Quelltext der Seite ISPConfig ab 3.1.x - Webinterface als Subdomain auf Port 443 https einrichten

[[Kategorie:Apache2]]
[[Kategorie:ISPConfig]]
<u>'''Changelog:'''</u><br>
* 24.04.2023 Anpassung an ISPConfig 3.2
----
Normalerweise verbirgt sich das ISPConfig Interface hinter dem Port '''8080'''<br>
Dieser Port ist natürlich nicht aus jedem Netzwerk erreichbar - insbesondere aus Firmennetzwerken.<br>
<br>
Also machen wir das Interface über den Port 443 (= https) erreichbar, und zwar unter einer eigenen Subdomain!<br>
<br>
----
==Subdomain in ISPConfig anlegen==
Wir legen einfach eine neue Webseite in ISPConfig an:<br>
 ispconfig.euredomain.suffix
ich z.B. also
 ispconfig.znil.net
:[[Datei:ISPConfig-3.1-hinter-Subdomain-und-https-001.png]]<br>
Den Haken bei '''''Let's Encrypt SSL:''''' setzen wir auch gleich - so geht es von überall ohne Zertifikatswarnungen.<br>
<br><!--
:[[Datei:ISPConfig-3.1-hinter-Subdomain-und-https-002.png]]<br>
Auf dem 2. Reiter {{Key|Redirect}} setzen wir auch den Haken bei '''''Rewrite HTTP to HTTPS'''''.<br>
<br>-->
Nun warten wir einen Moment bis ISPConfig uns die Seite angelegt und das Zertifikat erstellt hat. Dauert bei der neuen Version keine 2 Minuten.<br>
Wenn Ihr die Subdomäne schon bei euren Domänen-Hoster angelegt habt bzw. es diese im DNS angelegt ist könnt Ihr schon auf die Seite zugreifen - er müsste euch die Standard-Seite des Apache2 zeigen.<br>
<br>
<br>
----

==.vhost Datei bearbeiten==
Wir melden uns per SSH / puTTY auf unserem Server mit dem installiertem ISPConfig 3.2.x an und bearbeiten die <code>.vhost</code> Datei unserer Subdomain.<br>
Da meine Subdomain '''ispconfig.znil.net''' heisst, muss ich folgende Datei bearbeiten:<br>
 nano /etc/apache2/sites-available/ispconfig.znil.net.vhost
In der Datei löschen wir (fast) alles zwischen den VirtualHost Einträgen und ersetzen den Inhalt wie folgt:<br>
* <span style="background:yellow">Alles was Gelb hinterlegt ist müsst Ihr an den Namen eurer Subdomain oder eurer IP-Adresse anpassen!</span>
* <span style="background:lightgreen">Alles was Grün hinterlegt übernehmt Ihr aus der Original-Datei - also NICHT löschen. Das sind die Zeilen mit dem Pfad zum SSL-Zertifikat</span>
 <VirtualHost <span style="background:yellow">192.168.42.10</span>:80>
 
                 ServerName <span style="background:yellow">ispconfig.znil.net</span>
                 ServerAdmin <span style="background:yellow">admin@znil.net</span>
 
                 Redirect permanent / <span style="background:yellow"><nowiki>https://ispconfig.znil.net</nowiki></span>
 </VirtualHost>
 
 <VirtualHost <span style="background:yellow">192.168.42.10</span>:443>
 
         ServerName <span style="background:yellow">ispconfig.znil.net</span>
         ServerAdmin <span style="background:yellow">webmaster@znil.net</span>
 
         <Directory /var/www/ispconfig/>
                 <FilesMatch "\.ph(p3?|tml)$">
                         SetHandler None
                 </FilesMatch>
        </Directory>
        <Directory /usr/local/ispconfig/interface/web/>
                 <FilesMatch "\.ph(p3?|tml)$">
                        SetHandler None
                 </FilesMatch>
       </Directory>
 
       <IfModule mod_fcgid.c>
              DocumentRoot /var/www/ispconfig/
              SuexecUserGroup ispconfig ispconfig
              <Directory /var/www/ispconfig/>
                     Options -Indexes +FollowSymLinks +MultiViews +ExecCGI
                     AllowOverride AuthConfig Indexes Limit Options FileInfo
                     <FilesMatch "\.php$">
                            SetHandler fcgid-script
                     </FilesMatch>
                     FCGIWrapper /var/www/php-fcgi-scripts/ispconfig/.php-fcgi-starter .php
                     Require all granted
             </Directory>
             IPCCommTimeout  7200
             MaxRequestLen 15728640
       </IfModule>
 
