Lawsuit - Wiki - Benutzerbeiträge [de]

Aufsetzen des Apache-Servers

2023-09-16T18:54:01Z

89.246.127.116: /* Verbindung mit dem Server */

{{Knowledge|
*[https://de.opensuse.org/Portal:Tumbleweed Tumbleweed]
*[https://de.opensuse.org/Portal:42.3 Leap 42.3]
*[https://de.opensuse.org/Portal:42.2 Leap 42.2]
*[https://de.opensuse.org/Portal:42.1 Leap 42.1]
|
*[https://de.opensuse.org/Portal:Apache Portal:Apache]
|
*[https://de.opensuse.org/SDB:LAMP_Einrichtung SDB:LAMP_Einrichtung]
*[https://de.opensuse.org/Apache2 Apache2]
*[https://de.opensuse.org/Portal:MySQL Portal:MySQL]
}}

== Einführung ==

Diese Dokument gibt eine rasche Einführung, wie ein Apache-Server auf dem lokalen Rechner aufgesetzt werden kann, der die Lawsuit-Programmteile bereitstellt.

----

{{Warnung| Die Kurzanleitung geht nicht vertieft auf mögliche Experten-Einstellungen des Servers ein. Insbesondere bleiben hier Sicherheitseinstellungen unberücksichtigt, die für den Betrieb als öffentlich zugänglicher Netzserver unumgänglich wären. Die nachfolgenden Schritte sind für Anwender gedacht, die Lawsuit intern auf dem Kanzleirechner hinter einer Firewall betreiben möchten.}}

----

== Allgemeine Rechner-Konfiguration ==

Die Software benötigt eine funktionierende Netzwerkumgebung. Einstellungen hierzu können Sie mit ''YaST'' unter der Rubrik "Netzwerkeinestellungen" vornehmen. Achten Sie insbesondere bei der Nutzung von [https://de.wikipedia.org/wiki/Dynamic_Host_Configuration_Protocol DHCP] darauf, dass weitere Rechner der Kanzlei von YaST tatsächlich im selben Nummernraum wie dieser PC eingetragen wurden, auf dem Apache nun installiert werden soll. Ansonsten können diese Rechner später nicht auf die Kanzleisoftware zugreifen.

Als Zweites sollte der PC auf dem aktuellen Softwarestand sein. Prüfen Sie diesen gegebenenfalls mit ''YaST'' in der Sektion '''Online update''' nach .

=== Installation der Apache-Pakete ===

Der Apache-Server und das optionale Perl-Modul können mit ''zypper'' installiert werden. Öffnen Sie dazu ein Terminal-Fenster und wechseln Sie wie folgt in den Superuser-Modus:
{{Shell|> su}}
Geben Sie nach der Passwortbestätigung den folgenden Befehl ein:
{{Shell|# zypper in apache2 apache2-doc perl-Apache-DBI apache2-mod_perl apache2-mod_php5 apache2-mod_python firewalld-rpcbind-helper}}

=== Nutzung der Yast-Funktion ===

Die weiteren Einstellungen lassen sich zunächst vereinfachen, indem man die Yast-Funktionen für die Servereinrichtung nutzt. Laden Sie dafür das entsprechende Modul nach. Erfahrungsgemäß ist dieser Zwischenschritt jedoch nicht nötig, wenn man die Konfiguration in den nächsten Punkten sorgfältig durchführt.
{{Shell|# zypper in yast2-http-server apache2-mod_wsgi-python3}}
Unter ''yast2'' wählen Sie >HTTP-Server und klicken sich durch den Installationsprozess. Es müssen keine Anpassungen vorgenommen werden. Nach Abschluss der Installation verschieben Sie Ihre eigene Installation aus <tt>/ect/apache2/vhosts.d/YaSTsave</tt> wieder ins obere Verzeichnis <tt>/ect/apache2/vhosts.d</tt>.

