Zum Inhalt springen
Zuletzt geändert von Jens Gruber am 2022/05/25 09:01
Von Version 16.1
bearbeitet von Jonas Mayer
am 2022/05/24 23:56
Änderungskommentar: Es gibt keinen Kommentar für diese Version
Auf Version 8.1
bearbeitet von Christian Germann
am 2022/05/03 12:02
Änderungskommentar: Es gibt keinen Kommentar für diese Version

Zusammenfassung

Details

Seiteneigenschaften
Dokument-Autor
... ... @@ -1,1 +1,1 @@
1 -XWiki.jonasmayer@sbede
1 +XWiki.cge@sbede
Inhalt
... ... @@ -1,14 +1,12 @@
1 -(% style="color:#000000" %)Damit Webzugriffe auf Kopano über ein Zertifikat abgesichert sind, muss dieses zunächst auf dem LogoDIDACT-Server beantragt werden. Dies ist insbesondere für die Nutzung von Z-Push (ActiveSync-Protokoll) von hoher Relevanz.
2 -In diesem Artikel erfahren Sie, welche für Voraussetzungen es gibt und wie ein signiertes Let's Encrypt Zertifikat generiert werden kann.
1 +(% style="color:#000000" %)Damit der Webzugriff von Kopano über ein Zertifikat abgesichert ist, muss dieses erst auf dem logoDIDACT-Server generiert werden. In folgendem Artikel erfahren Sie, was für Vorrausetzungen es gibt und über welche Wege ein Zertifikat generiert werden kann.
3 3  
4 -{{toc start="4"/}}
5 5  
4 +==== (% style="color:#000000" %)__**Voraussetzungen**__(%%) ====
6 6  
7 -----
8 8  
9 -==== (% style="color:#000000" %)__Voraussetzungen__(%%) ====
7 +===== (% style="color:#000000" %)__Portweiterleitung__(%%) =====
10 10  
11 -(% style="color:#000000" %)Damit ein Zertifikat generiert werden kann, müssen folgende Ports vom vorgeschalteten Router (WAN) an den logoDIDACT-Server weitergeleitet werden:
9 +(% style="color:#000000" %)Damit ein Zertifikat generiert werden kann, müssen folgende Ports vom Router (WAN) an den logoDIDACT-Server weitergeleitet werden:
12 12  
13 13  {{code language="bash"}}
14 14  WAN (Internet) TCP-Port 80 -> auf externe IP-Adresse des logoDIDACT-Servers [http]
... ... @@ -15,7 +15,11 @@
15 15  WAN (Internet) TCP-Port 443 -> auf externe IP-Adresse des logoDIDACT-Servers [https]
16 16  {{/code}}
17 17  
16 +==== ====
18 18  
18 +(% class="wikigeneratedid" %)
19 +===== =====
20 +
19 19  ===== __Freigabe von Kopano über rev-proxy__ =====
20 20  
21 21  (% style="color:#000000" %)Erweitern Sie die ##{{code}}/etc/logodidact/hosts/rev-proxy/revproxy.conf{{/code}}## im Puppeteer-LXC um folgende Zeilen, um Kopano über den rev-proxy freizugeben, falls dies noch nicht erfolgt ist.
... ... @@ -22,7 +22,7 @@
22 22  
23 23  {{code language="bash"}}
24 24  [ReverseProxy kopano.ShortName.logoip.de]
25 -Url https://kopano
27 +Url https://kopano
26 26  Template kopano
27 27  {{/code}}
28 28  
... ... @@ -37,10 +37,11 @@
37 37  
38 38  ===== (% style="color:#000000" %)__Split-DNS__(%%) =====
39 39  
40 -(% style="color:#000000" %)Hintergrund für Split-DNS ist ein oftmals fehlerhaftes NAT-Loopback am Router. Dies stellt sicher, dass externe Adressen wie z.b. kopano.shortname.logoip.de nicht zum Router geschickt werden, sondern zum internen rev-proxy weitergeleitet werden. Dadurch wird der Router als Fehlerquelle ausgeschlossen und alle Benutzer können im Schulnetz wie auch Zuhause die gleiche URL für den Zugriff verwenden.
42 +(% style="color:#000000" %)Split-DNS muss im logosrv eingerichtet werden und sorgt für ein zuverlässiges beantragen des SSL-Zertifikates. Hintergrund für Split-DNS ist ein oftmals fehlerhaftes NAT-Loopback am Router. Dies sorgt dafür dass nicht versucht wird, interne Adressen auch intern aufzulösen sondern ins Internet geschickt werden.
41 41  
42 -(% style="color:#000000" %)Führen Sie folgende Schritte für die Einrichtung durch, falls noch nicht erfolgt.
