JBoss Application Server wiele domen i certyfikaty SSL

Question

mam dwie różne domeny

• example1.com
• example2.com

Każda domena ma swój własny certyfikat SSL.

Co próbuję teraz zrobić, to używanie obu domen dla tej samej instancji WildFly, obsługującej SSL.

Dokumentacja WildFly stwierdza, że ​​mogę odwołać się tylko do pojedynczego certyfikatu w magazynie kluczy. Tak więc nie mogę po prostu zdefiniować pojedynczego <security-realm> z jednym magazynem kluczy zawierającym oba certyfikaty.

W ten sposób zdefiniowałem dwa różne <security-realm>. Jeden dla każdej domeny.

<security-realm name="RealmExample1"> 
       <server-identities> 
        <ssl> 
         <keystore path="example1.jks" keystore-password="secret" /> 
        </ssl> 
       </server-identities> 
       ... 
      </security-realm> 

    <security-realm name="RealmExample2"> 
       <server-identities> 
        <ssl> 
         <keystore path="example2.jks" keystore-password="secret2" /> 
        </ssl> 
       </server-identities> 
       ... 
      </security-realm> 

Nie mogę jednak dodać dwóch domen bezpieczeństwa do pojedynczego hosta.

<server name="default-server"> 
       <http-listener name="default" socket-binding="http" redirect-socket="https-ext"/> 
       <https-listener name="default-ssl" security-realm="UndertowRealm" socket-binding="https"/> 
       <host name="default-host" alias="localhost"> 
        <filter-ref name="central-basic-auth"/> 
       </host> 
      </server> 

Teraz, jeśli mogę zdefiniować serwer dla każdej domeny, nie mogę odwołać samą HTTP/HTTPS wiążącą słuchacza, ponieważ porty są zablokowane.

Jedyne rozwiązanie, jakie znalazłem do tej pory, to posiadanie dwóch publicznych adresów IP i zdefiniowanie dwóch interfejsów oraz powiązanie gniazda http/https dla każdego interfejsu. Następnie jestem w stanie zdefiniować dwa serwery z innym aliasem i różnymi powiązaniami z gniazdami.

Od tej chwili WildFly niestety nie obsługuje SNI.

Czy istnieje inne możliwe rozwiązanie?

Answer 1

Chociaż mogłoby to nieco skomplikować twoje wdrożenie, czy rozważałeś wprowadzenie serwera httpd Apache przed serwerem Wildfly? Nie byłoby to trudne i wspiera SNI. Trzeba by zmienić swoje certyfikaty dla Apache, ale potem, z Apache wirtualnego hostingu można mieć coś takiego:

<VirtualHost _default_:443> 
    ServerName www.firstdomain.com 
    ProxyPreserveHost on 
    ProxyPass/http://localhost:8080/ 
    ProxyTimeout 360 
</VirtualHost> 

w pierwszym pliku wirtualnego hosta oraz:

<VirtualHost _default_:443> 
    ServerName www.seconddomain.com 
    ProxyPreserveHost on 
    ProxyPass/http://localhost:9080/ # if it is a different instance or 
    ProxyPass/http://localhost:8080/app2 # if it the same instance, different webapp 
    ProxyTimeout 360 
</VirtualHost> 

Znowu problemy są takie, że masz inny proces do utrzymania i musisz skonfigurować SSL dla Apache. Ale można użyć Apache zrobić SSL, a jeśli chcesz, rzeczy takie jak:

Header set Content-Security-Policy ... 
Header set X-XSS-Protection "1; mode=block" 

Ta konfiguracja działa dobrze dla mnie z jednej Tomcat lub JBoss Application Server za Apache.