Почему httpd обрабатывает запросы для неправильных имен хостов в режиме SSL?

Вообще говоря, стратегии соединить удаленные офисы (известный как Широкие Сети области или WAN) к центральной станции ломаются вроде специализированного по сравнению с невыделенными соединениями. Строки являются на самом деле немного расплывчатыми, потому что маловероятно, что Ваша компания когда-либо на самом деле выполняла бы провода в удаленные офисы самостоятельно так, в действительности, Вы всегда полагаетесь на транзит по чужой сети для удаленной возможности соединения. Градус, до которого та возможность соединения выделена Вашему использованию, тем не менее, может варьироваться.

Традиционная возможность соединения WAN была сделана по "выделенным линиям". Это линии передачи данных, обеспеченные телекоммуникационными компаниями, которые, кажется, в Ваших целях, выделенные двухточечные соединения между Вашими офисами. (В действительности Ваши данные обычно мультиплексируются наряду с другими данными и передаются через более высокие полные схемы в сети телекоммуникационной компании.) Эти схемы обычно довольно надежны и обычно охватываются Соглашением об уровне обслуживания (SLA), описывающим, как время простоя будет обработано и какой уровень обслуживания покупается (пропускная способность, задержка, время работы, и т.д.). Эти схемы являются также, традиционно, довольно дорогими по сравнению с другими методами удаленной возможности соединения. Этот тип возможности соединения является данными строго точка-точка, и никакое интернет-соединение обычно не обеспечивается. Многие поставщики предлагают опцию "управления" устройством, которое соединяется, Ваш удаленный офис к телекоммуникационной сети (известный было Пользовательское оборудование или CPE), таким образом, что соединение WAN можно считать "тюремщиком".

На дальнем конце Виртуальных частных сетей спектра (VPNs) допускают создание "виртуальных" сетей через Интернет. Вы, в теории, могли получить интернет-сервис из любого ISP для каждого удаленного офиса и, потому что любая интернет-конечная точка может общаться с любой другой интернет-конечной точкой, используйте устройства VPN или программное обеспечение для создания виртуальной сети по Интернету. Затраты могут быть очень хорошими, однако Вы заканчиваете без гарантии сервисной надежности, пропускной способности, задержки, и т.д. SLAs, который Вы могли бы иметь с каждым отдельным включенным ISP, не будет, обычно, иметь никакого значения относительно полного уровня обслуживания, достигнутого VPN, потому что маловероятно, что у Вас будет SLAs с каждым сетевым оператором, по которому пересекает VPN. Каждый офис, в сценарии VPN, заканчивает тем, что имел интернет-соединение как побочный эффект наличия соединения с Интернетом для поддержки VPN. Можно решить, однако, выполнить пользовательский доступ в Интернет через центральный узел так или иначе для обеспечения фильтрации или входа. VPN может быть "всегда на", однако надежность не гарантируется.

Посреди этого спектра предложения как Многопротокольная коммутация по меткам (MPLS) (и, в предшествующих годах, Frame Relay), который обеспечивает появление специализированной возможности соединения в то время как, в на самом деле, работая больше как VPN, работающая на основе собственной сети поставщика MPLS (обычно называемый "облаком"). Оценка ближе к оценке традиционной возможности соединения WAN для предложений MPLS, но SLAs обычно намного ближе к тем из традиционной возможности соединения WAN также. Много предложений MPLS происходят связанные доступом в Интернет на каждом удаленном сайте, но, как с решениями VPN, можно решить агрегировать пользовательские интернет-запросы централизованно. Многие поставщики MPLS предлагают опцию "управлять" CPE в удаленном офисе, освобождая Вас от любой ответственности поддержания того оборудования.

В некоторых географических областях можно получить сверхвысокую скорость возможность соединения WAN через сервисы как Ethernet метро. Обычно эти сервисы берут характеристики традиционной WAN и соединений VPN/MPLS-style. SLAs может варьироваться дико на основе поставщика или выбранной стандартной цены.


Определенный ответ для Вашей компании собирается зависеть от Вашей пропускной способности, задержки, надежности, бюджета и будущих потребностей роста/приложения. Нет никакого "единого" решения. Я рекомендовал бы получить цитаты от многих различных поставщиков и задать много вопросов. Я опасался бы долгосрочных контрактов, если Вы не уверены, что решение, которое Вы выбираете, подходит для Вашего бизнеса всюду по сроку действия контракта.

Вы могли бы хотеть считать получение консультанта включенным для использования "аппаратных средств" средства моделирования WAN или программного обеспечения для моделирования различных типов соединений WAN, по которым можно протестировать существующие приложения. Знание, что Ваше программное обеспечение собирается работать по различным типам соединений WAN, является чем-то, что я считал бы очень важным до выбора типа соединения. Вы потратите немного денег заранее, но у Вас может быть часть ума, что Ваш возможный выбор возможности соединения WAN подойдет для бизнеса.

1
задан 9 November 2013 в 05:07
3 ответа

Вы не включили NameVirtualHost , поэтому _default_ отправит любое соединение с вашим сервером в конфигурацию. Попробуйте вот так. Я добавил интервал для удобства чтения

NameVirtualHost *:10443
Listen 10443

<VirtualHost *:10443>
  ServerName example.com:10443
  ServerAlias example.com:10443
  ServerAdmin admin@example.com

  ErrorLog "/var/log/httpd/error_log"
  TransferLog "/var/log/httpd/access_log"

  SSLEngine on
  SSLProtocol all -SSLv2
  SSLCipherSuite HIGH:MEDIUM:!aNULL:!MD5
  SSLCertificateFile "/etc/ssl/private/example.com.crt"
  SSLCertificateKeyFile "/etc/ssl/private/example.com.key"
  SSLCertificateChainFile "/etc/ssl/private/sub.class1.server.ca.pem"
  SSLCACertificateFile "/etc/ssl/private/StartCom.pem"

</VirtualHost>
2
ответ дан 3 December 2019 в 18:49

Похоже, вы не используете параметр NameVirtualHost , поэтому Apache не будет беспокоиться о проверке имени хоста сервера в запросе, отправленном клиентом. Запрос будет направлен в первый раздел VirtualHost , где совпадает IP: порт, и все. Какое бы имя хоста вы ни использовали, не имеет значения, вы получите точно такой же веб-сайт. Это называется сопоставлением виртуальных хостов на основе IP.

См. http://httpd.apache.org/docs/2.2/vhosts/details.html для получения полной семантики сопоставления виртуальных хостов, включая результаты использования NameVirtualHost .

1
ответ дан 3 December 2019 в 18:49

Apache всегда находит лучший ip: порт на первом проходе, когда доступны только сведения об уровне соединения, затем просматривает имена хостов на втором проходе от того, что осталось (если в 2.2, NameVirtualHost директива должна присутствовать, чтобы разрешить 2-й шаг)

по умолчанию такое же, как *. Если у вас есть только один виртуальный хост для порта, он будет использоваться независимо от того, есть ли совпадение vhost на основе имени.

Если вы хотите получить всеобъемлющую информацию для * или определенного IP-адреса, создайте его как первый виртуальный хост в наборе совпадающих комбинаций ip: port. Оттуда вы можете отказаться от чего-либо.

0
ответ дан 3 December 2019 в 18:49

Теги

Похожие вопросы