Unterschiede
Hier werden die Unterschiede zwischen zwei Versionen angezeigt.
Beide Seiten der vorigen RevisionVorhergehende ÜberarbeitungNächste Überarbeitung | Vorhergehende ÜberarbeitungLetzte ÜberarbeitungBeide Seiten der Revision | ||
manuals:apache-reverse-proxy-manual [2017/03/07 19:30] – [Beispiel für die Apache SSL Konfigurationsdatei] paulg4h | manuals:apache-reverse-proxy-manual [2018/01/09 00:07] – [Vorbereitung Raspbian / Debian 7 und 8] admin | ||
---|---|---|---|
Zeile 11: | Zeile 11: | ||
===== Voraussetzungen ===== | ===== Voraussetzungen ===== | ||
- | * Linux Rechner | + | * Linux Rechner mit Raspbian / Debian |
* Mit einer Statischen IP Adresse oder einer Reservierung in ihrem DHCP Server (meist der Router / Firewall) immer unter der gleichen IP Adresse erreichbar ist. | * Mit einer Statischen IP Adresse oder einer Reservierung in ihrem DHCP Server (meist der Router / Firewall) immer unter der gleichen IP Adresse erreichbar ist. | ||
* Einen Router / Firewall mit einer fixen IP Adresse oder einem Dynamischen DNS Dienst (DynDNS der Bekannteste ist inzwischen kostenlos nicht mehr nutzbar aber es gibt je nach Router / Firewall auch noch andere immer noch Kostenlose Anbieter) und einer Port Weiterleitung vom Port 443 (https) auf die Interne Adresse des Linux Rechners. | * Einen Router / Firewall mit einer fixen IP Adresse oder einem Dynamischen DNS Dienst (DynDNS der Bekannteste ist inzwischen kostenlos nicht mehr nutzbar aber es gibt je nach Router / Firewall auch noch andere immer noch Kostenlose Anbieter) und einer Port Weiterleitung vom Port 443 (https) auf die Interne Adresse des Linux Rechners. | ||
Zeile 23: | Zeile 23: | ||
Diese ist abhängig vom Kennwort das Sie wie hier in dieser Anleitung Beschrieben für den Zugriff vergeben! | Diese ist abhängig vom Kennwort das Sie wie hier in dieser Anleitung Beschrieben für den Zugriff vergeben! | ||
- | ===== Vorbereitung ===== | + | Zur Erhöhung der Sicherheit sei noch das fail2ban Paket unter Linux empfohlen welches auch in dieser Anleitung erklärt wird und eine " |
- | ==== System Aktualisieren | + | ===== Vorbereitung Raspbian / Debian 9 ===== |
+ | |||
+ | ==== Installation ==== | ||
+ | |||
+ | === System Aktualisieren === | ||
Zuerst bitte das System auf den neuesten stand bringen mit: | Zuerst bitte das System auf den neuesten stand bringen mit: | ||
- | sudo aptitude update && aptitude upgrade -y | + | sudo aptitude update && aptitude |
+ | |||
+ | === Pakete Installieren === | ||
Dann müssen folgende Pakete Installiert werden: | Dann müssen folgende Pakete Installiert werden: | ||
- | sudo aptitude install apache2 apache2-utils libapache2-mod-proxy-html | + | sudo aptitude install apache2 apache2-utils libapache2-mod-rpaf vim apache2-utils -y |
- | ==== Apache Module aktivieren ==== | + | === Apache Module aktivieren === |
+ | Dann müssen folgende Module im Apache aktiviert werden: | ||
+ | sudo a2enmod ssl headers rewrite proxy proxy_http | ||
+ | |||
+ | ==== Einrichtung ==== | ||
+ | |||
+ | ==== Letsencrypt --> Kostenloses https Zertifikat==== | ||
+ | |||
+ | === Apache Paket Installieren === | ||
+ | sudo aptitude install python-letsencrypt-apache | ||
+ | |||
+ | === Apache default SSL config === | ||
+ | |||
+ | Eine Gültige ssl config mit dem DNS namen (ServerName in apache config) unter welchem der Reverse Proxy aus dem Internet erreichbar ist anlegen (mit dem Standard Snakeoil SSL Zertifikat reicht!) | ||
+ | sudo vi / | ||
+ | |||
+ | mit folgendem Inhalt anlegen: | ||
+ | < | ||
+ | < | ||
+ | < | ||
+ | ServerAdmin webmaster@localhost | ||
+ | ServerName <dns name> | ||
+ | |||
+ | DocumentRoot / | ||
+ | |||
+ | ErrorLog ${APACHE_LOG_DIR}/ | ||
+ | CustomLog ${APACHE_LOG_DIR}/ | ||
+ | |||
+ | SSLEngine on | ||
+ | |||
+ | SSLCertificateFile | ||
+ | SSLCertificateKeyFile / | ||
+ | |||
+ | </ | ||
+ | </ | ||
+ | </ | ||
+ | |||
+ | Diese Seite aktivieren mit: | ||
+ | a2enside <dns name> | ||
+ | |||
+ | Apache neu starten mit: | ||
+ | systemctl restart apache2.service | ||
