Configurar Apache HTTPS Reverse-Proxy

Exponer OpenKM directamente desde Tomcat puede ser peligroso si necesita que se acceda a la aplicación desde Internet (por ejemplo https://issues.jboss.org/browse/JBAS-3861). Como resultado, puede resultar infectado por PerlBot. Además, este puerto 8080 puede estar bloqueado por un cortafuegos. Por estas razones, es una buena práctica exponer su instalación de OpenKM a través del puerto web estándar 80. En los siguientes pasos explicamos cómo configurar Apache para gestionar estas peticiones y reenviarlas al servidor de aplicaciones Tomcat mediante el protocolo AJP13.

De la documentación de Apache: el protocolo AJP13 está orientado a paquetes. Presumiblemente se eligió un formato binario en lugar del texto plano, más legible, por razones de rendimiento. El servidor web se comunica con el contenedor de servlets mediante conexiones TCP. Para reducir el costoso proceso de creación de sockets, el servidor web intentará mantener conexiones TCP persistentes con el contenedor de servlets y reutilizar una conexión para múltiples ciclos de petición/respuesta.

IP interna frente a IP externa

Su OpenKM puede accederse desde dos zonas distintas: Internet y LAN. Esto significa que, para acceder a este servidor, necesita utilizar dos IP: la IP externa (Internet) y la IP interna (LAN).

La dirección IP interna (también conocida como “dirección IP local”) es la dirección que asigna el router de su red local y que suele empezar por 192.168.x.x. Estas direcciones IP solo pueden ser vistas por otros equipos de su red local (LAN) y no por ningún equipo conectado a una red externa como Internet.

Para llegar a Internet o a un equipo de otra red, a su equipo se le suele asignar una dirección IP externa, que puede utilizarse después para referirse al equipo de su red local.

En la imagen anterior hay tres equipos en la red local a cada uno de los cuales el router ha asignado su propia dirección IP interna. El ISP está conectado al router y le proporciona una dirección IP externa que le permite comunicarse con Internet. En Internet todos ven su dirección IP externa, pero cualquier información que llega al router se “convierte” de la dirección IP externa a la dirección IP interna.

Así, si desea que su instalación de OpenKM sea accesible tanto desde la LAN como desde Internet, el truco consiste en configurar los equipos cliente para que resuelvan su IP interna (192.168.0.50) si están dentro de la LAN o la IP externa si están en Internet. Para resolver la IP de Internet (67.166.214.148), su equipo utiliza el DNS público. Por tanto, necesita configurar una especie de servidor DNS dentro de la LAN o modificar el archivo host de cada cliente para que resuelva a la IP interna.

Debian y Ubuntu

Lo primero es instalar el software de Apache necesario. En Debian/Ubuntu puede instalar Apache con un solo comando:

$ sudo apt-get install apache2

Edite el archivo llamado /etc/apache2/apache2.conf y configure un ServerName para evitar advertencias en el proceso de arranque de Apache:

$ vim /etc/apache2/apache2.conf

ServerRoot "/etc/apache2"
ServerName "your-domain.com"

Nota

Editar apache2.conf es opcional.

Habilite el módulo proxy:

$ sudo a2enmod proxy_ajp
$ sudo a2enmod proxy_wstunnel

Precaución

Para que websocket funcione, también necesita Tomcat 7.0.61 o posterior. Tenga en cuenta que el módulo proxy_wstunnel requiere Apache 2.4.5 o posterior. Consulte la documentación del módulo de Apache.

 Cree los certificados

$ sudo mkdir /etc/apache2/ssl
$ sudo /usr/sbin/make-ssl-cert /usr/share/ssl-cert/ssleay.cnf /etc/apache2/ssl/apache.pem
$ sudo a2enmod ssl

Nota

Si necesita convertir archivos .pem a crt, utilice el comando:

$ openssl x509 -in cacert.pem -out cacert.crt

Consejo

También puede interesarle Configurar OpenSSL.

