Re: Partitionierung fuer Jails

Nicola Tiling <nt(at)w4w.net> wrote:
> Alvar Freude wrote:
> > http und https können doch im gleichen Jail auf dem gleichen
> > Server laufen. Oder verstehe ich da was falsch?
>
> Für eine IP kann ich genau einen HTTP/SSL Server mit eigenem Zertifikat
> konfigurieren. Das langt nicht.

Alvar hat recht. Du hast nicht ganz verstanden, was er
schrieb.

Ein SSL-Zertifikat bezieht sich immer auf einen Namen,
nicht auf eine IP-Adresse. Du kannst also durchaus in
einem Jail mehrere Zertifikate verwenden, die sich auf un-
terschiedliche (Domain-)Namen beziehen. Daß es nur eine
IP-Adresse im Jail gibt, ist wurscht; das hat mit den Zer-
tifikaten nichts zu tun. Du kannst die unterschiedlichen
Domains auf unterschiedlichen Port-Adressen laufen lassen.
Das funktioniert sowohl mit einem einzigen Apachen, in dem
mehrere virtuelle Hosts konfiguriert sind, als auch mit
mehreren verschiedenen Apache-Instanzen, wobei jede Instanz
für einen Webserver konfiguriert ist.

Du mußt dann natürlich dafür sorgen, daß die Verbindungen,
die »außen« ankommen, auf die richtige Port-Adresse im Jail
weitergeleitet werden. Das kann man beispielsweise mit
IPFW FWD machen. Wie das genau geht, wurde schon mehrfach
in dieser Liste diskutiert.

Das sieht dann also so aus (Beispiel für Port 443; mit Port
80 geht's natürlich ebenso):

        Host: Jail:
        ----- -----
        123.234.78.89:443 --> 127.0.1.2:1443
        135.246.57.68:443 --> 127.0.1.2:2443
        111.222.36.47:443 --> 127.0.1.2:3443
        ... ...

Da der/die Apache(n) im Jail nicht auf einem Port < 1024
lauschen müssen, brauchst Du ihn/sie theoretisch nicht
einmal als root zu starten.

Gruß
   Olli

-- 
Oliver Fromme,  secnetix GmbH & Co. KG, Marktplatz 29, 85567 Grafing
Dienstleistungen mit Schwerpunkt FreeBSD: http://www.secnetix.de/bsd
Any opinions expressed in this message may be personal to the author
and may not necessarily reflect the opinions of secnetix in any way.
"With sufficient thrust, pigs fly just fine.  However, this
is not necessarily a good idea.  It is hard to be sure where
they are going to land, and it could be dangerous sitting
under them as they fly overhead." -- RFC 1925
To Unsubscribe: send mail to majordomo(at)de.FreeBSD.org
with "unsubscribe de-bsd-questions" in the body of the message