luci UI po https

Milí majitelé routerů Turris,

toto fórum bylo 9. 12. 2016 zmrazeno a nahrazeno naším novým Turris fórem. Ještě chvíli bude dostupné k prohlížení, ale již zde není možné přispívat. Více informací naleznete v oznámení o uzavření fóra.

Dear Turris routers users,

this forum has been frozen on Dec 9th, 2016 and replaced by our new Turris forum. It will be read-only accessible for some time after. For more information, read the announcement about closing the forum.

Od Ondřej Caletka (>>>)

Dne 2014-05-05 12:12

V nové verzi Turrisu se o všechny webové služby stará lighttpd. K zprovoznění SSL tedy postupujte podle dokumentace Lighttpd.

Doporučuji přidat soubor /etc/lighttpd/conf.d/ssl.conf například s následujícím obsahem:


$SERVER["socket"] == "0.0.0.0:443" {
        ssl.engine  = "enable"
        ssl.pemfile = "/etc/lighttpd/certfikat_a_priv_klic.pem"
        ssl.ca-file = "/etc/lighttpd/ca-chain.pem"

        ssl.cipher-list = "ECDHE-RSA-AES256-SHA384:AES256-SHA256:!RC4:HIGH:!MD5:!aNULL:!RSA:!AESGCM"
        ssl.honor-cipher-order = "enable"
}

$SERVER["socket"] == "[::]:443" {
        ssl.engine  = "enable"
        ssl.pemfile = "/etc/lighttpd/certfikat_a_priv_klic.pem"
        ssl.ca-file = "/etc/lighttpd/ca-chain.pem"

        ssl.cipher-list = "ECDHE-RSA-AES256-SHA384:AES256-SHA256:!RC4:HIGH:!MD5:!aNULL:!RSA:!AESGCM"
        ssl.honor-cipher-order = "enable"
}

Od Pospa

Dne 2014-05-05 13:32

Mam self issued certifikat, takze konfigurace je jeste jednoduzsi. Nicmene muj problem byl, ze jsem mel ssl klic definovany pro cely server a ne jen pro konkretni binding Dostaval jsem pak chybu

(network.c.747) SSL: Private key does not match the certificate public key, reason: error:02001002:lib(2):func(1):reason(2) etc/lighttpd/certs/key.pem

po drobnem laborovani funguje. jen doporucuju bind adresu dat ":443" a ne "0.0.0.0:443".

Od Ondřej Caletka (>>>)

Dne 2014-05-05 13:57

Dvojice soketů je doporučené nastavení pro podporu IPv6. Při uvedení jen ":443" server poslouchá jen jednom ze soketů, což není doporučené nastavení.

Od Pospa

Dne 2014-05-05 20:53

No server vzdy pro jeden endpoind posloucha jen na jedinem socketu (nedokazu si predstavit, jak jinak by to mohlo fungovat). Nicméně zminoval jsem konfiguraci pro IPv4. Když je v konfiguraci 0.0.0.0:443 mi http server odpovidal jen na jedne ze 3 verejnych IP adres. Na IPv6 nemuzu zkontrolovat z WAN, neb nemam jinde IPv6 konektivitu