Asegúrese de que el puerto 443 está configurado para escuchar en /etc/apache2/ports.conf:

$ cat /etc/apache2/ports.conf | grep Listen

 Cree el archivo de configuración /etc/apache2/sites-available/openkm.conf con este contenido:  

$ vim /etc/apache2/sites-available/openkm.conf

<VirtualHost *:443>
  ServerName openkm.your-domain.com
  RedirectMatch ^/$ /openkm

  # WebSocket support - needs proxy-wstunnel
  ProxyPass /openkm/frontend/webSocket wss://127.0.0.1:8080/openkm/frontend/webSocket
  ProxyPassReverse /openkm/frontend/webSocket wss://127.0.0.1:8080/openkm/frontend/webSocket

  ProxyPass /openkm ajp://127.0.0.1:8009/openkm
  ProxyPassReverse /openkm https://openkm.your-domain.com/openkm

  ErrorLog /var/log/apache2/openkm.your-domain.com-error.log
  CustomLog /var/log/apache2/openkm.your-domain.com-access.log combined

  SSLEngine on
  SSLCertificateFile /etc/apache2/ssl/apache.pem
</VirtualHost>

Nota

Cambie openkm.your-domain.com por la IP de su servidor o por el valor de su dominio.

El ServerName del VirtualHost debe ser diferente del ServerName de la configuración principal de Apache. Habilite esta configuración de sitio:

$ cd /etc/apache2/sites-available/
$ sudo a2ensite openkm.conf

Redirigir todas las conexiones HTTP a HTTPS

Nota

Este paso es opcional.

Edite el archivo de configuración /etc/apache2/sites-available/openkm.conf y añada este contenido 

$ vim /etc/apache2/sites-available/openkm.conf

<VirtualHost *:80>
  ServerName openkm.your-domain.com
  Redirect permanent / https://openkm.your-domain.com/
</VirtualHost>

Comprobar la configuración

Reinicie Apache:

$ sudo /etc/init.d/apache2 restart

Compruebe el acceso a su instalación de OpenKM en https://openkm.your-domain.com/.

Consejo

Otra ventaja de utilizar Apache es que puede registrar los accesos a OpenKM y generar estadísticas web.

Nota

Para comprobar los archivos de configuración puede ejecutar el comando:

$ /usr/sbin/apache2 -t

Uso de Let’s Encrypt

Let’s Encrypt es una autoridad de certificación gratuita que proporciona certificados X.509 para el cifrado Transport Layer Security (TLS) sin coste. Para solicitar e instalar los certificados necesita la utilidad certbot. Si utiliza Apache, también necesita el paquete certbot-apache:

$ apt install certbot certbot-apache

Una vez instalada, ejecute la utilidad con estos parámetros:

$ certbot --domain <your-domain-name> --email <your-sysadmin-email> --agree-tos --redirect --apache

Este certificado será válido durante 90 días, por lo que debe renovarlo antes de que caduque. Es una buena práctica crear una tarea cron que lo renueve automáticamente:

@monthly /usr/bin/certbot renew

Tenga en cuenta además que los puertos 80 y 443 deben ser accesibles desde Internet para validar el dominio y generar el certificado.

Red Hat y CentOS

Utilice el gestor de aplicaciones yum para instalar Apache:

$ sudo yum install httpd

Habilítelo en el arranque:

$ sudo chkconfig httpd --level 2345 on

Cree el certificado

$ sudo yum install mod_ssl openssl crypto-utils

Genere las claves privadas (para más información visite Apache HTTP Secure Server Configuration)

$ genkey your-domain.com

Nota

Normalmente se desea generar un certificado autofirmado y no enviarlo a una autoridad de certificación. Es una buena práctica establecer una contraseña en la clave privada, pero en ese caso se solicitará cada vez que reinicie el servicio de Apache.

Consejo

También puede interesarle Configurar OpenSSL.

