Hoppa till innehåll
Dokumentation sslbrain sslbrain.com

Apache HTTP Server

Kopiera länk till sidan “Apache HTTP Server”

← Alla integrationer

Linux · Webbserver

Hittar inlästa VirtualHost-block med TLS, byter valt RSA- eller ECDSA-certifikat och läser om konfigurationen kontrollerat.

Serviceagenten på servern hämtar uppgiften från appliancen över utgående HTTPS på port 443 och installerar certifikatet lokalt på servern. Appliancen ansluter aldrig till servern.

Så går det till

  1. Serviceagenten på servern hämtar uppgiften från appliancen över utgående HTTPS, port 443.
  2. Discovery hittar inlästa VirtualHosts och deras ordnade certifikat- och nyckelplatser. Välj sökvägarna till den RSA- eller ECDSA-plats som ska ändras.
  3. Certifikat och nyckel valideras och förbereds vid målfilerna. Kända nyckelkonflikter avvisas före ändringar; tidigare filer sparas skyddat för återställning.
  4. Filerna byts, konfigurationen kontrolleras och Apache läses om. Återställning sker bara när den tidigare fungerande tjänsten observeras trasig efter bytet. En tjänst som körs läses om med de återställda filerna; bara en stoppad tjänst startas.
  5. Kontroll använder tjänstens huvudprocess och lokala TLS-svar för den valda platsen. En accepterad omläsning utan tillräckliga belägg rapporteras med varning.

Tekniska detaljer

Anslutning
Paketet körs genom serviceagenten på servern. Agenten ansluter över utgående HTTPS till appliancen, port 443 som standard. Ni öppnar ingen port in till servern.
Tjänstens portar
443, 80
Ni behöver
Serviceagenten installerad på servern. SSH-konto som kan läsa inläst konfiguration och certifikat, skriva de valda filerna och deras kataloger samt köra fasta configtest-, reload- och startkommandon via begränsad sudo.
Plattform
Apache 2.4 och senare
Åtgärder
Discovery, Installation, Kontroll; ingen rollback-åtgärd
Paket
apache-ssh 1.4.1
Observera
  • Discovery frågar den körande Apache var konfigurationen ligger: processens -f och -d, annars systemd-enheten, annars apache2 -V eller httpd -V. Include och IncludeOptional följs. Deploy godtar även filer utanför standardkatalogerna när en VirtualHost i den aktiva konfigurationen använder just de filerna.
  • SSH-inloggning kan använda lösenord eller privat nyckel. Filer skrivs som detta konto; sudo ger bara tillgång till fasta tjänstekommandon. Okänd inläst konfiguration markeras ofullständig.
  • Lokala TLS-fält för värd, port och SNI är valfria; annars används kända inlästa lyssnare. RELOAD=false skriver bara filer och varnar om obekräftad aktivering. Deploy-kontrollen visar mellanliggande certifikat; verify rapporterar kedjans tillit och namnmatchning separat. Obekräftad aktivering blockerar inte en senare förnyelse, men oklar återställning rapporteras som ett fel.
  • För ett mod_md-hanterat namn kan valfritt TARGET_SERVER_NAME välja övertagande. Certifikatet måste täcka alla namn; bara den valda deklarationen byter till statiska filer och manuell förnyelse. Kontot måste kunna skriva konfigurationsfilen och dess katalog. Andra hanterade namn bevaras. Förnyelse av befintliga statiska mod_md-filer kräver ingen konfigurationsändring.
  • Alpine/musl och BusyBox-miljöer stöder samma valda certifikatsökvägar. Installera Bash, OpenSSL, GNU coreutils och flock från util-linux; BusyBox ersätter inte Bash. Sökvägarnas längd och tillåtna tecken kontrolleras även på Alpine.

Kom igång