Un certificat autosigné fonctionnera-t-il derrière un proxy inverse Apache?

Nous souhaitons utiliser Apache comme proxy inverse pour une collection de serveurs d'applications. Nous prévoyons de placer un certificat SSL signé par une autorité de certification sur l'instance Apache, mais nous souhaitons utiliser des certificats autosignés sur les instances du serveur d'applications (de sorte que la connexion entre Apache et l'application a également été cryptée). Nous ne souhaitons pas installer un certificat SSL signé par une autorité de certification sur les instances du serveur d'applications si nous n'avons pas à le faire. Apache permettra-t-il cette configuration d'avoir des certificats auto-signés sur les instances du serveur d'applications?Un certificat autosigné fonctionnera-t-il derrière un proxy inverse Apache?

Source

2012-09-17 BestPractices

Peut-être que cela vous aidera: [SSLProxyCheckPeerCN] (http://httpd.apache.org/docs/2.2/mod/mod_ssl.html#sslproxycheckpeercn)? – noodl

Si vous disposez d'une grande quantité de serveurs d'applications, il serait probablement plus judicieux d'avoir votre propre autorité de certification interne, au lieu de devoir gérer chaque certificat auto-signé un par un.

Si vous voulez les connexions entre un proxy inverse Apache httpd et ses nœuds travailleurs à utiliser le protocole HTTPS, vous pouvez configurer les certificats approuvés par Apache en utilisant les SSLProxy* directives de mod_ssl (comme indiqué dans l'introduction de la documentation mod_proxy) en particulier SSLProxyCACertificateFile.

Pour cela, vous devrez utiliser mod_proxy_http, car les connexions AJP ne sont pas effectuées via SSL/TLS.

Source

2012-09-17 15:01:40 Bruno

Cela ne répond pas à la question. Apache autorise-t-il les certificats autosignés sur les serveurs mandatés? Eh bien, à partir d'une configuration de test, j'ai l'impression que ça fonctionne. Ce serait bien s'il y avait une confirmation officielle de cela. Dans mon test, si je navigue directement sur le proxy via mon navigateur Web, je suis invité à accepter le certificat auto-signé. Je ne m'attendais donc pas à ce que cela fonctionne via Apache, mais c'est le cas. Je m'attendais à devoir mettre à jour le keystore/truststore d'Apache pour inclure le cert autosigné, mais je n'avais même pas besoin de le faire. – Ryan

@Ryan, pourquoi cela ne répond pas à la question? Les directives 'SSLProxy * 'sont celles requises et documentées. Vous avez raison, je n'ai pas mentionné explicitement 'SSLProxyVerify', qui est malheureusement' none' par défaut (vous voudriez 'require'), la valeur par défaut de' SSLProxyCheckPeerCN' a aussi changé entre Apache Httpd 2.2 et 2.4. – Bruno

La réponse n'était pas claire pour moi au départ. Après avoir lu la documentation mod_ssl et mod_proxy, votre réponse est beaucoup plus logique. Les valeurs par défaut pour SSLProxyVerify et CheckPeerCN expliquent également pourquoi «cela fonctionne» sans que j'aie besoin de dire à Apache de faire confiance au certificat auto-signé. On dirait que j'ai besoin de comprendre les directives SSLProxyCA * pour qu'Apache fasse confiance à mon certificat autosigné – Ryan

Un certificat autosigné fonctionnera-t-il derrière un proxy inverse Apache?

Répondre

Questions connexes