Nach Abschluss der Einrichung kann das Hilfsprogramm ''yast2-http-server'' wieder entfernt werden.
{{Shell|# zypper rm yast2-http-server}}

=== Anpassung der Firewall ===

Die Firewall ist so voreingestellt, dass sie über Port 80 auf den Rechner eingehende Daten grundsätzlich sperrt. Folglich müssen die Firewall-Einstellungen so angepasst werden, dass aus dem Lokalen Netzwerk über Port 80 eingehender Datenstrom akzeptiert wird.
Die folgenden Schritte müssen dazu weiterhin als Root ausgeführt werden.
* bis [http://de.opensuse.org/Portal:42.3 Leap 42.3]
{{Shell|# sysconf_addword /etc/sysconfig/SuSEfirewall2 FW_CONFIGURATIONS_EXT apache2   sysconf_addword /etc/sysconfig/SuSEfirewall2 FW_CONFIGURATIONS_EXT apache2-ssl   sysconf_addword /etc/sysconfig/SuSEfirewall2 FW_CONFIGURATIONS_EXT http   sysconf_addword /etc/sysconfig/SuSEfirewall2 FW_CONFIGURATIONS_EXT https   rcSuSEfirewall2 restart }}
Die Einstellungen finden sich jedoch auch unter ''YaST'' und können dort im '''etc/sysconfig-Editor''' mit den Einträgen ''apache2'' und ''apache2-ssl'' aktiviert werden, indem sie diese durch Leerzeichen getrennt im Feld ''FW_CONFIGURATIONS_EXT'' in <tt>/etc/sysconfig/SuSEfirewall2 </tt> einsetzen. Diese Konfigurationsvariable findet sich unter:
Network > Firewall > SuSEfirewall2

* ab [http://de.opensuse.org/Portal:Tubmleweed Tumbleweed]
Die Variablen können per ''YaST'' unter
Networt > Firewall
unter der Listenauswahl ''Permanent'' wir folgt eingestellt werden:
[[Datei:Apache2_firewall.png|thumb|600px|left|Firewall-Einstellungen für den Apache-Server]]
 
Alternativ ist die Auswahl per Shell möglich:
{{Shell|# firewall-cmd --zone internal --permanent --add-interface=eth0   firewall-cmd --zone internal --permanent --add-service=apache2   firewall-cmd --zone internal --permanent --add-service=apache2-ssl   firewall-cmd --zone internal --permanent --add-service=nfs   firewall-cmd --zone internal --permanent --add-service=http   firewall-cmd --zone internal --permanent --add-service=https   firewall-cmd --reload}}

=== Aktivierung des Servers ===
Starten Sie den Server und aktivieren Sie ihn in einem Bootverzeichnis, damit er mit dem Rechner hochgefahren wird:
{{Shell|# rcapache2 start   chkconfig -a apache2}}
Sie können diese Einstellungen jederzeit unter ''YaST'' ändern im Untermenü
YaST > Dienste-Verwaltung

=== Hinzufügen von Apache-Modulen===
Um benötigte Apache-Module zu laden, können wir die Konfigurationsvariable ''APACHE_MODULES'' in <tt>/etc/sysconfig/apache2</tt> editieren. Schneller geht es jedoch mit den nachfolgenden Befehlen. Nach der Änderung muss der Server neu gestartet werden. Auch für die folgenden Befehle sind wieder die Rechte eines Superusers vonnöten.
{{Shell|# a2enmod mod_perl   a2enmod mod_env   a2enmod mod_ssl   a2enmod mod_php5   a2enmod mod_python   a2enmod mod_wsgi   a2enmod mod_cgi   a2enmod -l   rcapache2 restart}}

== Virtual Hosts ==
===Allgemeines===
Das Verzeichnis für alle Virtual Host ist <tt>/etc/apache2/vhosts.d/</tt>. Wie Sie sehen gibt es zwei Konfigurationsdateien - eine mit ssl, die andere ohne ssl. Wir benutzen die Vorlage ohne [https://de.wikipedia.org/wiki/Transport_Layer_Security Secure Sockets Layer]. Nur Dateien mit dem Suffix ".conf" werden automatisch in die Apachekonfiguration einbezogen.

{{Intro|Wenn Sie neben Lawsuit einen weiteren eigenen Virtual Host hinzufügen möchten, ersetzen Sie in den folgenden Zeilen bitte ''Domainname'' durch ihren Verzeichnisnamen oder Ihre IP-Adresse.}}

* Es gibt mehrere Varianten für die Struktur, mit welcher der eigenen Server auf dem Rechner aufgesetzt werden kann. Folgende Optionen bieten sich an:
:* [https://httpd.apache.org/docs/2.4/de/vhosts/name-based.html namensbasiert]
:* [https://httpd.apache.org/docs/2.4/de/vhosts/ip-based.html IP-basiert]
:* portbasiert

* Sei können für Ihre Verzeichnisse die Vorlage '''vhost.template''' kopieren und als Ihre '''{DOMAINNAME}.conf''' speichern. Hier hinein tragen Sie anschließend die Unterverzeichnisse für Ihren Virtual Host ein.