+ | |||
+ | === Port Forwarding im Router === | ||
+ | |||
+ | auf die FIXE IP des Raspberry TCP Port 443 Einrichten (je nach Modell Unterschiedlich --> Google it!) | ||
+ | |||
+ | === Zertifikat installieren === | ||
+ | Folgenden Befehl Interaktiv ausführen | ||
+ | letsencrypt | ||
+ | und die Domäne auswählen für die das Zertifikat erstellt werden soll. | ||
+ | |||
+ | Nach der eingabe einer Mail Adresse unter der sie Benachrichtigt werden können falls es Fragen wengen dem Zertifikat gibt wird dies erstellt und die Abfrage ob sie auch http auf https umleiten wollen können sie beantworten wie sie möchten. | ||
+ | |||
+ | === Cronjob zum Automatischen Aktualisieren === | ||
+ | Jeden Sonntat um 1 Uhr Morgens wird Versucht das Zertifikat zu erneuern was aber erst nach 4 Wochen gemacht wird. | ||
+ | * 1 * * 1 / | ||
+ | |||
+ | Nach dem neustarten vom Apache sollte wenn sie den DNS Namen aufrufen das gültige Zertifikat vom Browser angezeigt werden. | ||
+ | |||
+ | ==== HTTPS Basic Authentication einrichten ==== | ||
+ | === Ordner für Zertifikate erstellen === | ||
+ | sudo mkdir / | ||
+ | |||
+ | === Benutzer erstellen === | ||
+ | Jetzt erstellen wir eine Kennwort Datei | ||
+ | sudo htpasswd -c / | ||
+ | Wobei der Benutzername angepasst werden kann und dann zweimal das Kennwort für den Benutzer bestätigt werden muss. | ||
+ | Wenn ein weiterer Benutzer erstellt werden soll muss der Befehl so aussehen | ||
+ | sudo htpasswd / | ||
+ | |||
+ | === Authentifizierung im Apache einbinden === | ||
+ | |||
+ | Nun kann die / | ||
+ | < | ||
+ | < | ||
+ | AuthType basic | ||
+ | AuthName " | ||
+ | AuthUserFile | ||
+ | Require valid-user | ||
+ | </ | ||
+ | < | ||
+ | Options Indexes FollowSymLinks MultiViews | ||
+ | AllowOverride All | ||
+ | Require all granted | ||
+ | </ | ||
+ | </ | ||
+ | Als nächstes empfehle ich fail2ban zu Installieren und aktivieren (siehe unten) | ||
+ | |||
+ | Nun können die Blöcke von unten mit den Konfigurationen für die Dienste an die Datei / | ||
+ | |||
+ | ===== ALT Vorbereitung Raspbian / Debian 7 und 8 ===== | ||
+ | |||
+ | === System Aktualisieren und Pakete Installieren === | ||
+ | |||
+ | === System Aktualisieren === | ||
+ | Zuerst bitte das System auf den neuesten stand bringen mit: | ||
+ | sudo aptitude update && aptitude dist-upgrade -y | ||
+ | |||
+ | === Pakete Installieren === | ||
+ | Dann müssen folgende Pakete Installiert werden: | ||
+ | sudo aptitude install apache2 apache2-utils libapache2-mod-proxy-html vim -y | ||
+ | |||
+ | === Apache Module aktivieren | ||
Dann müssen folgende Module im Apache aktiviert werden: | Dann müssen folgende Module im Apache aktiviert werden: | ||
sudo a2enmod ssl rewrite proxy proxy_http | sudo a2enmod ssl rewrite proxy proxy_http | ||
==== SSL (https) Zufriff für den Apache Einrichten ==== | ==== SSL (https) Zufriff für den Apache Einrichten ==== | ||
- | Ordner für Zertifikate erstellen | ||
- | sudo mkdir / | ||
<WRAP center round important 100%> | <WRAP center round important 100%> | ||
Zeile 70: | Zeile 177: | ||
Die ssl Seite in Apache Aktivieren | Die ssl Seite in Apache Aktivieren | ||
sudo a2ensite default-ssl | sudo a2ensite default-ssl | ||
- | Dann in der Datei **/ | + | Dann in der Datei **/ |
- | sudo vi / | + | sudo vi / |
und dort im Tag **< | und dort im Tag **< | ||
SSLCertificateFile | SSLCertificateFile | ||
Zeile 90: | Zeile 197: | ||
==== HTTPS Basic Authentication einrichten ==== | ==== HTTPS Basic Authentication einrichten ==== | ||
+ | === Ordner für Zertifikate erstellen === | ||
+ | sudo mkdir / | ||
+ | |||
=== Benutzer erstellen === | === Benutzer erstellen === | ||
Jetzt erstellen wir eine Kennwort Datei | Jetzt erstellen wir eine Kennwort Datei | ||
Zeile 100: | Zeile 210: | ||
Nun muss diese Datei noch in den Apache für den Aufruf des Webroot eingebunden werden dazu editieren wir wieder die Datei | Nun muss diese Datei noch in den Apache für den Aufruf des Webroot eingebunden werden dazu editieren wir wieder die Datei | ||
