SSL-Zertifikate auf mehreren Apache-Hosts hinter einer Domain

In Netzwerken mit mehreren Apache-Servern hinter einer gemeinsamen Domain gibt es verschiedene Möglichkeiten, SSL-Zertifikate zu verwalten und bereitzustellen. Jede Lösung bietet verschiedene Ansätze, je nach den Anforderungen der Serverinfrastruktur. Dabei gibt es einige grundlegende Unterschiede hinsichtlich Redundanz, Sicherheit und Verwaltung der Zertifikate.

Jede Methode hat ihre eigenen Vor- und Nachteile. Falls die Hosts unabhängig voneinander arbeiten sollen, ist das Kopieren des Zertifikats sinnvoll. Falls eine zentrale Verwaltung bevorzugt wird, bietet sich der SSL-Proxy an. SNI ist ideal, wenn verschiedene Zertifikate für mehrere Domains genutzt werden, während SAN-Zertifikate für mehrere Subdomains einer Domain eine einfache Lösung darstellen.

1. Kopieren des Zertifikats auf alle Hosts

Bei dieser Methode wird ein einzelnes SSL-Zertifikat auf alle Apache-Server verteilt, sodass jeder Host eine eigene verschlüsselte Verbindung bereitstellen kann.

1. Ermitteln des Zertifikatspfads auf Server 1:
   
   grep -Ri "SSLCertificateFile" /etc/apache2/sites-enabled/

   1	grep -Ri "SSLCertificateFile" /etc/apache2/sites-enabled/

2. Zertifikat und privaten Schlüssel kopieren:
   
   scp /etc/letsencrypt/live/example.com/fullchain.pem server2:/etc/ssl/certs/ scp /etc/letsencrypt/live/example.com/privkey.pem server2:/etc/ssl/private/

   1 2	scp /etc/letsencrypt/live/example.com/fullchain.pem server2:/etc/ssl/certs/ scp /etc/letsencrypt/live/example.com/privkey.pem server2:/etc/ssl/private/

3. SSL für Apache auf Server 2 konfigurieren (nano /etc/apache2/sites-available/default-ssl.conf):
   
   <VirtualHost *:443> ServerName example.com SSLEngine on SSLCertificateFile /etc/ssl/certs/fullchain.pem SSLCertificateKeyFile /etc/ssl/private/privkey.pem </VirtualHost>

   1 2 3 4 5 6

   <VirtualHost *:443>     ServerName example.com     SSLEngine on     SSLCertificateFile /etc/ssl/certs/fullchain.pem     SSLCertificateKeyFile /etc/ssl/private/privkey.pem </VirtualHost>

4. SSl aktivieren und Apache neu starten:
   
   a2ensite default-ssl systemctl restart apache2

   1 2	a2ensite default-ssl systemctl restart apache2

2. SSL-Proxy zur Weiterleitung der SSL-Verbindung

Ein zentraler Apache-Server nimmt SSL-Verbindungen entgegen und leitet sie unverschlüsselt an interne Apache-Hosts weiter.

1. SSL-Proxy-Modul aktivieren:
   
   a2enmod proxy proxy_http ssl

   1	a2enmod proxy proxy_http ssl

2. Apache als Proxy konfigurieren:
   
   <VirtualHost *:443> ServerName example.com SSLEngine on SSLCertificateFile /etc/ssl/certs/fullchain.pem SSLCertificateKeyFile /etc/ssl/private/privkey.pem ProxyPass / http://192.168.1.2/ ProxyPassReverse / http://192.168.1.2/ </VirtualHost>

   1 2 3 4 5 6 7 8

   <VirtualHost *:443>     ServerName example.com     SSLEngine on     SSLCertificateFile /etc/ssl/certs/fullchain.pem     SSLCertificateKeyFile /etc/ssl/private/privkey.pem     ProxyPass / http://192.168.1.2/     ProxyPassReverse / http://192.168.1.2/ </VirtualHost>

3. Apache neu starten:
   
   systemctl restart apache2

   1	systemctl restart apache2

3. Apache SNI (Server Name Indication)

SNI ermöglicht es Apache, mehrere SSL-Zertifikate für unterschiedliche Domains auf derselben IP-Adresse zu verwalten.

1. Apache-Version überprüfen (ab 2.2.12 nötig):
   
   apache2 -v

   1 2	apache2 -v

2. Mehrere SSL-VirtualHosts konfigurieren:
   
   <VirtualHost *:443> ServerName domain1.com SSLEngine on SSLCertificateFile /etc/ssl/certs/domain1.pem SSLCertificateKeyFile /etc/ssl/private/domain1.key </VirtualHost> <VirtualHost *:443> ServerName domain2.com SSLEngine on SSLCertificateFile /etc/ssl/certs/domain2.pem SSLCertificateKeyFile /etc/ssl/private/domain2.key </VirtualHost>

   1 2 3 4 5 6 7 8 9 10 11 12 13

   <VirtualHost *:443>     ServerName domain1.com     SSLEngine on     SSLCertificateFile /etc/ssl/certs/domain1.pem     SSLCertificateKeyFile /etc/ssl/private/domain1.key </VirtualHost>   <VirtualHost *:443>     ServerName domain2.com     SSLEngine on     SSLCertificateFile /etc/ssl/certs/domain2.pem     SSLCertificateKeyFile /etc/ssl/private/domain2.key </VirtualHost>

3. Apache neu starten:
   
   systemctl restart apache2

   1	systemctl restart apache2

4. Verwendung von Apache SAN (Subject Alternative Names)

Ein einzelnes SSL-Zertifikat kann mehrere Domains oder Subdomains enthalten, sodass nur ein Zertifikat für alle Hosts benötigt wird.

1. Let’s Encrypt SAN-Zertifikat ausstellen:
   
   certbot certonly --standalone -d example.com -d sub1.example.com -d sub2.example.com

   1	certbot certonly --standalone -d example.com -d sub1.example.com -d sub2.example.com

2. Apache so konfigurieren, dass das SAN-Zertifikat genutzt wird:
   
   <VirtualHost *:443> ServerName example.com ServerAlias sub1.example.com sub2.example.com SSLEngine on SSLCertificateFile /etc/letsencrypt/live/example.com/fullchain.pem SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem </VirtualHost>

   1 2 3 4 5 6 7

   <VirtualHost *:443>     ServerName example.com     ServerAlias sub1.example.com sub2.example.com     SSLEngine on     SSLCertificateFile /etc/letsencrypt/live/example.com/fullchain.pem     SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem </VirtualHost>

3. Apache neu starten:
   
   systemctl restart apache2

   1	systemctl restart apache2

5. Überprüfung des Zertifikats

Um zu testen, ob das Zertifikat korrekt geladen wird, nutzen Sie folgenden Befehl auf Server 2:

Falls das Zertifikat korrekt eingerichtet ist, sollten die zugehörigen Domains aufgelistet werden.

by Speefak