===Einstellungen für ''Lawsuit''===
Für ''Lawsuit'' wird die Konfigurationsdatei jedoch im Unterverzeichnis <tt>lawsuit/settings</tt> bereits fertig zur Verfügung gestellt. Sie müssen lediglich in der genannten Datei den Platzhalter durch den eigenen Nutzernamen ersetzen und die fertige Datei in das Vhosts-Verzeichnis verlinken. Wechseln Sie in das Unterverzeichnis <tt>lawsuit/settings</tt>. Wenn Sie ''Lawsuit'' in Ihrem Nutzerhauptverzeichnis installiert haben, gelangen Sie mit diesem Befehl dorthin:
{{Shell | > cd ~/lawsuit/settings}}
Erstellen Sie dort eine Konfigurationsdatei aus der Vorlage <tt>lawsuit-httpd.template</tt> und ersetzen Sie den darin enthaltenen Platzhalter ''meinpfad'' dabei durch Ihren Pfad zum aktuellen Verzeichnis. Dies erfolgt automatisiert durch diese Befehle:
{{Shell | > pfad=`pwd | sed 's/\/lawsuit.*//' | sed 's/\//\\\\\//g'` > sed "s/meinpfad/$pfad/g" lawsuit-httpd.template > lawsuit-httpd.conf}}
Falls Ihr Pfad zum Ordner <tt>Documents</tt> nicht mit dem soeben ermittelten Pfad für <tt>lawsuit</tt> identisch ist, passen Sie diese Einstellungen für das Verzeichnis <tt>Documents</tt> bitte in der <tt>lawsuit-httpd.conf</tt> mit einem Editor wie '''kate''' von Hand an.

Abschließend kopieren Sie die erstellte Konfigurationsdatei als ''Superuser'' in das Verzeichnis der Virtual Hosts von Apache:

{{Shell | > sudo cp lawsuit-httpd.conf /etc/apache2/vhosts.d/}}

* Neustart von Apache
{{Shell | > sudo service apache2 restart}}

=== Anpassen der Konfiguration ===
Um Ergänzungen oder Änderungen einheitlich für alle Virtual Hosts an der Datei <tt>/etc/apache2/default-server.conf</tt> vorzunehmen, editieren Sie die Konfigurationsvariable ''APACHE_CONF_INCLUDE_FILES'' mithilfe von
YaST > etc/sysconfig-Editor
oder arbeiten direkt in der Textdatei <tt>/etc/sysconfig/apache2</tt>. Zum Verständnis der Hierarchie und des Layouts um Dateien einzubeziehen, lesen Sie die Kommentierung im Kopf der <tt>httpd.conf</tt>. Die ursprüngliche, einfache Konfigurationsdatei mit nur 40K findet sich notfalls unter <tt>/usr/share/doc/packages/apache2/httpd-std.conf-prefork</tt>.

== Optional: Ein Zertifikat für localhost erstellen ==
Bei Mehrplatzsystemen funktionieren die Javascript-Voreintragungen bei Nutzung einer sicheren HTTPS-Verbindung nur, wenn ein eigenes Zertifikat erstellt wird, dessen Aussteller zudem noch aus vertrauenswürdig eingestuft werden muss.OpenSSL bringt umfassende Werkzeuge mit, um eine eigene, kleine Certificate Authority (CA) betreiben zu können.
=== Vergabe einer Domain für den Rechner mit den Lawsuit-Daten ===
Unter yast2 > Netzwerkdienste > Rechnernamen fügen Sie unter der Zeile "localhost" eine Zeile mit folgenden Daten ein:
IP-Adresse: 192.168.2.10
Hostnamen: k1.local
Aliasnamen: k1
[[Datei:Hostkonfiguration.png|thumb|600px|left|Eigenen Rechnernamen vergeben]]
 
Sie können statt "k1" eine beliebe andere Bezeichnung für den Hauptrechner wählen, müssen dann aber Ihre Domain in den folgenden Einstellungen beibehalten.