- | sudo vi / | + | sudo vi / |
und fügen im **< | und fügen im **< | ||
Zeile 132: | Zeile 242: | ||
sudo service apache2 reload | sudo service apache2 reload | ||
Wenn wir nun die Webseite erneut per https aufrufen werden wir nach Benutzernamen und Kennwort gefragt und sehen die Seite erst nach eingabe von unseren oben erstellten Benutzernamen / Kennwort. | Wenn wir nun die Webseite erneut per https aufrufen werden wir nach Benutzernamen und Kennwort gefragt und sehen die Seite erst nach eingabe von unseren oben erstellten Benutzernamen / Kennwort. | ||
- | | + | |
+ | ====== Proxy Konfigurations Blöcke ====== | ||
===== Proxy für Homematic CCU ===== | ===== Proxy für Homematic CCU ===== | ||
Dazu editieren wir wieder die datei | Dazu editieren wir wieder die datei | ||
- | sudo vi / | + | sudo vi / |
und fügen am ende des **< | und fügen am ende des **< | ||
Zeile 459: | Zeile 571: | ||
===== Beispiel für die Apache SSL Konfigurationsdatei ===== | ===== Beispiel für die Apache SSL Konfigurationsdatei ===== | ||
Solltet ihr Probleme haben so vergleicht den Inhalt der Datei mit der Untenstehenden oder Übernehmt diese mit der Apassung des DNS Namens (< | Solltet ihr Probleme haben so vergleicht den Inhalt der Datei mit der Untenstehenden oder Übernehmt diese mit der Apassung des DNS Namens (< | ||
- | sudo vi / | + | sudo vi / |
< | < | ||
< | < | ||
< | < | ||
- | ServerName | + | ServerName |
ServerAdmin webmaster@localhost | ServerAdmin webmaster@localhost | ||
| | ||
Zeile 581: | Zeile 693: | ||
====== Weitere Seiten einbinden ====== | ====== Weitere Seiten einbinden ====== | ||
Wenn auch andere Seiten wie die einer Webcam (z.B. Foscam) durch den Reverse Proxy verfügbar gemacht werden können sie das einfacher haben solange das Webinterface nicht zu viele Unterseiten hat so wie bei meiner Foscam Webcam durch änderen der Datei: | Wenn auch andere Seiten wie die einer Webcam (z.B. Foscam) durch den Reverse Proxy verfügbar gemacht werden können sie das einfacher haben solange das Webinterface nicht zu viele Unterseiten hat so wie bei meiner Foscam Webcam durch änderen der Datei: | ||
- | sudo vi / | + | sudo vi / |
und fügen am ende des **< | und fügen am ende des **< | ||
ProxyPass | ProxyPass | ||
Zeile 590: | Zeile 702: | ||
===== Installation ===== | ===== Installation ===== | ||
aptitude install fail2ban | aptitude install fail2ban | ||
- | ===== Einrichten ===== | + | ===== Einrichten |
+ | für https apache muss in der Datei | ||
+ | sudo vi / | ||
+ | |||
+ | Und die Apache Auth Rule aktivieren indem folgende Zeilen dort angefügt werden damit die Datei so aussieht: | ||
+ | < | ||
+ | [sshd] | ||
+ | enabled = true | ||
+ | |||
+ | [apache-auth] | ||
+ | enabled = true | ||
+ | |||
+ | [apache-noscript] | ||
+ | enabled = true | ||
+ | |||
+ | [apache-overflows] | ||
+ | enabled = true | ||
+ | |||
+ | [apache-nohome] | ||
+ | enabled = true | ||
+ | |||
+ | [apache-botsearch] | ||
+ | enabled = true | ||
+ | |||
+ | [apache-fakegooglebot] | ||
+ | enabled = true | ||
+ | |||
+ | [apache-modsecurity] | ||
+ | enabled = true | ||
+ | |||
+ | [apache-shellshock] | ||
+ | enabled = true | ||
+ | </ | ||
+ | |||
+ | Dann den fail2ban Dienst neustarten mit: | ||
+ | service fail2ban restart | ||
+ | |||
+ | Nun kann im fail2ban log gesehen werden wenn jemand ge" | ||
+ | tail -f / | ||
+ | |||
+ | ===== Einrichten Raspbian / Debian 7 oder 8 ===== | ||
Dann muss nur noch der apache aktiviert werden und in der log Datei | Dann muss nur noch der apache aktiviert werden und in der log Datei | ||
vi / | vi / | ||
Zeile 700: | Zeile 852: | ||
===== Apache2 sites-enabled ===== | ===== Apache2 sites-enabled ===== | ||
Die https Konfiguration des webservers in: | Die https Konfiguration des webservers in: | ||
- | / | + | / |
sollte so aussehen: | sollte so aussehen: | ||
< | < | ||
Zeile 782: | Zeile 934: | ||
und den Apache neu zu laden: | und den Apache neu zu laden: | ||
service apache2 reload | service apache2 reload | ||
+ | |||
+ | |||