddLanguage da .dk
    AddLanguage nl .nl
    AddLanguage en .en
    AddLanguage et .ee
    AddLanguage fr .fr
    AddLanguage de .de
    AddLanguage el .el
    AddLanguage he .he
    AddCharset ISO-8859-8 .iso8859-8
    AddLanguage it .it
    AddLanguage ja .ja
    AddCharset ISO-2022-JP .jis
    AddLanguage kr .kr
    AddCharset ISO-2022-KR .iso-kr
    AddLanguage nn .nn
    AddLanguage no .no
    AddLanguage pl .po
    AddCharset ISO-8859-2 .iso-pl
    AddLanguage pt .pt
    AddLanguage pt-br .pt-br
    AddLanguage ltz .lu
    AddLanguage ca .ca
    AddLanguage es .es
    AddLanguage sv .sv
    AddLanguage cz .cz
    AddLanguage ru .ru
    AddLanguage zh-tw .tw
    AddLanguage tw .tw
    AddCharset Big5         .Big5    .big5
    AddCharset WINDOWS-1251 .cp-1251
    AddCharset CP866        .cp866
    AddCharset ISO-8859-5   .iso-ru
    AddCharset KOI8-R       .koi8-r
    AddCharset UCS-2        .ucs2
    AddCharset UCS-4        .ucs4
    AddCharset UTF-8        .utf8
    <IfModule mod_negotiation.c>
        LanguagePriority en da nl et fr de el it ja kr no pl pt pt-br ru ltz ca es sv tw
    </IfModule>
    AddType application/x-tar .tgz
    AddType image/x-icon .ico
    AddType text/html .shtml
    AddHandler server-parsed .shtml
    AddHandler cgi-script .cgi
</IfModule>

<IfModule mod_setenvif.c>
    BrowserMatch "Mozilla/2" nokeepalive
    BrowserMatch "MSIE 4\.0b2;" nokeepalive downgrade-1.0 force-response-1.0
    BrowserMatch "RealPlayer 4\.0" force-response-1.0
    BrowserMatch "Java/1\.0" force-response-1.0
    BrowserMatch "JDK/1\.0" force-response-1.0
</IfModule>

<Location /server-status>
    SetHandler server-status
    Order deny,allow
    Deny from all
    Allow from localhost
</Location>

#<Location /server-info>
#    SetHandler server-info
#    Order deny,allow
#    Deny from all
#    Allow from .your-domain.com
#</Location>


############## ssl ###########################################

AddType application/x-x509-ca-cert .crt
AddType application/x-pkcs7-crl    .crl
SSLPassPhraseDialog  builtin
SSLSessionCache         dbm:/usr/virtualweb/xxxxxxxxxxx/var/ssl/ssl_scache
SSLSessionCacheTimeout  300
SSLMutex  file:/usr/virtualweb/xxxxxxxxxxx/var/ssl//ssl_mutex
SSLRandomSeed startup builtin
SSLRandomSeed connect builtin
SSLLog     /usr/virtualweb/xxxxxxxxxxx/var/ssl/ssl_engine_log
SSLLogLevel info

################################################################






### Section 3: Virtual Hosts
#
NameVirtualHost xxxxxxxxxxx

<VirtualHost xxxxxxxxxxx>
DocumentRoot /usr/virtualweb/xxxxxxxxxxx/html
ScriptAlias /cgi-bin/ /usr/virtualweb/xxxxxxxxxxx/html/cgi-bin/
ScriptAlias /xphp412x/ /usr/xxxxxxxxxxx/lib/
ServerName xxxxxxxxxxx
ServerAlias xxxxxxxxxxx
ErrorLog /usr/virtualweb/xxxxxxxxxxx/var/error.log
User xxxxxxxxxxx
Group xxxxxxxxxxx
AddType application/x-httpd-php .php
AddType application/x-httpd-php .php3
AddType application/x-httpd-php .phtm
AddType application/x-httpd-php .php4
Action application/x-httpd-php /xphp412x/php
<Location />
Options +ExecCGI
</Location>
</VirtualHost>





######################## SSL-TEST##################################


<VirtualHost xxxxxxxxxxx:443>
SSLOptions +FakeBasicAuth +ExportCertData +CompatEnvVars
  SSLEngine On
  SSLVerifyClient 0
  SSLVerifyDepth 10
  SSLProtocol +SSLv3 +SSLv2 +TLSv1
  SSLCertificateKeyFile /usr/virtualweb/xxxxxxxxxxx/var/ssl/cert/new.cert.key
  SSLCertificateFile /usr/virtualweb/xxxxxxxxxxx/var/ssl/cert/new.cert.crt
  SSLCACertificateFile /usr/virtualweb/xxxxxxxxxxx/var/ssl/cert/new.cert.crt 
DocumentRoot /usr/virtualweb/xxxxxxxxxxx/html
ScriptAlias /cgi-bin/ /usr/virtualweb/xxxxxxxxxxx/html/cgi-bin/
ScriptAlias /xphp412x/ /usr/xxxxxxxxxxx/lib/
ServerName xxxxxxxxxxx
ServerAlias xxxxxxxxxxx
ErrorLog /usr/virtualweb/xxxxxxxxxxx/var/error.log
User xxxxxxxxxxx
Group xxxxxxxxxxx
AddType application/x-httpd-php .php
AddType application/x-httpd-php .php4
AddType application/x-httpd-php .php3
Action application/x-httpd-php /xphp412x/php
<Location />
Options +ExecCGI
</Location>
</VirtualHost>


###################################################################

Habe Firmeninterna ausge xxxxxxxxxxx !
Hatte auch so meine Probleme das damals an den Start zu bringen; hatte immer vergessen den Port mit anzugeben bei : <VirtualHost xxxxxxxxxxx:443>
Evtl. ist das ja auch Dein Problem.......
Du solltest auch beachten, das hier die Pfade komplett von einer Standartinstallation abweichen aber als gutes Beispiel sollte es reichen.

Viel Glück !
[/code]