=== Certificate Authority (CA) erstellen ===
Zu Beginn wird die Certificate Authority generiert. Zunächst wird ein geheimer Private Key erzeugt:
{{Shell |> sudo openssl genrsa -aes256 -out /etc/ssl/private/rootCA.key 4096}}
Der Key trägt den Namen “rootCA.pem” und hat eine Länge von 4096 Bit. Die Option “-aes256” führt dazu, dass der Key mit einem Passwort geschützt wird. Die Key-Datei der CA muss tatsächlich besonders gut geschützt werden. Ein Angreifer, der den Key in die Hände bekommt, kann beliebig gefälschte Zertifikate im Namen der Kanzlei ausstellen, denen die Clients trauen. Die Verschlüsselung dieses Keys mit einem Passwort gibt zusätzlichen Schutz. Das gewünschte Passwort wird bei der Generierung abgefragt.
Einen geheimen Key für die CA gibt es damit also schon - es fehlt noch das Root-Zertifikat, das von den Clients später importiert werden muss, damit die von der CA ausgestellten Zertifikate im Browser als gültig erkannt werden. Das Root-Zertifikat “ca-root.pem” wird mit folgendem Befehl erzeugt:
{{Shell |> sudo openssl req -x509 -new -nodes -key /etc/ssl/private/rootCA.key -sha512 -days 5483 -out /etc/ssl/certs/rootCA.pem}}
In diesem Fall wird die CA 5483 Tage, also mit Schalttagen 15 Jahre lang gültig bleiben. Während der Generierung werden das Passwort für die CA und einige Attribute abgefragt (hier ein Beispiel):
Country Name (2 letter code) [AU]:DE
State or Province Name (full name) [Some-State]:Nordrhein-Westfalen
Locality Name (eg, city) []:Muenster
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Kanzlei Hermanns
Organizational Unit Name (eg, section) []:Rechtsanwalt
Common Name (e.g. server FQDN or YOUR name) []:RA Matthias Hermanns
Email Address []:hermanns@iustus.eu

===Erzeugen des Schlüssels===
Mit diesen Daten wird auch eine Konfigratunsdatei mit Namen <tt>ssl.cnf</tt> befüllt, die die Schlüsselausgabe später vereinfacht.
{{Shell |> cd ~/bin   mkdir keys   cd keys   kate ssl.cnf}}
Die Datei kann beispielsweise den folgenden Inhalt haben
[req]
# Standard-Verschlüsselung
default_bits = 4096
# verhindere prompt für die Zertifikat-Erstellung
# (Daten kommen aus dieser Datei)
prompt = no
# Verschlüsselungsmethode
default_md = sha512
# prevent key encryption
encrypt_key = no
# Sektion für Zertifizierer-Informationen:
distinguished_name = dn
# Zertifizierer-Informationen:
[dn]
# Länder-Code
C=DE
# Bundesland
ST=Nordrhein-Westfalen
# Stadt
L=Muenster
# Bezeichnung/Firmen-Name/Dein Name:
O=Kanzlei Hermanns
# Aussteller Name
OU=RA Matthias Hermanns
# E-Mail-Adresse
emailAddress=hermanns@iustus.eu
# Primärer Servername
CN = k1.local
[v3_ca]
keyUsage = digitalSignature, keyEncipherment
extendedKeyUsage = serverAuth
subjectAltName = IP:192.168.2.10, DNS:k1, DNS:k1.local
[alt_names]
# Primärer Server-Name
DNS.1=k1
# Sekunärer Server-Name
DNS.2=k1.local
# Wildcard Subdomains
DNS.3 = *.k1.local

Speichern Sie die so erstellte Datei <tt>ssl.cnf</tt> im <tt>bin</tt>-Verzeichnis ab. Mit folgendem Befehl erzeugen Sie nun als zertifizierter Aussteller die eigentlichen Schlüssel für die SSL-Verbindung:
{{Shell |> openssl req -new -keyout ~/bin/keys/k1.key -out ~/bin/keys/k1.csr -config ~/bin/keys/ssl.cnf}}

{{Shell |> sudo openssl x509 -req \   -in ~/bin/keys/k1.csr \   -CA /etc/ssl/certs/rootCA.pem \   -CAkey /etc/ssl/private/rootCA.key \   -CAcreateserial \   -out ~/bin/keys/k1.crt \   -days 3653 \   -extfile ~/bin/keys/ssl.cnf \   -extensions v3_ca}}

Damit die Zertifkate in die regelmäßige Sicherungsspeicherung aufgenommen werden, kopieren wir sie das Schlüsselverzeichnis <tt>keys</tt> unter <tt>lawsuit</tt>:
{{Shell |> sudo chown matthias:users keys/k1.crt   chmod 640 ~/bin/keys/k1.*   cp ~/bin/keys/k1.* ~/lawsuit/keys/}}

