Configuración de Apache como proxy inverso HTTPS

Exponer OpenKM directamente desde Tomcat puede ser peligroso si necesita que se acceda a la aplicación desde Internet (por ejemplo https://issues.jboss.org/browse/JBAS-3861). Como consecuencia, podría resultar infectado por PerlBot. Además, el puerto 8080 puede estar bloqueado por un cortafuegos. Por estos motivos, es una buena práctica exponer su instalación de OpenKM a través del puerto web estándar 80. En los siguientes pasos se explica cómo configurar Apache para que gestione estas peticiones y las reenvíe al servidor de aplicaciones Tomcat mediante el protocolo AJP13.

De la documentación de Apache: el protocolo AJP13 está orientado a paquetes. Se eligió un formato binario en lugar del texto plano, más legible, presumiblemente por motivos de rendimiento. El servidor web se comunica con el contenedor de servlets mediante conexiones TCP. Para reducir el costoso proceso de creación de sockets, el servidor web intentará mantener conexiones TCP persistentes con el contenedor de servlets y reutilizar una conexión para múltiples ciclos de petición/respuesta.

IP interna frente a IP externa

Se puede acceder a su OpenKM desde dos zonas distintas: Internet y la LAN. Esto significa que, para acceder a este servidor, necesita utilizar dos direcciones IP: una IP externa (Internet) y una IP interna (LAN).

La dirección IP interna (también conocida como “dirección IP local”) es la dirección que asigna el router de su red local y que suele comenzar por 192.168.x.x. Estas direcciones IP solo pueden ser vistas por los demás equipos de su red local (LAN) y no por ningún equipo conectado a una red externa como Internet.

Para llegar a Internet o a un equipo de otra red, a su equipo suele asignársele una dirección IP externa, que después puede utilizarse para referirse al equipo de su red local.

En la imagen anterior, hay tres equipos en la red local a los que el router ha asignado su propia dirección IP interna. El ISP está conectado al router y le proporciona una dirección IP externa que le permite comunicarse con Internet. En Internet todos ven su dirección IP externa, pero cualquier información procedente del router se “convierte” de la dirección IP externa a la dirección IP interna.

Por tanto, si desea que su instalación de OpenKM sea accesible tanto desde la LAN como desde Internet, el truco consiste en configurar los equipos cliente para que resuelvan su IP interna (192.168.0.50) si están dentro de la LAN o la IP externa si están en Internet. Para resolver la IP de Internet (67.166.214.148), su equipo utiliza el DNS público. Por tanto, debe configurar un servidor DNS dentro de la LAN o modificar el fichero hosts de cada cliente para que resuelva a la IP interna.

Debian y Ubuntu

Lo primero es instalar el software de Apache necesario. En Debian/Ubuntu puede instalar Apache con un solo comando:

$ sudo apt-get install apache2

Edite el fichero /etc/apache2/apache2.conf y configure un ServerName para evitar advertencias durante el arranque de Apache:

$ vim /etc/apache2/apache2.conf

ServerRoot "/etc/apache2"
ServerName "your-domain.com"

Nota

Editar apache2.conf es opcional.

Habilite el módulo de proxy:

$ sudo a2enmod proxy_ajp
$ sudo a2enmod proxy_wstunnel

Precaución

Para que WebSocket funcione, también necesita Tomcat 7.0.61 o posterior. Tenga en cuenta que el módulo proxy_wstunnel requiere Apache 2.4.5 o posterior. Consulte la documentación del módulo de Apache.

Cree los certificados

$ sudo mkdir /etc/apache2/ssl
$ sudo /usr/sbin/make-ssl-cert /usr/share/ssl-cert/ssleay.cnf /etc/apache2/ssl/apache.pem
$ sudo a2enmod ssl

Nota

Si necesita convertir un fichero .pem en un fichero .crt, utilice el comando:

$ openssl x509 -in cacert.pem -out cacert.crt

Consejo

También puede resultarle de interés Configuración de OpenSSL.

