Misterhouse - Sicherheit

[JoergA]

Hallo Thoern,

ich habe Debian GNU/Linux 5.0.1 "Lenny" hilft Dir dies weiter??

Gruß,
Joerg

[makki]

Aber dann brauchst Du doch den armen Mr. House nicht durch einen löchrigen Windows-Server kasteien

apt-get install apache2

und ein paar Zeilen config (nutze selber OpenVPN bzw. Cisco)
Aber da ist bestimmt jemand so Nett die paar Zeilen für einen Reverse-Proxy mit https im Apache mit Authentisierung zu posten..
Ich würde es auch niemals direkt "durchschalten": VPN oder Reverse-Proxy

..und da kommt die Erinnerung wieder, wir hatten das schonmal hier

Makki

[JoergA]

Aber da ist bestimmt jemand so Nett die paar Zeilen für einen Reverse-Proxy mit https im Apache mit Authentisierung zu posten..

Das wäre bei meinen Kenntnissen mit Linux nicht nur sehr hilfreich, sondern leider notwendig

Ich würde es auch niemals direkt "durchschalten": VPN oder Reverse-Proxy

100% Zustimmung und deshalb möchte ich dies ja auch ändern

..und da kommt die Erinnerung wieder, wir hatten das schonmal hier

Prima, kaum sucht man(n) mit den richtigen Parametern
Aber ehrlich geagt: Auch dort werde ich nicht wirklich schlau, wie ich einen Reverse-Proxy konfiguriere. Die Installation werde ich heute abend mit dem o.g. Befehl mal testen/vornehmen.

Besten Gruß,
Joerg

[thoern]

Hallo Joerg,

ich selbst benutze Debian Lenny und kann eine entsprechende Config posten.

Hier erst einmal ein grober Überblick über die Verfahrensweise:

1. Misterhouse so konfigurieren, dass dieser sich nicht mit den Ports des Apachen in die Quere kommt, z.B. Port 8080 für MH

2. Apache starten (erstmal ohne SSL-Konfig), er sollte jetz auf Port 80 horchen. Beim Aufruf von http://rechnername solltest du die Apache Standardseite sehen

3. Konfiguration für den ReverseProxy erstellen, ggf. in einer eigenen vHost-Config

4. Testen des Zugriffs auf Misterhouse über den RP

5. Benutzerauthentifizierung im Apache einrichten

6. Auf SSL (https) umstellen

Gruß,
thoern

[JoergA]

So,

Apache installiert und beim Aufruf über http://Meine_IP:80 kommt schon => IT works! Was wohl der apache ist?!

MH lief bereits über Port 8080

Nun kommt der Part mit der Konfig

Besten Gruß,
Joerg

Da ich derzeit noch den https Port für den Zugriff auf meinen Server mit Remotely Anywhere nutze, kann ich diesen doch prinzipiell auch umbiegen und über den Apachen jagen, oder??

[Martin J.]

Hallo,

ich hab mal ein kleines HowTo erstellt, dass ich auch Rak geschickt hatte, ich kann es Dir heute Abend von zu Hause schicken, wird aber spät, vielleicht ist Rak ja auch schneller.

LG

Martin

[thoweiss]

Packt ihr das howto bitte auch in das wiki?

dann hätte jeder was davon..

Es gibt ja auch ein Howto in der misterhouse Wiki allerdings sehr kanpp beschrieben - ich verstehe das nicht so ganz.


gruß,
Thorsten

[Martin J.]

Hier ist mein HowTo, wer möchte kann es in das Wiki stellen:

Howto zur Installation und Konfiguration eines sicheren Apache2 Reverse Proxy unter Debian
Das hat den Vorteil, das man auch Dienste wie den nicht sicheren Datenverkehr zu Misterhouse absichern kann.

Falls noch kein Apache2 installiert ist folgendes durchführen

$ aptitude update
$ aptitude install apache2

Ausserdem benötigt man

-aptitude install libapache2-mod-proxy-html

und

$ aptitude install openssl

Folgende Apache2 mods müssen ausserdem altiviert werden mit

$ a2enmod proxy
$ a2enmod proxy_http
$ a2enmod ssl
$ a2enmod header
$ /etc/init.d/apache2 force-reload


Nun brauch man noch ein Zertifikat das man sich folgendermassen erstellt.
Am besten man legt sich unter /etc/apache2/ ein ssl Verzeichniss an und dann

$ cd /etc/apache2/ssl
$ openssl req -new -x509 -nodes -out yourdomain.de.crt -keyout yourdomain.de.key

Hier werden dann ein paar Abragen erscheinen:

Country Name (2 letter code) [DE]:
State or Province Name (full name) [NRW]:
Locality Name (eg, city) [Bonn]:
Organization Name (eg, company) []:
Organizational Unit Name (eg, section) []:
Common Name (eg, YOUR name) []:yourdomain.de
Email Address []:

Die Angaben sollte man selber wissen, wichtig ist das unter Common Name das hinkommt was später in der Adresszeile steht wenn Ihr eure Seite aufruft

Normalerweise muss man dieses Zertifikat jetzt verifizieren, damit der Browser es ohne mekkern oder überhaupt anerkennt. 
Hier bin ich z.Zt. dabei den kostenlosen Aussteller www.startssl.com zu testen... . Also noch ein wenig warten.
Allerdings kann man trotzdem weiter machen man muss dieses nicht offiziele Zertifikat im Browser bestätigen.