=== Verbindung mit dem Server ===
Wenn Sie host-Datei <tt>lawsuit-httpd.conf</tt> automatisch wie oben vorgeschlagen generiert haben, sind die notwendigen Einstellungen schon voreingetragen und müssen nur auskommentiert werden. Ansonsten ergänzen Sie unter /etc/apache2/vhosts.d/
folgende Zeilen:
<VirtualHost *:80>
ServerName k1.local
ServerAlias k1
</VirtualHost>

<IfModule mod_ssl.c>
<VirtualHost *:443>
ServerAdmin webmaster@localhost
DocumentRoot /home/BENUTZERNAME/lawsuit/
ServerName k1.local
ServerAlias k1
ErrorLog /var/log/apache2/error_ssl_log
SSLEngine on
SSLCertificateFile /home/BENUTZERNAME/bin/keys/k1.crt
SSLCertificateKeyFile /home/BENUTZERNAME/bin/keys/k1.key
<IfModule mod_headers.c>
Header always set Strict-Transport-Security "max-age=15552000; includeSubDomains"
</IfModule>
<FilesMatch "\.(cgi|html|shtml|pl|phtml|php)$">
SSLOptions +StdEnvVars
</FilesMatch>
<Directory /home/BENUTZERNAME/lawsuit/cgi-bin>
SSLOptions +StdEnvVars
</Directory>
</VirtualHost>
</IfModule>

# configuration
SSLProtocol all -SSLv3 -TLSv1 -TLSv1.1 -TLSv1.2
SSLHonorCipherOrder off
SSLSessionTickets off

Unter Firefox kann das selbstgezeichnete Zertifikat nun verwendet werden. Bitte beachten Sie, dass für jede Apache-Konfigurrationsdatei ein anderer Port geöffnet werden muss, "443" also nur einmal verwendet werden kann. Sie können alternativ z.B. "4443" verwenden.

Abschließender Test und Neustart:
{{Shell |# sudo apache2ctl -t   sudo systemctl restart apache2}}

=== Registrierung als vertrauenswürdiger Aussteller für den Firefox-Browser ===
Damit der Firefox-Browser das Zertifikat tatsächlich verwendet und als vertrauenswürdig akzeptiert, muss es im Kleopatra-Schlüsseldienst eingetragen werden, auf den der Browser zugreift.
{{Shell |> kleopatra}}
Klicken Sie den Reiter Importieren an und fügen Sie nacheinander die folgenden Dateien ein:
 <tt>/home/BENUTZERNAME/bin/keys/k1.crt</tt>
 <tt>/etc/ssl/certs/rootCA.pem</tt> 
Bitte bestätigen Sie die erbetenen Beglaubigungen mit der Maustaste.
[[Datei:Kleopatra.png|thumb|600px|left|Importieren der Zertifikate in das Kleopatra-Schlüsselverwaltungsprogramm]]
 
Nun wechseln Sie in den Firefox-Browser und geben in die Adresszeile ein
about:config
Dort ändern Sie die Variable
security.enterprise_roots.enabled -> true
von "false" auf "true". Nun bezieht der Browser auch Ihre eigenen CA-Beglaubigungen des Unternehmens eine seine Bewertungen mit ein und vergibt ein grünes Schlüsselsymbol.

== Problembehebung ==
Lesen Sie wenn möglich die Fehlermeldungen nach dem Start des Servers. Versuchen Sie Fehler ggf. zu reproduzieren und vergleichen Sie die Einträge in den Log-Dateien. Den Einblick auf die dortigen Meldungen können Sie mit dem folgenden Befehl auf den neuesten Stand reduzieren::

{{Shell | # tail -F /var/log/apache2/*}}

Da die Error-Messages schnell sehr großen Umfang einnehmen, der am Ende sogar den Systemstart blockieren kann, empfiehlt es sich, mit Logrotate den Bestand unter Kontrolle zu halten. Installieren Sie dazu, falls noch nicht vom System geschehen:
{{Shell | # zypper in logrotate}}
Sie können die Einstellungen in der Konfigurationsdatei
/etc/logrotate.conf
ändern. Eine typische Konfiguration von <tt>logrotate.conf</tt> sieht z.B. wie folgt aus:
{{Shell |# see "man logrotate" for details
 # rotate log files weekly
 weekly
 # keep 4 weeks worth of backlogs
 rotate 4
 # remove rotated logs older than <count> days
 maxage 90 
 # create new (empty) log files after rotating old ones
 create
 # use date as a suffix of the rotated file
 dateext
 # uncomment this if you want your log files compressed
 compress
 # comment these to switch compression to use gzip or another
 # compression scheme
 compresscmd /usr/bin/xz
 uncompresscmd /usr/bin/xzdec
 # RPM packages drop log rotation information into this directory
 include /etc/logrotate.d
}}

Sollten Sie einen Fehler gefunden haben, [https://de.opensuse.org/SDB:Fehler_berichten berichten Sie ihn] bitte.