Asegúrese de que el puerto 443 figura en /etc/apache2/ports.conf:

$ cat /etc/apache2/ports.conf | grep Listen

Cree el fichero de configuración /etc/apache2/sites-available/openkm.conf con este contenido:

$ vim /etc/apache2/sites-available/openkm.conf

<VirtualHost *:443>
  ServerName openkm.your-domain.com
  RedirectMatch ^/$ /openkm

  # WebSocket support - needs proxy-wstunnel
  ProxyPass /openkm/frontend/webSocket wss://127.0.0.1:8080/openkm/frontend/webSocket
  ProxyPassReverse /openkm/frontend/webSocket wss://127.0.0.1:8080/openkm/frontend/webSocket

  ProxyPass /openkm ajp://127.0.0.1:8009/openkm
  ProxyPassReverse /openkm https://openkm.your-domain.com/openkm

  ErrorLog /var/log/apache2/openkm.your-domain.com-error.log
  CustomLog /var/log/apache2/openkm.your-domain.com-access.log combined

  SSLEngine on
  SSLCertificateFile /etc/apache2/ssl/apache.pem
</VirtualHost>

Nota

Cambie openkm.your-domain.com por la IP de su servidor o por su dominio.

El ServerName del VirtualHost debe ser distinto del ServerName de la configuración principal de Apache. Habilite esta configuración de sitio:

$ cd /etc/apache2/sites-available/
$ sudo a2ensite openkm.conf

Redirigir todas las conexiones HTTP a HTTPS

Nota

Este paso es opcional.

Edite el fichero de configuración /etc/apache2/sites-available/openkm.conf y añada el siguiente contenido

$ vim /etc/apache2/sites-available/openkm.conf

<VirtualHost *:80>
  ServerName openkm.your-domain.com
  Redirect permanent / https://openkm.your-domain.com/
</VirtualHost>

Comprobar la configuración

Reinicie Apache:

$ sudo /etc/init.d/apache2 restart

Compruebe el acceso a su instalación de OpenKM en https://openkm.your-domain.com/.

Consejo

Otra ventaja de utilizar Apache es que puede registrar los accesos a OpenKM y generar estadísticas web.

Nota

Para comprobar los ficheros de configuración, puede ejecutar el comando:

$ /usr/sbin/apache2 -t

Uso de Let’s Encrypt

Let’s Encrypt es una autoridad de certificación gratuita que proporciona certificados X.509 para el cifrado Transport Layer Security (TLS) sin coste alguno. Para poder solicitar e instalar los certificados necesita la utilidad certbot. Si utiliza Apache, también necesita el paquete certbot-apache:

$ apt install certbot certbot-apache

Una vez instalada, ejecute la utilidad con estos parámetros:

$ certbot --domain <your-domain-name> --email <your-sysadmin-email> --agree-tos --redirect --apache

Este certificado será válido durante 90 días, por lo que debe renovarlo antes de que caduque. Es una buena práctica crear una tarea cron para actualizarlo automáticamente:

@monthly /usr/bin/certbot renew

Tenga en cuenta también que los puertos 80 y 443 deben ser accesibles desde Internet para validar el dominio y generar el certificado.

Red Hat y CentOS

Utilice el gestor de paquetes yum para instalar Apache:

$ sudo yum install httpd

Habilítelo en el arranque:

$ sudo chkconfig httpd --level 2345 on

Cree el certificado

$ sudo yum install mod_ssl openssl crypto-utils

Genere las claves privadas (para más información, visite Apache HTTP Secure Server Configuration).

$ genkey your-domain.com

Nota

Normalmente se desea generar un certificado autofirmado y no enviarlo a una autoridad de certificación. Es una buena práctica establecer una contraseña en la clave privada, pero en ese caso se solicitará cada vez que reinicie el servicio Apache.

Consejo

También puede resultarle de interés Configuración de OpenSSL.

