Configurar Apache HTTPS Reverse-Proxy

Exponer OpenKM directamente desde Tomcat puede ser peligroso si necesita que se acceda a la aplicación desde Internet (por ejemplo https://issues.jboss.org/browse/JBAS-3861). Como resultado, puede resultar infectado por PerlBot. Además, este puerto 8080 puede estar bloqueado por un cortafuegos. Por estas razones, es una buena práctica exponer su instalación de OpenKM a través del puerto web estándar 80. En los siguientes pasos explicamos cómo configurar Apache para gestionar estas peticiones y reenviarlas al servidor de aplicaciones Tomcat mediante el protocolo AJP13.

De la documentación de Apache: el protocolo AJP13 está orientado a paquetes. Presumiblemente se eligió un formato binario en lugar del texto plano, más legible, por razones de rendimiento. El servidor web se comunica con el contenedor de servlets mediante conexiones TCP. Para reducir el costoso proceso de creación de sockets, el servidor web intentará mantener conexiones TCP persistentes con el contenedor de servlets y reutilizar una conexión para varios ciclos de petición/respuesta.

IP interna frente a IP externa

Se puede acceder a su OpenKM desde dos zonas diferentes: Internet y la LAN. Esto significa que, para acceder a este servidor, necesita utilizar dos IP: la IP externa (Internet) y la IP interna (LAN).

La dirección IP interna (también conocida como “dirección IP local”) es la que asigna el router de su red local y que a menudo empieza por 192.168.x.x. Estas direcciones IP solo pueden ser vistas por otros equipos de su red local (LAN) y no por ningún equipo conectado a una red externa como Internet.

Para llegar a Internet o a un equipo de otra red, a su equipo suele asignársele una dirección IP externa, que puede utilizarse después para referirse al equipo de su red local.

En la imagen anterior hay tres equipos en la red local a los que el router ha asignado a cada uno su propia dirección IP interna. El ISP está conectado al router y le proporciona una dirección IP externa que le permite comunicarse con Internet. En Internet todo el mundo ve su dirección IP externa, pero cualquier información que llega desde el router se “convierte” de la dirección IP externa a la dirección IP interna.

Así, si desea que su instalación de OpenKM sea accesible tanto desde la LAN como desde Internet, el truco consiste en configurar los equipos cliente para que resuelvan su IP interna (192.168.0.50) si están dentro de la LAN o la IP externa si están en Internet. Para resolver la IP de Internet (67.166.214.148), su equipo utiliza el DNS público. Por tanto, necesita configurar una especie de servidor DNS dentro de la LAN o modificar el archivo host de cada cliente para que resuelva a la IP interna.

Debian y Ubuntu

El primer paso es instalar el software Apache necesario. En Debian / Ubuntu puede instalar Apache con un solo comando:

$ sudo apt-get install apache2

Edite el archivo /etc/apache2/apache2.conf y configure un ServerName para evitar advertencias en el proceso de arranque de Apache:

$ vim /etc/apache2/apache2.conf

ServerRoot "/etc/apache2"
ServerName "your-domain.com"

Nota

Editar apache2.conf es opcional.

Habilite el módulo proxy:

$ sudo a2enmod proxy_ajp
$ sudo a2enmod proxy_wstunnel

Precaución

Para que websocket funcione, también necesita Tomcat 7.0.61 o posterior. Tenga en cuenta que el módulo proxy_wstunnel requiere Apache 2.4.5 o posterior. Consulte la documentación del módulo de Apache.

 Cree los certificados

$ sudo mkdir /etc/apache2/ssl
$ sudo /usr/sbin/make-ssl-cert /usr/share/ssl-cert/ssleay.cnf /etc/apache2/ssl/apache.pem
$ sudo a2enmod ssl

Nota

Si necesita convertir archivos .pem a crt, utilice el comando:

$ openssl x509 -in cacert.pem -out cacert.crt

Consejo

También puede interesarle Configurar OpenSSL.

Asegúrese de que el puerto 443 está configurado para escuchar en /etc/apache2/ports.conf:

$ cat /etc/apache2/ports.conf | grep Listen

Cree el archivo de configuración /etc/apache2/sites-available/openkm.conf con este contenido:

$ vim /etc/apache2/sites-available/openkm.conf

<VirtualHost *:443>
  ServerName openkm.your-domain.com
  RedirectMatch ^/$ /OpenKM

  # WebSocket support - needs proxy-wstunnel
  ProxyPass /OpenKM/frontend/webSocket wss://127.0.0.1:8080/OpenKM/frontend/webSocket
  ProxyPassReverse /OpenKM/frontend/webSocket wss://127.0.0.1:8080/OpenKM/frontend/webSocket

  ProxyPass /OpenKM ajp://127.0.0.1:8009/OpenKM
  ProxyPassReverse /OpenKM https://openkm.your-domain.com/OpenKM

  ErrorLog /var/log/apache2/openkm.your-domain.com-error.log
  CustomLog /var/log/apache2/openkm.your-domain.com-access.log combined

  SSLEngine on
  SSLCertificateFile /etc/apache2/ssl/apache.pem
</VirtualHost>

Nota

Cambie openkm.your-domain.com por la IP de su servidor o por el valor de su dominio.