==Weiterführende Informationen==
=== Verwandte Artikel ===
*[https://de.opensuse.org/YaST_Module_Firewall#Firewall_Einrichten openSUSE Firewall]
* Package documentation and example configuration files in /usr/share/doc/packages/apache2/

===Externe Links===
* [https://doc.opensuse.org/documentation/leap/reference/html/book.opensuse.reference/cha.apache2.html openSUSE Apache Documentation]
* [http://httpd.apache.org/ The Apache Project]
* [http://www.apache.org/ Apache Software Foundation]

{{DEFAULTSORT:{{PAGENAME}}}}

[[Category:Linuxinstallation]]

Aufsetzen des Apache-Servers

2023-09-16T18:50:39Z

89.246.127.116: /* Verbindung mit dem Server */

{{Knowledge|
*[https://de.opensuse.org/Portal:Tumbleweed Tumbleweed]
*[https://de.opensuse.org/Portal:42.3 Leap 42.3]
*[https://de.opensuse.org/Portal:42.2 Leap 42.2]
*[https://de.opensuse.org/Portal:42.1 Leap 42.1]
|
*[https://de.opensuse.org/Portal:Apache Portal:Apache]
|
*[https://de.opensuse.org/SDB:LAMP_Einrichtung SDB:LAMP_Einrichtung]
*[https://de.opensuse.org/Apache2 Apache2]
*[https://de.opensuse.org/Portal:MySQL Portal:MySQL]
}}

== Einführung ==

Diese Dokument gibt eine rasche Einführung, wie ein Apache-Server auf dem lokalen Rechner aufgesetzt werden kann, der die Lawsuit-Programmteile bereitstellt.

----

{{Warnung| Die Kurzanleitung geht nicht vertieft auf mögliche Experten-Einstellungen des Servers ein. Insbesondere bleiben hier Sicherheitseinstellungen unberücksichtigt, die für den Betrieb als öffentlich zugänglicher Netzserver unumgänglich wären. Die nachfolgenden Schritte sind für Anwender gedacht, die Lawsuit intern auf dem Kanzleirechner hinter einer Firewall betreiben möchten.}}

----

== Allgemeine Rechner-Konfiguration ==

Die Software benötigt eine funktionierende Netzwerkumgebung. Einstellungen hierzu können Sie mit ''YaST'' unter der Rubrik "Netzwerkeinestellungen" vornehmen. Achten Sie insbesondere bei der Nutzung von [https://de.wikipedia.org/wiki/Dynamic_Host_Configuration_Protocol DHCP] darauf, dass weitere Rechner der Kanzlei von YaST tatsächlich im selben Nummernraum wie dieser PC eingetragen wurden, auf dem Apache nun installiert werden soll. Ansonsten können diese Rechner später nicht auf die Kanzleisoftware zugreifen.

Als Zweites sollte der PC auf dem aktuellen Softwarestand sein. Prüfen Sie diesen gegebenenfalls mit ''YaST'' in der Sektion '''Online update''' nach .

=== Installation der Apache-Pakete ===

Der Apache-Server und das optionale Perl-Modul können mit ''zypper'' installiert werden. Öffnen Sie dazu ein Terminal-Fenster und wechseln Sie wie folgt in den Superuser-Modus:
{{Shell|> su}}
Geben Sie nach der Passwortbestätigung den folgenden Befehl ein:
{{Shell|# zypper in apache2 apache2-doc perl-Apache-DBI apache2-mod_perl apache2-mod_php5 apache2-mod_python firewalld-rpcbind-helper}}

=== Nutzung der Yast-Funktion ===

Die weiteren Einstellungen lassen sich zunächst vereinfachen, indem man die Yast-Funktionen für die Servereinrichtung nutzt. Laden Sie dafür das entsprechende Modul nach. Erfahrungsgemäß ist dieser Zwischenschritt jedoch nicht nötig, wenn man die Konfiguration in den nächsten Punkten sorgfältig durchführt.
{{Shell|# zypper in yast2-http-server apache2-mod_wsgi-python3}}
Unter ''yast2'' wählen Sie >HTTP-Server und klicken sich durch den Installationsprozess. Es müssen keine Anpassungen vorgenommen werden. Nach Abschluss der Installation verschieben Sie Ihre eigene Installation aus <tt>/ect/apache2/vhosts.d/YaSTsave</tt> wieder ins obere Verzeichnis <tt>/ect/apache2/vhosts.d</tt>.

