[BC3] [apache ssl] zonder domein ?

[Verwijderd]

Ik zit met het volgende:

Ik wil eens apache+ssl uitproberen
gewoon dat ik zowel op http://192.168.0.2
en https://192.168.0.2 kan connecten.

Allees geinstalleerd, apache, mod_ssl, ssl etc. Werkt allemaal.

Connecten kan ik ook op http://192.168.0.2
niet met https://

Dus een virtual host aangemaakt in httpd.conf om die https connectie te kunnen maken. Het probleem is echter dat ik geen domein oid op die server wil hosten, dus ik wil het gewoon via ip, kan dat? ik probeerde het volgende, maar dat lukte niet:

<VirtualHost 192.168.0.2:443>

# General setup for the virtual host
DocumentRoot "/home/www/"
ServerName 192.168.0.2
ServerAdmin [e-mail]
ErrorLog /usr/local/apache/logs/error_log
TransferLog /usr/local/apache/logs/access_log

Weet een van de guru''s hier hoe dit moet?

[Verwijderd]

Uuhmmm, d''r moeten wel SSL opties in httpd.conf!

[Verwijderd]

En een Listen 443 er ook bij zetten.

[Verwijderd]

Jah ik was onduidelijk, sorry

heb ik er natuurlijk allemaal in staan, had apache er "zelf" al in gezet.
Het enige waar ik volgens mij dus wat aan moet veranderen is dat bovenstaande stukje van de config file?

[Verwijderd]

Heb je al een key aangemaakt?

[Verwijderd]

Jah tuurlijk, tijdens het compileren al

ook servername in httpd.conf op 192.168.0.2 gezet

heb ff geen id meer hoe ik het kan fixen. Maar het meot dus ook zonder domein gewoon kunnen werken?

[Verwijderd]

Hoooooo! Wacht even! Een key is altijd geassocieerd aan een domain.

[Verwijderd]

Keys kosten zo''n 1000 gulden per stuk, dus dat lijkt me geen goed idee!

[Verwijderd]

Ok, daar hebben we de fout, vet zeg

noujah ...

dus je moet een domein hebben......

eigenlijk wilde ik het als volgt doen: gewoon mn ip gebruiker voor deze server en het domein wat ik heb, niet zelf gehost dus, gewoon forwarden naar mn ip.

of kan ik nog een andere key maken oid. ?

[Verwijderd]

de host file gebruiken

[Verwijderd]

ik had gewoon zelf een custom key gemaakt tijdens het compilen dus dat van die 1000 gulden valt wel mee

maar, ik laat het denk ik maar dat ssl zitten,ben toch niet te vertrouwen hehe

hostfile?

[Verwijderd]

Bij keys gaat het om de uitgever van die keys, dus een custom key gaan mensen niet echt vertrouwen!

[BC3 Victim]

Stukje mini-howto door ondergetekende op een SuSE linux bak.. zal zeer waarschijnlijk ook wel werken op andere bak:
(apache ssl m.b.v. openssl EN mod_ssl dus)

Creating the private key: openssl genrsa -des3 -out server.key 1024
dit geeft een server.key

Remove tripple des ecryption van de key zodat apache de passphrase kan lezen
openssl rsa -in server.key -out server.pem
dit geeft een server.pem. Deze file mag alleen door root read/write zijn!

Maken van de Certificate Signing Request
openssl req -new -key server.key -out server.csr
De setver.csr kan je opsturen naar een instantie die em signed (kost je idd iets van 1000 ballen ofzo)...

Je kan em ook zelf signen:
openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt
En we hebben een key die 365 dagen geldig is!
Als nu een client een ssl connectie met de server maakt, zal de client waarschuwen dat de key is gesigned door een niet bekende instantie, en vragen of je de key wilt accepteren en doorgaan! Dit is echter geen probleem voor de encryptie, dus als er wordt doorgegaan is de verbinding secure.

server.pem kopieren naar /etc/httpd/ssl.key/server.pem
server.crt kopieren naar /etc/httpd/ssl.crt/server.crt

In de apache config (/etc/httpd/httpd.conf) de volgende dingen opzoeken en veranderen:
SSLEngine off -> SSLEngine on

SSLCertificateFile /etc/httpd/ssl.crt/server.crt -> SSLCertificateFile /etc/httpd/ssl.crt/server.crt
Deze kan hetzelfde blijven

SSLCertificateKeyFile /etc/httpd/ssl.key/server.key -> SSLCertificateKeyFile /etc/httpd/ssl.key/server.pem
.key wordt dus .pem op het eind :-)

En een virtual host toevoegen:

<virtualhost>
DocumentRoot "/usr/local/apache/htdocs/blaat/"
ServerName www.blaat.nl
ServerAdmin [e-mail]
ErrorLog logs/ssl-error_log
TransferLog logs/ssl-access_log
</virtualhost>

En als je toch op 192.168.0.2 zit dan eigen DNS servertje erbij zetten die www.blaat.nl laat resolven naar 192.168.0.2 en klaar om te spelen.

Een Listen 443 zit er standaard op SuSE al bij na installatie van mod_ssl