So jetzt braucht man noch eine Siteconfig die legt man unter

$ cd /etc/apache2/sites-available/

mit dem Namen z.B. mysite an

und sollte dann ungefähr so aussehen

Listen *:443
<VirtualHost *:443>

    #Reverse Proxy
    ProxyRequests off
    ProxyPass /mh/ http://192.168.25.120:8080/
    ProxyHTMLURLMap http://192.168.25.120:8080/ /mh

    # SSL
      SSLEngine On
      SSLCipherSuite HIGH:MEDIUM
      SSLCertificateFile    /etc/apache2/ssl/yourdomain.de.crt
      SSLCertificateKeyFile /etc/apache2/ssl/yourdomain.de.key


    <Location /mh/>
        AuthType Basic
        AuthName "Geschuetzter Bereich"
        AuthUserFile /etc/apache2/htpasswd
        Require valid-user
        Options Indexes FollowSymLinks MultiViews

        Order allow,deny
        allow from all
        ProxyPassReverse /
        SetOutputFilter  proxy-html
        ProxyHTMLURLMap  /      /mh/
        ProxyHTMLURLMap  /mh  /mh
        RequestHeader    unset  Accept-Encoding
</Location>


</VirtualHost> 

die Seite aktivieren

$ a2ensite mysite 


Jetzt muss man sich noch ein Passwort erstellen das geht mit

$ htpasswd -c /etc/apache2/htpasswd Username

will man eines hinzufügen muss man statt dessen

$ htpasswd -D /etc/apache2/htpasswd Username 

nutzen sonst ist das vorher erstellte weg

dann apache2 neu laden mit

$ /etc/init.d/apache2 reload

Jetzt sollte man im Browser das so aufrufen können

https://192.168.25.104/mh/iphone/

Noch ein paar Urls die mir geholfen haben:

http://www.jfranken.de/homepages/johannes/vortraege/apache_inhalt.de.html
http://www.apachetutor.org/admin/reverseproxies

Gruß

Martin

[RaK]

nach dem howto hab ich das auch gemacht. TNX!

Einen offenen Punkt habe ich noch. Ich möchte auf gleiche weise andere web services sicher von aussen nutzen (slimserver, vdr-admin, ...).

Wie muss ich das Konzept erweitern?

LG

[thoern]

Hallo,

bin gerade auf dem Sprung in die Berge. Könnte am Sonntag Abend / Montag eine Konfig posten, die über einen ReverseProxy mehrere Zielapplikationen anspricht.

Gruß,
thoern

[thoweiss]

Super sache das - dann habe ich ja jetzt was zu tun.

1. Mh aus SVN neu aufsetzen
2. IpHone Visu anpassen
3. Apache konfigurieren
4. Ergebnisse hier Posten (falls interesse besteht)


Gruß,
Thorsten.

[JoergA]

4. Ergebnisse hier Posten (falls interesse besteht)

Ich denke

Gruß,
Joerg

[JoergA]

Hallo,

bin gerade auf dem Sprung in die Berge. Könnte am Sonntag Abend / Montag eine Konfig posten, die über einen ReverseProxy mehrere Zielapplikationen anspricht.

Gruß,
thoern

Hi Thoern,

das wäre klasse, dann könnte ich ggfls. auch noch meinen Remotely Anywhere über den Apachen schicken.

Besten Gruß,
Joerg

[thoweiss]

mal ne andere frage:

Ich habe meinem Apache keinen Domainnamen verpasst, jetz meckert der immer was von "can't find a fully qalifiad domainame" oder so.

Was kann ich denn da für einen namen angeben?

Ich habe ja keine Domain....


Gruß,
Thorsten.

[JoergA]

Hier ist mein HowTo, wer möchte kann es in das Wiki stellen:

$ a2enmod header

Gruß

Martin

Hmm,

hierbei bekomme ich immer den Fehler

EIBD:/opt/misterhouse/mh/bin# a2enmod header
ERROR: Module header does not exist!

Ich habe alle Module installiert und dabei auch keine Fehler gesehen. Bevor ich jetzt einfach weitermache, .....

Besten Gruß,
Joerg