Nach Abschluss der Einrichung kann das Hilfsprogramm ''yast2-http-server'' wieder entfernt werden.
{{Shell|# zypper rm yast2-http-server}}

=== Anpassung der Firewall ===

Die Firewall ist so voreingestellt, dass sie über Port 80 auf den Rechner eingehende Daten grundsätzlich sperrt. Folglich müssen die Firewall-Einstellungen so angepasst werden, dass aus dem Lokalen Netzwerk über Port 80 eingehender Datenstrom akzeptiert wird.
Die folgenden Schritte müssen dazu weiterhin als Root ausgeführt werden.
* bis [http://de.opensuse.org/Portal:42.3 Leap 42.3]
{{Shell|# sysconf_addword /etc/sysconfig/SuSEfirewall2 FW_CONFIGURATIONS_EXT apache2   sysconf_addword /etc/sysconfig/SuSEfirewall2 FW_CONFIGURATIONS_EXT apache2-ssl   sysconf_addword /etc/sysconfig/SuSEfirewall2 FW_CONFIGURATIONS_EXT http   sysconf_addword /etc/sysconfig/SuSEfirewall2 FW_CONFIGURATIONS_EXT https   rcSuSEfirewall2 restart }}
Die Einstellungen finden sich jedoch auch unter ''YaST'' und können dort im '''etc/sysconfig-Editor''' mit den Einträgen ''apache2'' und ''apache2-ssl'' aktiviert werden, indem sie diese durch Leerzeichen getrennt im Feld ''FW_CONFIGURATIONS_EXT'' in <tt>/etc/sysconfig/SuSEfirewall2 </tt> einsetzen. Diese Konfigurationsvariable findet sich unter:
Network > Firewall > SuSEfirewall2

* ab [http://de.opensuse.org/Portal:Tubmleweed Tumbleweed]
Die Variablen können per ''YaST'' unter
Networt > Firewall
unter der Listenauswahl ''Permanent'' wir folgt eingestellt werden:
[[Datei:Apache2_firewall.png|thumb|600px|left|Firewall-Einstellungen für den Apache-Server]]
 
Alternativ ist die Auswahl per Shell möglich:
{{Shell|# firewall-cmd --zone internal --permanent --add-interface=eth0   firewall-cmd --zone internal --permanent --add-service=apache2   firewall-cmd --zone internal --permanent --add-service=apache2-ssl   firewall-cmd --zone internal --permanent --add-service=nfs   firewall-cmd --zone internal --permanent --add-service=http   firewall-cmd --zone internal --permanent --add-service=https   firewall-cmd --reload}}

=== Aktivierung des Servers ===
Starten Sie den Server und aktivieren Sie ihn in einem Bootverzeichnis, damit er mit dem Rechner hochgefahren wird:
{{Shell|# rcapache2 start   chkconfig -a apache2}}
Sie können diese Einstellungen jederzeit unter ''YaST'' ändern im Untermenü
YaST > Dienste-Verwaltung

=== Hinzufügen von Apache-Modulen===
Um benötigte Apache-Module zu laden, können wir die Konfigurationsvariable ''APACHE_MODULES'' in <tt>/etc/sysconfig/apache2</tt> editieren. Schneller geht es jedoch mit den nachfolgenden Befehlen. Nach der Änderung muss der Server neu gestartet werden. Auch für die folgenden Befehle sind wieder die Rechte eines Superusers vonnöten.
{{Shell|# a2enmod mod_perl   a2enmod mod_env   a2enmod mod_ssl   a2enmod mod_php5   a2enmod mod_python   a2enmod mod_wsgi   a2enmod mod_cgi   a2enmod -l   rcapache2 restart}}

== Virtual Hosts ==
===Allgemeines===
Das Verzeichnis für alle Virtual Host ist <tt>/etc/apache2/vhosts.d/</tt>. Wie Sie sehen gibt es zwei Konfigurationsdateien - eine mit ssl, die andere ohne ssl. Wir benutzen die Vorlage ohne [https://de.wikipedia.org/wiki/Transport_Layer_Security Secure Sockets Layer]. Nur Dateien mit dem Suffix ".conf" werden automatisch in die Apachekonfiguration einbezogen.

