Bekijk Volledige Versie : Howto! Directadmin SSL PKI NameBased - 1 IP meerdere certificaten
Peter.A.M.B
05/12/12, 08:21
Net alles opnieuw ingericht, FreeBSD 7.2 + Directadmin 4.x en (Virtuele) SSL Certificaten op 1 IP adres.
Anno 2012 best een goede optie die redelijk goed word ondersteund. Gebruik dit al zo'n 2 jaar, zonder veel problemen.
Met de Directadmin installatie word een openssl v9.xx geinstalleerd, die ondersteund geen PKI.
Daarvoor zult u handmatig de laatste moeten installeren. Met FreeBSD werk ik met locale /usr/pors/ wat de afhankelijk ports tevens installeerd. Gaat vaak in 1 keer goed, soms een twitch.
Updaten naar OpenSSL/1.0.1c kan op een volledig geconfigureerde server met DA geinstallereerd.
Ik ga nu van een FreeBSD installatie uit met behulp van de /usr/ports/.
Voor andere linux server software kijk op http://www.openssl.org/.
Ik gebruik Putty SSH box en login met admin rechten
cd /usr/ports/security/openssl/
make install clean
edit: /etc/make.conf
voeg onderstaande regel toe:
WITH_OPENSSL_PORT=YES
Dit is voor de paketten die ssl ondersteuning bieden (php!), komt nog.
edit: /usr/local/directadmin/conf/directadmin.conf
en voeg onderstaande regel toe:
enable_ssl_sni=1
Hierdoor enabled u de optie om certificaten te kunnen installeren op resellers niveau.
Hierna php en apache opnieuw installeren:
cd /usr/local/directadmin/custombuild
./build apache
./build php
./build rewrite_conf
Ik had een frisse installatie, kon daardoor zonder problemen alles opnieuw langslopen/installeren
./build all d
Een frisse reboot is aanbevolen;
reboot
Wat is precies het doel van PKI in dit verhaal? SNI werkt al sinds 0.9.8f.
Volgens mij is het enige wat je op een kale (enigszins moderne) DA installatie hoeft te doen is enable_ssl_sni op 1 zetten en DA een restart te geven. De support voor alles is er al, DA moet de checks alleen weghalen die SNI juist niet toestaat.
Net alles opnieuw ingericht, FreeBSD 7.2 + Directadmin 4.x en (Virtuele) SSL Certificaten op 1 IP adres.
Het kan aan mij liggen hoor, maar waarom wil je in godsnaam een legacy versie van FreeBSD installeren als ze al aan 9.0 zitten. Ik zie niemand meer centos 4.x en/of debian 4.x installeren op nieuwe vps'en/servers.
Peter.A.M.B
05/12/12, 20:42
Er zijn genoeg mensen die denken het te weten.
Dit topic is bedoeld voor directadmin administrators.
Reageer a.u.b alleen als u iets heeft toe te voegen of een vraag heeft.
Er zijn genoeg mensen die denken het te weten.
Dit topic is bedoeld voor directadmin administrators.
Reageer a.u.b alleen als u iets heeft toe te voegen of een vraag heeft.
Ja en dat wil zeggen dat je oude FreeBSD moet installeren ofzo?
Getting Started with DirectAdmin: What kind of server do I need?
Operating System:
Redhat Linux 7.2, 7.3, 8.0, 9.0
RedHat Fedora 1, 2, 3, 4, 5, 6, 7, 8 (not supporting future versions)
RedHat Enterprise / CentOS 4.x, 5.x, 6.x (64-bit: 4.1 - 4.5, 5.x, 6.x)
FreeBSD 5.x, 6.x, 7, 7 64-bit, 8 64-bit, 9 64-bit (7.3 and 9 may require an exim recompile)
Debian 4.0, 5.0, 6.0. 64-bit: 5.0, 6.0 (click for Ubuntu)
Peter.A.M.B
05/12/12, 21:11
The-BosS
Je gaat Off Topic.
