Apache 反向代理背后的自签名证书有问题吗？

Question

我知道在一些较旧的帖子中讨论了这个主题，特别是自签名证书是否可以在 Apache 反向代理后面工作？ 由@Ryan 发布

我面临同样的问题，但无法解决它。 我在 Oracle HTTP 服务器前将 Apache 2.4.12 设置为反向代理。 我在代理服务器上有有效证书，但在 Oracle HTTP 服务器上有自签名证书。 目标是一直执行 https，但是每当浏览器访问 myhost.domain 时，它都会抛出一个证书警告（因为自签名证书）。 在 Oracle HTTP 服务器上拥有真实证书不是一种选择，用户浏览器受到限制，因此不能忽略自签名证书警告。

这是我的虚拟主机

---

LogLevel ERROR
ServerName  myhost.domain
ServerAlias  xxx.xxx.xxx.xx
DocumentRoot D:/xyz/pubdocs
SSLEngine      On
SSLProxyEngine On
SSLCertificateFile      certs/myserver.crt
SSLCertificateKeyFile   certs/myserver.key
SSLCertificateChainFile certs/myserver_chain.crt
SSLProxyCACertificateFile certs/my_self_signed.pem
SSLProxyVerify none
SSLProxyCheckPeerName off
SSLProxyCheckPeerCN off
SSLProxyCheckPeerExpire off
SSLProtocol    -all +TLSv1
SSLProxyProtocol +SSLv3 +TLSv1 +TLSv1.1
#SSLCipherSuite ALL:!aNULL:!ADH:!eNULL:!LOW:!EXP:!NULL:RC4+RSA:+HIGH:+MEDIUM
ErrorLog "logs/abc-error.log"
CustomLog "logs/abc-access.log" cert

ProxyRequests Off  
# IE compatibility
Header set X-UA-Compatible "IE=EmulateIE8"
# Prevent page from being loaded within an IFrame (Cross-Frame Scripting protection)
Header always append X-Frame-Options SAMEORIGIN
# Prevent mime sniffing exploint ; disabled breaks PEM Popup image rendering
# Header set X-Content-Type-Options: nosniff
# Disable caching
Header set Cache-Control "no-cache, must-revalidate, private"
# Enable X-XSS-Protection
Header set X-XSS-Protection: "1; mode=block"
ProxyPass / https://myhost.domain/
ProxyPassReverse / https://myhost.domain/

---

似乎使用以下指令对很多人都有效，但似乎对我不起作用

SSLProxyVerify 无

SSLProxyCheckPeerName 关闭

SSLProxyCheckPeerCN 关闭

SSLProxyCheckPeerExpire 关闭

还有什么我想念的。

任何帮助表示赞赏。

谢谢，拉吉

Answer 1

似乎该错误并不完全与代理有关。 配置不是很清楚。 我假设有以下三台机器：

1. “笔记本电脑”——你
2. 'proxy' - 与您的 conf 一起运行的 apache
3. 'oracle' - 带有一些任意的网络服务器

我还假设所有 DNS 域都针对“代理”，其余的机器都可以通过 IP 地址访问。

您从浏览器看到的认证路径仅在“笔记本电脑”和“代理”之间。 如果您看到来自浏览器的无效证书，则意味着“代理”未能通过“笔记本电脑”的身份验证。 如果 'oracle' 无法向 'proxy' 标识自己，连接将彻底失败，抛出 502 错误。

那么现在，下一步该怎么做：

• 从浏览器检查证书。 看看是谁的证书。
• 如果它来自“oracle”，则意味着您根本没有代理请求。 确保您的 DNS 记录针对“代理”机器。
• 如果它来自'proxy'，但浏览器抛出错误的CN，则需要创建还包含'oracle'域的证书并将其放在'proxy'机器上。

如果它都不起作用，请尝试调查以下场景在哪个点失败：

1. 笔记本电脑向 DNS 请求“oracle.domain.com”
2. DNS 返回“代理”机器的 IP 地址并发送请求。
3. “proxy”向您证明您是“oracle.domain.com”服务的提供者
4. 此时您会在浏览器中看到一个绿色的锁形图标。
5. “代理”机器解析“oracle”的IP地址并发送请求。
6. “oracle”使用自签名证书向“代理”进行身份验证
7. 内容从“oracle”通过“proxy”返回给您。

此外，您应该包括“ SSLProxyVerify require ”以使您的配置至少有点安全。