43 43  
45 +(% style="color:#000000" %)Führen Sie folgende Schritte für die Einrichtung durch:
46 +
44 44  (% style="color:#000000" %)Öffnen Sie die Datei "named.conf.local" im logosrv:
45 45  
46 46  {{code language="bash"}}
... ... @@ -60,7 +60,7 @@
60 60  {{/code}}
61 61  
62 62  
63 -(% style="color:#000000" %)Öffnen Sie die referenzierte Datei {{box}}db.dynip{{/box}} im logosrv:
66 +(% style="color:#000000" %)Öffnen Sie die Datei "db.dynip" im logosrv:
64 64  
65 65  {{code language="bash"}}
66 66  root@logosrv:~ # vim /etc/bind/db.dynip
... ... @@ -67,7 +67,7 @@
67 67  {{/code}}
68 68  
69 69  
70 -(% style="color:#000000" %)Passen Sie gegebenenfalls die IP-Adresse in den letzten beiden Zeilen an, als Ziel muss auf den Rev-Proxy Container verwiesen werden. Im Standard lautet dessen IP-Adresse "172.28.28.27":
73 +(% style="color:#000000" %)Passen Sie gegebenenfalls die IP des Rev-Proxy Containers an. Im Standard ist diese die "172.28.28.27":
71 71  
72 72  {{code language="bash"}}
73 73  $TTL 1h
... ... @@ -82,7 +82,7 @@
82 82                   NS      ns1.schule.local.
83 83                   NS      ns2.schule.local.
84 84  
85 -@                A       172.28.28.27
88 +                 A       172.28.28.27
86 86  *                A       172.28.28.27
87 87  {{/code}}
88 88  
... ... @@ -94,13 +94,11 @@
94 94  {{/code}}
95 95  
96 96  
97 -----
100 +==== (% style="color:#000000" %)**__SSL-Zertifikat über Tool acmetool oder acme.sh anfordern__**(%%) ====
98 98  
99 -==== (% style="color:#000000" %)__SSL-Zertifikat über Tool acmetool oder acme.sh anfordern__(%%) ====
102 +(% style="color:#000000" %)Nach Schaffung der technischen Vorrausetzungen können Sie das Let's Encrypt-Zertifikat anfordern. Je nach verwendeter Software/Serverstand können Sie die folgenden 2 Wege nutzen:
100 100  
101 -(% style="color:#000000" %)Nach Schaffung der technischen Voraussetzungen können Sie das Let's Encrypt-Zertifikat anfordern. Je nach verwendeter Software/Serverstand können Sie die folgenden 2 Wege nutzen:
102 102  
103 -
104 104  ===== (% style="color:#000000" %)__acmetool__(%%) =====
105 105  
106 106  (% style="color:#000000" %)Wechseln Sie in den puppeteer Container:
... ... @@ -126,7 +126,7 @@
126 126  {{/code}}
127 127  
128 128  
129 -(% style="color:#000000" %)Wechseln Sie im puppeteer Container in die Umgebung des Benutzers le-acme zur Verwaltung der Let's Encrypt Zertifikate:
130 +(% style="color:#000000" %)Wechseln Sie im puppeteer Container in die Umgebung für das Verwalten der Zertifikate:
130 130  
131 131  {{code language="bash"}}
132 132  root@puppeteer:~ # sle
... ... @@ -133,7 +133,7 @@
133 133  {{/code}}
134 134  
135 135  
136 -(% style="color:#000000" %)Beantragen Sie ein neues Zertifikat mit folgendem Befehl (ersetzen Sie "SCHULKUERZEL" mit dem jeweiligen Shortname):
137 +(% style="color:#000000" %)Beantragen Sie ein neues Zertifikat mit folgendem Befehl (Ersetzen Sie "SCHULKUERZEL" mit dem jeweiligen Shortname):
137 137  
138 138  {{code language="bash"}}
139 139  le-acme@puppeteer:~ $ issue kopano.SCHULKUERZEL.logoip.de
... ... @@ -140,7 +140,7 @@
140 140  {{/code}}
141 141  
142 142  
143 -(% style="color:#000000" %)Um das Verteilen der Zertifikate zu beschleunigen, können Sie nacheinander einen {{box}}prun{{/box}} im puppeteer und rev-proxy Container durchführen:
144 +(% style="color:#000000" %)Um das verteilen der Zertifikate zu beschleunigen können Sie ggf. einen prun im puppeteer und rev-proxy Container durchführen:
144 144  
145 145  {{code language="bash"}}
146 146  root@puppeteer:~ # prun