El ServerName del VirtualHost debe ser diferente del ServerName de la configuración principal de Apache. Habilite esta configuración de sitio:

$ cd /etc/apache2/sites-available/
$ sudo a2ensite openkm.conf

Redirigir todas las conexiones HTTP a HTTPS

Nota

Este paso es opcional.

Edite el archivo de configuración /etc/apache2/sites-available/openkm.conf y añada este contenido 

$ vim /etc/apache2/sites-available/openkm.conf

<VirtualHost *:80>
  ServerName openkm.your-domain.com
  Redirect permanent / https://openkm.your-domain.com/
</VirtualHost>

Comprobar la configuración

Reinicie Apache:

$ sudo /etc/init.d/apache2 restart

Compruebe el acceso a su instalación de OpenKM desde https://openkm.your-domain.com/.  

Consejo

Otra ventaja de utilizar Apache es que puede registrar los accesos a OpenKM y generar estadísticas web.

Nota

Para comprobar los archivos de configuración puede ejecutar el comando:

$ /usr/sbin/apache2 -t

Red Hat y CentOS

Utilice el gestor de aplicaciones yum para instalar Apache:

$ sudo yum install httpd

Habilítelo en el arranque:

$ sudo chkconfig httpd --level 2345 on

Cree el certificado

$ sudo yum install mod_ssl openssl crypto-utils

Genere las claves privadas (para más información visite Apache HTTP Secure Server Configuration)

$ genkey your-domain.com

Nota

Normalmente querrá generar autocertificados y no enviarlos a una Autoridad de Certificación. Es una buena práctica establecer una contraseña en la clave privada, pero en ese caso se le pedirá cada vez que reinicie el servicio Apache.

Consejo

También puede interesarle Configurar OpenSSL.

Durante el proceso se generarán dos archivos en:

ReplaceSSLCertificateFile /etc/pki/tls/certs/your-domain.com.cert
SSLCertificateKeyFile /etc/pki/tls/private/your-domain.com.key

Ahora cree el archivo /etc/httpd/conf.d/openkm.conf con este contenido:

$ vim /etc/httpd/conf.d/openkm.conf

<VirtualHost *:443>
  ServerName openkm.your-domain.com
  ProxyPass / ajp://localhost:8009/OpenKM/
  ProxyPassReverse / http://your-domain.com/OpenKM/
  ErrorLog /var/log/your-domain.com-error.log
  CustomLog /var/log/your-domain.com-access.log combined

  SSLEngine on
  SSLCertificateFile /etc/pki/tls/certs/your-domain.com.cert
  SSLCertificateKeyFile /etc/pki/tls/private/your-domain.com.key
</VirtualHost>

Nota

Cambie openkm.your-domain.com por la IP de su servidor o por el valor de su dominio.

Por último, debe modificar los valores SSLCertificateFile y SSLCertificateKeyFile del archivo /etc/httpd/conf.d/ssl.conf:

$ vim /etc/httpd/conf.d/ssl.conf

SSLCertificateFile /etc/pki/tls/certs/your-domain.com.cert
SSLCertificateKeyFile /etc/pki/tls/private/your-domain.com.key

Comprobar la configuración

Reinicie Apache:

$ sudo /etc/init.d/httpd restart

Compruebe el acceso a su instalación de OpenKM desde https://openkm.your-domain.com/.  

Consejo

Otra ventaja de utilizar Apache es que puede registrar los accesos a OpenKM y generar estadísticas web.

Error Permission denied: proxy: AJP: attempt to connect

Si en el registro aparece un error como Permission denied: proxy: AJP: attempt to connect, para solucionarlo ejecute el siguiente comando:

$ /usr/sbin/setsebool httpd_can_network_connect 1

Si funciona, haga que la configuración sea permanente para que persista tras los reinicios:

$ /usr/sbin/setsebool -P httpd_can_network_connect 1

Resolución de problemas

Si ve un error como:

Peligro

Invalid command ‘RewriteEngine’, perhaps misspelled or defined by a module not included in the server configuration

Debe habilitar este módulo de Apache:  

$ sudo a2enmod rewrite
$ sudo a2enmod proxy_http
$ sudo a2enmod headers

Información adicional 

• Apache Module mod_proxy
• Apache Module mod_proxy_ajp
• Apache Module mod_rewrite
• mod_rewrite, a beginner’s guide
• Using Apache Virtual Hosts and ProxyPass Together
• Rewrite HTTP To HTTPS
• Redirect to SSL
• Configuración SSL de Tomcat
• How To Create a SSL Certificate on Apache for CentOS 6