Apache - Server Name Indication (SNI)

Server Name Indication is een uitbreiding van SSL (Secure Socket Layer) en TLS die aan het begin van het handshaking proces aangeeft met welke hostname de client verbinding zoekt. Dit maakt het mogelijk voor de server om meerdere certificaten te presenteren, en daardoor aan één IP-adres en poort (poort 443) verschillende websites met SSL beveiliging te verbinden. Door gebruik van SNI vervalt de noodzaak voor het gebruik van aparte IP-adressen voor iedere website met SSL beveiliging op een webserver.

Deze handleiding beschrijft het configureren van twee websites met SSL: site1.examplesite.net en site2.examplesite.nl. Beide websites maken gebruik van hetzelfde IP-adres maar van een eigen SSL certificaat. Op hetzelfde IP-adres configureren we voor testdoeleinden ook een onbeveiligde website: www.examplesite.net. De onbeveiligde website maakt gebruik van poort 80 in plaats van poort 443.

Benodigd zijn Apache Web server 2.2.12+ met mod_ssl en OpenSSL.

Bij gebruik van Ubuntu 10.04+ of Fedora 10 op de server wordt SNI reeds standaard ondersteund door Apache en OpenSSL. Bij gebruik van Red Hat Enterprise Linux, CentOS 5.x of Debian 5.x is het misschien nodig om Apache en OpenSSL vanuit de source te compileren. SNI wordt ondersteund vanaf Apache versie 2.2.12 en OpenSSL vanaf versie 0.9.8f.

Browser Compatibiliteit

Om het mogelijk te maken dat de SNI servers het juiste certificaat sturen bij het opzetten van een SSL verbinding, zijn er aan de client zijde browsers nodig die SNI ondersteunen. Als een browser geen SNI ondersteunt krijgt de bezoeker een 'untrusted certificate' waarschuwing.
SNI wordt door geen enkele versie van Internet Explorer op Windows XP ondersteund. Recente versies van Internet Explorer op Windows Vista en Windows 7 ondersteunen wel SNI, hetzelfde geldt voor recente versies van Firefox, Chrome en Safari.

Om deze waarschuwingen te voorkomen en toch gebruik te maken van SNI is het mogelijk om een multidomein certificaat in te zetten. Dit certificaat moet alle nodige domeinnamen bevatten en kan vervolgens in de Apache configuratie worden opgenomen in een aparte virtual host. Deze virtual host mag vervolgens geen servername bevatten, waardoor deze de requests af zal vangen waarbij geen hostname wordt opgegeven omdat de client geen SNI ondersteunt. Apache zal vervolgens wel de juiste content tonen van de opgevraagde (SNI) site, maar in combinatie met het multidomein certificaat waardoor waarschuwingen en errors worden voorkomen.

Instructies

Zorg ervoor dat mod_ssl in de Apache installatie is ingeschakeld (door het 'uncommenten' van de juiste regels in httpd.conf, bij Ubuntu of Debian gebruikt u hiervoor 'a2enmod'). Bij de meeste pakket installaties van Apache is mod_ssl standaard ingeschakeld.
Zorg ervoor dat Apache gebruik maakt van poort 443 (voor veilige verbindingen) en u virtuele hosts met namen gebruikt op deze poort.
Ga naar het IfModule mod_ssl.c blok. Deze staat afhankelijk van uw Apache instellingen in het hoofdbestand httpd.conf, het bestand ports.conf of in een specifiek mod_ssl bestand.
In dit blok vindt u de regel:
```
Listen 443
```
Voeg in dit mod_ssl.c blok de volgende regel toe:

    NameVirtualHost *:443

Op basis van deze regel weet Apache dat het gebruik moeten maken van virtuele hosts op de veilige poort.

Let op: Omdat we ook een virtuele host instellen op poort 80 (www.examplesite.net), moet de regel 'NameVirtualHost *:80' ook toegevoegd worden aan uw Apache instellingen. Gebruik hiervoor bij Ubuntu en Debian ports.conf, in de meeste andere gevallen httpd.conf.

Virtuele Hosts

Gebruik voor dit gedeelte van de handleiding aparte submappen van de hoofdmappen van de test gebruiker. Maak eerst mappen voor de domeinen:

cd /home/demo

mkdir -p public_html/www.examplesite.net/{public,private,log,cgi-bin,backup}

mkdir -p public_html/site1.examplesite.net/{public,private,log,cgi-bin,backup}

mkdir -p public_html/site2.examplesite.net/{public,private,log,cgi-bin,backup}

Ga hierna naar de Apache instellingen map voor het instellen van de virtuele host.

Instellingen onbeveiligde website

Bekijk de instellingen voor de onbeveiligde website:

    <VirtualHost *:80>

        ServerName "www.examplesite.net"

        ServerAdmin webmaster@examplesite.net

        DocumentRoot /home/demo/public_html/www.examplesite.net/public

        ErrorLog /home/demo/public_html/www.examplesite.net/log/error.log

        LogLevel warn

        CustomLog /home/demo/public_html/www.examplesite.net/log/access.log combined

        <Directory /home/demo/public_html/www.examplesite.net/public>

            Options Indexes FollowSymLinks MultiViews

            AllowOverride None

            Order allow,deny

            allow from all

            </Directory>

    </VirtualHost>

Met deze instellingen zal Apache de website 'www.examplesite.net' verbinden met poort 80.

