Módulo do Apache adequado para SSL passthrough

2

Meu servidor de aplicativos JBoss tem configuração de autenticação SSL mútua (fazemos algum processamento com base no certificado de cliente).

Eu preciso ter um servidor web na frente do JBoss. Qual é o melhor módulo apache que pode fazer uma passagem SSL para o JBoss?

    
por Yasser 03.03.2011 / 18:34

2 respostas

2

A menos que você esteja atrás de algo incrivelmente trivial (encaminhando todo o tráfego SSL diretamente para o JBoss sem qualquer manipulação pelo Apache, nesse caso você pode também usar um encaminhador TCP como o rinetd), o que quer que você esteja tentando não é possível.

Para que o Apache faça qualquer coisa com a conexão SSL, ele deve negociar a chave simétrica com o cliente. Uma vez que o Apache tenha feito isso, o JBoss não poderá descriptografar a conexão se o apache "apenas" encaminhar o fluxo resultante para o JBoss. Normalmente, você encaminharia a conexão descriptografada ao aplicativo. Você pode até ser capaz de obter o apache para estabelecer uma nova conexão SSL do Apache para o JBoss, mas sem o certificado do cliente, ele não teria as informações de autenticação que o JBoss está procurando.

Coisas a considerar: você poderia fazer o JBoss ler os cabeçalhos de conexão de uma conexão não ssl para obter as informações desse cliente? Então você poderia usar mod_rewrite para capturar as informações do certificado de cliente . ( Lista de variáveis disponíveis ) (exemplo real (se antigo) de combinação de mod_rewrite, mod_headers e mod_proxy para extrair isso )

Se o problema é que você deseja veicular algum conteúdo por meio de um servidor da Web e não por meio do JBoss, considere configurar um host separado, como o link .

    
por 03.03.2011 / 19:33
1

Isso pode ser uma loucura, já que não tenho certeza de como o JBoss lidará com isso, mas parece que usar SSLOptions +ExportCertData entregará um certificado de cliente através de uma conexão AJP, em virtude da habilidade da AJP de passar o ambiente variáveis.

Isso depende do seu nível de conforto em ter os dados entre os servidores Apache e JBoss não criptografados, bem como se o JBoss reconhecerá o certificado na variável de ambiente passada. Veja aqui .

    
por 03.03.2011 / 20:43