Durante el proceso se generarán dos ficheros en:

Sustituya SSLCertificateFile /etc/pki/tls/certs/your-domain.com.cert
SSLCertificateKeyFile /etc/pki/tls/private/your-domain.com.key

Ahora cree el fichero /etc/httpd/conf.d/openkm.conf con este contenido:

$ vim /etc/httpd/conf.d/openkm.conf

<VirtualHost *:443>
  ServerName openkm.your-domain.com
  ProxyPass / ajp://localhost:8009/openkm/
  ProxyPassReverse / http://your-domain.com/openkm/
  ErrorLog /var/log/your-domain.com-error.log
  CustomLog /var/log/your-domain.com-access.log combined

  SSLEngine on
  SSLCertificateFile /etc/pki/tls/certs/your-domain.com.cert
  SSLCertificateKeyFile /etc/pki/tls/private/your-domain.com.key
</VirtualHost>

Nota

Cambie openkm.your-domain.com por la IP de su servidor o por su dominio.

Por último, modifique los valores de SSLCertificateFile y SSLCertificateKeyFile en el fichero /etc/httpd/conf.d/ssl.conf:

$ vim /etc/httpd/conf.d/ssl.conf

SSLCertificateFile /etc/pki/tls/certs/your-domain.com.cert
SSLCertificateKeyFile /etc/pki/tls/private/your-domain.com.key

Comprobar la configuración

Reinicie Apache:

$ sudo /etc/init.d/httpd restart

Compruebe el acceso a su instalación de OpenKM en https://openkm.your-domain.com/.

Consejo

Otra ventaja de utilizar Apache es que puede registrar los accesos a OpenKM y generar estadísticas web.

Error Permission denied: proxy: AJP: attempt to connect

Si el registro muestra un error como Permission denied: proxy: AJP: attempt to connect, resuélvalo ejecutando el siguiente comando:

$ /usr/sbin/setsebool httpd_can_network_connect 1

Si funciona, haga que la configuración sea permanente para que se conserve tras los reinicios:

$ /usr/sbin/setsebool -P httpd_can_network_connect 1

Windows

Consulte Configuración de Apache como proxy inverso HTTP

Resolución de problemas

Si ve un error como:

Peligro

Invalid command ‘RewriteEngine’, perhaps misspelled or defined by a module not included in the server configuration

Necesita habilitar estos módulos de Apache:

$ sudo a2enmod rewrite
$ sudo a2enmod proxy_http
$ sudo a2enmod headers

Si ve errores como estos:

[proxy_ajp:error] [pid 27579:tid 140057021224704] (70007)The timeout specified has expired: AH01030: ajp_ilink_receive() can't receive header
[proxy_ajp:error] [pid 27579:tid 140057021224704] [client xxx.xxx.xxx.xxx:60526] AH00992: ajp_read_header: ajp_ilink_receive failed
[proxy_ajp:error] [pid 27579:tid 140057021224704] (70007)The timeout specified has expired: [client xxx.xxx.xxx.xxx:60526] AH00878: read response failed from 127.0.0.1:8009 (127.0.0.1)

Es posible que Tomcat no esté aceptando conexiones AJP. Descomente estas líneas en $TOMCAT_HOME/conf/server.xml

<!-- Define an AJP 1.3 Connector on port 8009 -->
<Connector protocol="AJP/1.3"
           address="127.0.0.1"
           port="8009"
           redirectPort="8443"
           secretRequired="false" />

El parámetro secretRequired es importante y, si no está presente, debe añadirlo.

Más información en Apache Tomcat 8 Configuration Reference.

Información adicional

• Apache Module mod_proxy
• Apache Module mod_proxy_ajp
• Apache Module mod_rewrite
• mod_rewrite, a beginner’s guide
• Using Apache Virtual Hosts and ProxyPass Together
• Rewrite HTTP To HTTPS
• Redirect to SSL
• Configuración SSL de Tomcat
• How To Create an SSL Certificate on Apache for CentOS 6