      <IfModule mpm_itk_module>
             DocumentRoot /usr/local/ispconfig/interface/web/
             AssignUserId ispconfig ispconfig
             AddType application/x-httpd-php .php
             <Directory /usr/local/ispconfig/interface/web>
                    # php_admin_value open_basedir "/usr/local/ispconfig/interface:/usr/share:/tmp"
                    Options +FollowSymLinks
                    AllowOverride None
                    Require all granted
                    php_value magic_quotes_gpc        0
             </Directory>
      </IfModule>
 
      # ErrorLog /var/log/apache2/error.log
      # CustomLog /var/log/apache2/access.log combined
      ServerSignature Off
      <IfModule mod_security2.c>
             SecRuleEngine Off
      </IfModule>
      # SSL Configuration
 
      # SSL Configuration
      SSLEngine On
      SSLProtocol All -SSLv3 -TLSv1 -TLSv1.1
      <span style="background:lightgreen">SSLCertificateFile /var/www/clients/client0/web1/ssl/webdghb.znil.org-le.crt</span>
      <span style="background:lightgreen">SSLCertificateKeyFile /var/www/clients/client0/web1/ssl/webdghb.znil.org-le.key</span>
      SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384
      SSLHonorCipherOrder On
 
     <IfModule mod_headers.c>
            # ISPConfig 3.1 currently requires unsafe-line for both scripts and styles, as well as unsafe-eval
            Header set Content-Security-Policy "default-src 'self' 'unsafe-inline' 'unsafe-eval'; img-src 'self' data:; object-src 'none'"
            Header set Content-Security-Policy "default-src 'self' 'unsafe-inline' 'unsafe-eval'; img-src 'self' data:; object-src 'none'; upgrade-insecure-requests"
            Header set X-Content-Type-Options: nosniff
            Header set X-Frame-Options: SAMEORIGIN
            Header set X-XSS-Protection: "1; mode=block"
            Header always edit Set-Cookie (.*) "$1; HTTPOnly"
            Header always edit Set-Cookie (.*) "$1; Secure"
            <IfVersion >= 2.4.7>
                   Header setifempty Strict-Transport-Security "max-age=15768000"
            </IfVersion>
            <IfVersion < 2.4.7>
                   Header set Strict-Transport-Security "max-age=15768000"
            </IfVersion>
                  RequestHeader unset Proxy early
     </IfModule>
 
     SSLUseStapling On
     SSLStaplingResponderTimeout 5
     SSLStaplingReturnResponderErrors Off
  </VirtualHost>
 
 <IfModule mod_ssl.c>
         SSLStaplingCache shmcb:/var/run/ocsp(128000)
 </IfModule>
 
Anpassen müsst Ihr:<br>
* Die IP bei den '''''VirtualHost''''' einträgen - lasst die beim löschen am besten stehen<br>
* '''''ServerName''''' und '''''ServerAdmin''''' auch beim löschen stehen lassen<br>
* Bei '''''Redirect permanent''''' eure Subdomain eintragen (https!)<br>
* Bei '''''SSLCertificateFile''''' und '''''SSLCertificateKeyFile''''' halt eure Pfade - am besten lasst Ihr diese Zeilen beim löschen ebenfalls stehen!<br>
{{Tipp| Mit der Taste {{Key|F9}} könnt Ihr in '''''nano''''' eine Zeile löschen, mit {{Key|F10}} fügt Ihr die zuletzt gelöschten wieder ein!}}<br>
<br>
Nun noch speichern und mit<br>
 service apache2 restart
bzw.
 systemctl reload apache2
den Webserver neu starten. Und schon funktioniert es! Im Webbrowser einmal {{Key|F5}} drücken und schon sollte die Anmeldeseite von ISPConfig 3.1.x kommen!<br>
<br>
<br>
----

==Erklärung der Lösung==
Warum das nicht nach der alten Proxy Methode funktioniert kann ich auch nicht sagen, eventuell gibt es eine HTTP_REDIRECT Prüfung oder ähnliches.<br>
Nach vielen - ergebnislosen - probieren und etwas nachdenken fand ich dann aber die oben stehende Lösung.<br>
In der Datei<br>
 /etc/apache2/sites-available/ispconfig.vhost
steht die normale Konfiguration für die ISPConfig Webseite drin. Also das diese auf Port 8080 lauschen soll und welches Zertifikat usw.<br>
Den Inhalt dieser Datei habe ich einfach - bis auf wenige Zeilen - in die '''''.vhost''''' Datei meiner Subdomain übertragen - und schon ging das.<br>
Die Seite wird nun also 2 x gehostet - einmal im Original und dem selbst signierten Zertifikat auf Port 8080 und einmal mit dem Let's Encrypt Zertifikat in der Subdomain.<br>
<br>
<br>
----
==Kommentare==
<comments />