Dit gaat niet over webserver software.
Je vervuilt dit topic met je berichten.
Kom op mensen gewoon ontopic aub! De thread starter zal een reden hebben voor zijn keuze.
systemdeveloper
05/12/12, 22:53
TS mag best antwoord geven op een normale vraag van The-Boss aangezien je vanaf FreeBSD 81.-release (dacht ik) tenslotte al niet meer te prutsen met openssl omdat die de TLS extensies (inc. SNI) al enabled heeft.
Kom op mensen gewoon ontopic aub! De thread starter zal een reden hebben voor zijn keuze.
Kan best zijn, maar dan mag die het wel even verduidelijken waarom.
TS mag best antwoord geven op een normale vraag van The-Boss aangezien je vanaf FreeBSD 81.-release (dacht ik) tenslotte al niet meer te prutsen met openssl omdat die de TLS extensies (inc. SNI) al enabled heeft.
Toch iemand die mijn punt snapt, waarom kloten in een OS van 2008 wanneer de nieuwe versies alles al out-of-the-box supporten. Dat is zoals zeggen installeer maar centos 4.x en recompile alles maar zelf zodat het up to date is en werkt.
Peter.A.M.B
15/12/12, 00:11
Veel mensen op wht die er geen verstand van zaken hebben. Valt me toch een beetje tegen!
Die Belgische meneer heeft op zijn eigen zzp webhosting site (https://www.all-in-one.be/) natuurlijk geen SSL beveiliging.
Van de EU Cookie Law heeft hij blijkbaar ook nooit van gehoord? Is er een optie om deze persoon(en) te bannen van een topic?
patrickekkel
15/12/12, 00:20
@peter.A.M.B Beetje meer respect voor de leden hier. en zeker voor iemand als Dennis.
Dennis heeft hier al zijn respect verdient. en jij kan volgens mij niet tegen kritiek.
Je hebt hier 4 posts waarvan er 3 tegen Dennis zijn. Dennis heeft zijn respect hier al wel verdient en heeft zeker verstand van zaken.
Dat jij een howto post is heel mooi. en als iemand dan een vraag stelt kan jij toch ook je redenen hier vertellen waarom jij dit zo doet.
Voor het geval je nog niet wist wat of respect is hier even een quote
"Respect betekent aanzien, eerbied of waardering, die men heeft voor (of ontvangt van) iemand vanwege zijn kwaliteiten, prestaties of vaardigheden. Het woord betekent oorspronkelijk omzien naar, en vandaar rekening houden met."
in mijn ogen zal er maar 1 iemand een ban moeten krijgen.... maar ja ik ben dan gelukkig ook geen mod.
Veel mensen op wht die er geen verstand van zaken hebben. Valt me toch een beetje tegen!
Die Belgische meneer heeft op zijn eigen zzp webhosting site (https://www.all-in-one.be/) natuurlijk geen SSL beveiliging.
Van de EU Cookie Law heeft hij blijkbaar ook nooit van gehoord? Is er een optie om deze persoon(en) te bannen van een topic?
Wat heeft dat er mee te zien, is het een verplichting dan om op mijn website ssl te draaien, bij mijn weten niet. Dat wil overigens niet zeggen dat ik geen SSL draai btw, alle websites die in mijn ogen baat hebben bij een https/ssl verbinding hebben dat ook gewoon (control panels, webmail, klantenportaal, ...). Wat betreft de cookie law, weet jij mij één belgische website te noemen die het wel heeft dan. Als iets niet mag dan hoor ik het wel van mijn eigen overheid, wat tot dusver nog niet het geval geweest is.
BTW je eigen website heeft niet eens https/ssl, dus voor je iemand begint af te zeiken kijk eerst even naar jezelf. En in plaats van zo hoog van de toren te blazen kun je ook gewoon antwoord geven waarom jij het nodig acht om op een legacy versie van FreeBSD met Directadmin te werken terwijl Directadmin perfect op FreeBSD 9.x werkt.
systemdeveloper
15/12/12, 01:10
Met een ongeldig ssl certificaat heb je overigens wel een ssl beveiliging. Het is alleen niet trusted, maar nog steeds niet 1-2-3 te sniffen en dat is waar ssl voor bedoeld is. Niet voor het leuke kleurtje in de balk.