Instelling beveiligde websites

Instelling beveiligde website 1

Maak een configuratiebestand voor de eerste van de twee beveiligde websites, site1.examplesite.net. Het configuratiebestand lijkt op die van de standaard virtuele host. Echter gebruikt site1.example.net poort 443 en voegen we aan het einde SSL instellingen toe:

    <VirtualHost *:443>

        ServerName "site1.examplesite.net"

        ServerAdmin webmaster@examplesite.net

        DocumentRoot /home/demo/public_html/site1.examplesite.net/public

        ErrorLog /home/demo/public_html/site1.examplesite.net/log/error.log

        LogLevel warn

        CustomLog /home/demo/public_html/site1.examplesite.net/log/access.log combined

        <Directory /home/demo/public_html/site1.examplesite.net/public>

            Options Indexes FollowSymLinks MultiViews

            AllowOverride None

            Order allow,deny

            allow from all

        </Directory>

        SSLEngine On

        SSLCertificateFile /var/www/certs/site1.pem

        SSLCertificateKeyFile /var/www/keys/site1.key

    </VirtualHost>

Merk op dat certificaatbestand site1.pem is en het sleutelbestand site1.key.

Instelling beveiligde website 2

Net zoals voor website 1, wordt het VirtualHost bestand voor site2.examplesite.net als volgt:

    <VirtualHost *:443>

        ServerName "site2.examplesite.net"

        ServerAdmin webmaster@examplesite.net

        DocumentRoot /home/demo/public_html/site1.examplesite.net/public

        ErrorLog /home/demo/public_html/site2.examplesite.net/log/error.log

        LogLevel warn

        CustomLog /home/demo/public_html/site2.examplesite.net/log/access.log combined

        <Directory /home/demo/public_html/site2.examplesite.net/public>

            Options Indexes FollowSymLinks MultiViews

            AllowOverride None

            Order allow,deny

            allow from all

        </Directory>

        SSLEngine On

        SSLCertificateFile /var/www/certs/site2.pem

        SSLCertificateKeyFile /var/www/keys/site2.key

    </VirtualHost>

Voor site2.example.net gebruikt u andere certificaat- en sleutelbestanden, namelijk site2.pem en site2.key.

Op basis van deze instellingen gebruikt site2.examplesite.net ook poort 443. In het geval van een enkel publiek IP-adres op de server betekent dit dat beide beveiligde websites dit IP-adres delen. Zonder gebruik van SNI zou dit niet mogelijk zijn.

Test Pagina's

Ter afronding van de installatie kunt u voor het testen van de websites enkele index pagina's maken.

Maak de index pagina voor de onbeveiligde website op:

/home/demo/public_html/www.examplesite.net/public/index.html

Voeg aan het bestand toe:

    <html>

        <head><title>WWW Test</title></head>

        <body>

                www.examplesite.net is working.

        </body>

    </html>

De locatie voor de pagina voor site1.examplesite.net zou moeten zijn:
/home/demo/public_html/site1.examplesite.net/public/index.html

Voeg aan het bestand toe:

    <html>

        <head><title>Site1 Test</title></head>

        <body>

                site1.examplesite.net is working.

        </body>

    </html>

De locatie voor de pagina voor site2.examplesite.net zou moeten zijn:

/home/demo/public_html/site2.examplesite.net/public/index.html

Inhoud voor het bestand:

    <html>

        <head><title>Site2 Test</title></head>

        <body>

                site2.examplesite.net is working.

        </body>

    </html>

Hierna moeten beide websites ingesteld worden met de eigen certificaten en documenten root.

De websites aanzetten

Voor het aanzetten van de websites zorgt u ervoor dat alle virtuele host instellingen kloppen en aan staan en/of aan te zetten.

Herstart de Apache webserver
Herstart Apache voor het toepassen van de gewijzigde instellingen.
Zorg er na de herstart voor dat Apache zowel voor de beveiligde als standaard verbinding gebruikt maakt van het 'netstat' commando. De 'grep' aan het einde van het commando zoekt naar de procesnaam:

    sudo netstat -tnlp | grep apache

    tcp 0 0 0.0.0.0:80 0.0.0.0:* LISTEN  :9965/apache2

    tcp 0 0 0.0.0.0:443 0.0.0.0:* LISTEN  :9965/apache2

Als de webserver alleen gebruik maakt van poort 80 en niet van 443, controleer dan in het configuratiebestand of mod_ssl goed is geïnstalleerd en ingeschakeld.

De onbeveiligde website zou nu bereikbaar moeten zijn via:

    http://www.examplesite.net

Apache werkt correct als u 'www.examplesite.net is working' ziet.

Bezoek vervolgens de beveiligde websites via een voor SNI geschikte webbrowser om de beveiligde verbindingen te controleren:

    https://site1.examplesite.net
    https://site2.examplesite.net

Controleer of de browser een beveiligde verbinding weergeeft (dit is doorgaans het symbool van een 'slotje'), en of de test index pagina wordt weergegeven. Via de certificaat eigenschappen in uw browser kunt u controleren of de websites de juiste SSL certificaten gebruiken.

Bij deze set-up is het delen van 1 IP-adres door alle websites het uitgangspunt. Voor het op orde houden van uw omgeving is het ook mogelijk gebruik te maken van 2 IP-adressen: 1 IP-adres voor alle standaard http websites, en 1 IP-adres voor alle https websites met SSL.