Durante el proceso se generarán dos archivos en:

ReplaceSSLCertificateFile /etc/pki/tls/certs/your-domain.com.cert
SSLCertificateKeyFile /etc/pki/tls/private/your-domain.com.key

Ahora cree el archivo /etc/httpd/conf.d/openkm.conf con este contenido:

$ vim /etc/httpd/conf.d/openkm.conf

<VirtualHost *:443>
  ServerName openkm.your-domain.com
  ProxyPass / ajp://localhost:8009/openkm/
  ProxyPassReverse / http://your-domain.com/openkm/
  ErrorLog /var/log/your-domain.com-error.log
  CustomLog /var/log/your-domain.com-access.log combined

  SSLEngine on
  SSLCertificateFile /etc/pki/tls/certs/your-domain.com.cert
  SSLCertificateKeyFile /etc/pki/tls/private/your-domain.com.key
</VirtualHost>

Nota

Cambie openkm.your-domain.com por la IP de su servidor o por el valor de su dominio.

Por último, debe modificar los valores SSLCertificateFile y SSLCertificateKeyFile del archivo /etc/httpd/conf.d/ssl.conf:

$ vim /etc/httpd/conf.d/ssl.conf

SSLCertificateFile /etc/pki/tls/certs/your-domain.com.cert
SSLCertificateKeyFile /etc/pki/tls/private/your-domain.com.key

Comprobar la configuración

Reinicie Apache:

$ sudo /etc/init.d/httpd restart

Compruebe el acceso a su instalación de OpenKM en https://openkm.your-domain.com/.

Consejo

Otra ventaja de utilizar Apache es que puede registrar los accesos a OpenKM y generar estadísticas web.

Error Permission denied: proxy: AJP: attempt to connect

Si el registro muestra un error como Permission denied: proxy: AJP: attempt to connect, soluciónelo ejecutando el siguiente comando:

$ /usr/sbin/setsebool httpd_can_network_connect 1

Si funciona, haga la configuración permanente para que persista tras los reinicios:

$ /usr/sbin/setsebool -P httpd_can_network_connect 1

Windows

Lea Configurar Apache HTTP Reverse-Proxy.

Resolución de problemas

Si ve un error como:

Peligro

Invalid command ‘RewriteEngine’, perhaps misspelled or defined by a module not included in the server configuration

Debe habilitar este módulo de Apache:  

$ sudo a2enmod rewrite
$ sudo a2enmod proxy_http
$ sudo a2enmod headers

Si ve errores como estos:

[proxy_ajp:error] [pid 27579:tid 140057021224704] (70007)The timeout specified has expired: AH01030: ajp_ilink_receive() can't receive header
[proxy_ajp:error] [pid 27579:tid 140057021224704] [client xxx.xxx.xxx.xxx:60526] AH00992: ajp_read_header: ajp_ilink_receive failed
[proxy_ajp:error] [pid 27579:tid 140057021224704] (70007)The timeout specified has expired: [client xxx.xxx.xxx.xxx:60526] AH00878: read response failed from 127.0.0.1:8009 (127.0.0.1)

Es posible que Tomcat no esté aceptando conexiones AJP. Descomente estas líneas en $TOMCAT_HOME/conf/server.xml

<!-- Define an AJP 1.3 Connector on port 8009 -->
<Connector protocol="AJP/1.3"
           address="127.0.0.1"
           port="8009"
           redirectPort="8443"
           secretRequired="false" />

El parámetro secretRequired es importante; si no está presente, debe añadirlo.

Más información en Apache Tomcat 8 Configuration Reference.

Información adicional

• Apache Module mod_proxy
• Apache Module mod_proxy_ajp
• Apache Module mod_rewrite
• mod_rewrite, a beginner’s guide
• Using Apache Virtual Hosts and ProxyPass Together
• Rewrite HTTP To HTTPS
• Redirect to SSL
• Configuración SSL de Tomcat
• How To Create a SSL Certificate on Apache for CentOS 6