@the-boss, het is goed zo... iedereen is vrij in zijn keuze van een OS versie, het is gewoon weg off-topic en Peter wilt graag zijn ervaringen delen. Eerlijk gezegd word dit topic naar beneden gehaald en dat is eigenlijk niet zo fijn om te zien.
Wat een betere reactie zou zijn geweest is om tips/aanvulling te geven op deze how-to ipv. gaan hameren op een freebsd versie. Nu moet ik zeggen dat freebsd zeer veilig en stabiel is, er is enkel een reden om freebsd te upgraden wanneer je functionaliteiten wilt kunnen gebruiken die niet binnen de huidige versie worden ondersteund. Wij hebben zelfs voor een klant 5.4 stable draaien, dit puur omdat het een vereiste is van de klant.
Maar goed wie ben ik om zoiets te zeggen na 14 jaar ervaring freebsd...
@the-boss, het is goed zo... iedereen is vrij in zijn keuze van een OS versie, het is gewoon weg off-topic en Peter wilt graag zijn ervaringen delen. Eerlijk gezegd word dit topic naar beneden gehaald en dat is eigenlijk niet zo fijn om te zien.
En iedereen heeft vrije meningsuiting, maar als iemand mij persoonlijk aanvalt kunnen ze ook een reactie terug verwachten.
Wat een betere reactie zou zijn geweest is om tips/aanvulling te geven op deze how-to ipv. gaan hameren op een freebsd versie. Nu moet ik zeggen dat freebsd zeer veilig en stabiel is, er is enkel een reden om freebsd te upgraden wanneer je functionaliteiten wilt kunnen gebruiken die niet binnen de huidige versie worden ondersteund. Wij hebben zelfs voor een klant 5.4 stable draaien, dit puur omdat het een vereiste is van de klant.
Maar goed wie ben ik om zoiets te zeggen na 14 jaar ervaring freebsd...
Ik heb vroeger ook nog op FreeBSD 4.x en 5.x gedraaid naast slackware, gentoo, ... maar daar gaat het niet over. Waar het wel over gaat is dat je de nagel op de kop slaat met je uitdrukking dat je freebsd upgrade om nieuwe functionaliteit en features. Dus waarom moeilijk gaan lopen doen bij een nieuwe installatie met oude versie van FreeBSD als de nieuwe out-of-the-box supporten wat je in de eerste plaats wil bereiken.
Feit is wel dat BSD over het algemeen standaard beter beveiligd is dan andere linux distro's. Maar laat ik verder ook even benadrukken dat een OS zo veilig is al de persoon die hem beheerd, zelf al run je FreeBSD/openBSD/netBSD/Solaris/SmartOS/... dan nog kan je gehackt worden als iemand een oudere versie van apache, named/bind of andere software runt. En features zoals chroot en jailed omgevingen behoren niet enkel meer tot het BSD OS maar kan ook perfect op andere OS'en.
. dan nog kan je gehackt worden als iemand een oudere versie van apache, named/bind of andere software runt.
Bij FreeBSD is dit een ernstig slecht argument, is ook waar de vergelijking met centos4 mank gaat, de ports van FreeBSD zijn onafhankelijk van de OS versie en hebben gewoon de recentste (en overigens als ze nog qua security support worden een hele berg oudere versies) versies van apache, bind, of andere non world software. Zelfs de software in world die wellicht niet meer ondersteund wordt kan je prima uit ports voorzien van een nieuwere versie.
Overigens is dit ook het sterkste argument om geen oudere versie van FreeBSD te hoeven installeren als je iets nieuws installeert.
Vanaf nu on-topic, jullie staan vrij om een apart topic aan te maken voor de OS kwestie.