{{Intro|Wenn Sie neben Lawsuit einen weiteren eigenen Virtual Host hinzufügen möchten, ersetzen Sie in den folgenden Zeilen bitte ''Domainname'' durch ihren Verzeichnisnamen oder Ihre IP-Adresse.}}

* Es gibt mehrere Varianten für die Struktur, mit welcher der eigenen Server auf dem Rechner aufgesetzt werden kann. Folgende Optionen bieten sich an:
:* [https://httpd.apache.org/docs/2.4/de/vhosts/name-based.html namensbasiert]
:* [https://httpd.apache.org/docs/2.4/de/vhosts/ip-based.html IP-basiert]
:* portbasiert

* Sei können für Ihre Verzeichnisse die Vorlage '''vhost.template''' kopieren und als Ihre '''{DOMAINNAME}.conf''' speichern. Hier hinein tragen Sie anschließend die Unterverzeichnisse für Ihren Virtual Host ein.

===Einstellungen für ''Lawsuit''===
Für ''Lawsuit'' wird die Konfigurationsdatei jedoch im Unterverzeichnis <tt>lawsuit/settings</tt> bereits fertig zur Verfügung gestellt. Sie müssen lediglich in der genannten Datei den Platzhalter durch den eigenen Nutzernamen ersetzen und die fertige Datei in das Vhosts-Verzeichnis verlinken. Wechseln Sie in das Unterverzeichnis <tt>lawsuit/settings</tt>. Wenn Sie ''Lawsuit'' in Ihrem Nutzerhauptverzeichnis installiert haben, gelangen Sie mit diesem Befehl dorthin:
{{Shell | > cd ~/lawsuit/settings}}
Erstellen Sie dort eine Konfigurationsdatei aus der Vorlage <tt>lawsuit-httpd.template</tt> und ersetzen Sie den darin enthaltenen Platzhalter ''meinpfad'' dabei durch Ihren Pfad zum aktuellen Verzeichnis. Dies erfolgt automatisiert durch diese Befehle:
{{Shell | > pfad=`pwd | sed 's/\/lawsuit.*//' | sed 's/\//\\\\\//g'` > sed "s/meinpfad/$pfad/g" lawsuit-httpd.template > lawsuit-httpd.conf}}
Falls Ihr Pfad zum Ordner <tt>Documents</tt> nicht mit dem soeben ermittelten Pfad für <tt>lawsuit</tt> identisch ist, passen Sie diese Einstellungen für das Verzeichnis <tt>Documents</tt> bitte in der <tt>lawsuit-httpd.conf</tt> mit einem Editor wie '''kate''' von Hand an.

Abschließend kopieren Sie die erstellte Konfigurationsdatei als ''Superuser'' in das Verzeichnis der Virtual Hosts von Apache:

{{Shell | > sudo cp lawsuit-httpd.conf /etc/apache2/vhosts.d/}}

* Neustart von Apache
{{Shell | > sudo service apache2 restart}}

=== Anpassen der Konfiguration ===
Um Ergänzungen oder Änderungen einheitlich für alle Virtual Hosts an der Datei <tt>/etc/apache2/default-server.conf</tt> vorzunehmen, editieren Sie die Konfigurationsvariable ''APACHE_CONF_INCLUDE_FILES'' mithilfe von
YaST > etc/sysconfig-Editor
oder arbeiten direkt in der Textdatei <tt>/etc/sysconfig/apache2</tt>. Zum Verständnis der Hierarchie und des Layouts um Dateien einzubeziehen, lesen Sie die Kommentierung im Kopf der <tt>httpd.conf</tt>. Die ursprüngliche, einfache Konfigurationsdatei mit nur 40K findet sich notfalls unter <tt>/usr/share/doc/packages/apache2/httpd-std.conf-prefork</tt>.

== Optional: Ein Zertifikat für localhost erstellen ==
Bei Mehrplatzsystemen funktionieren die Javascript-Voreintragungen bei Nutzung einer sicheren HTTPS-Verbindung nur, wenn ein eigenes Zertifikat erstellt wird, dessen Aussteller zudem noch aus vertrauenswürdig eingestuft werden muss.OpenSSL bringt umfassende Werkzeuge mit, um eine eigene, kleine Certificate Authority (CA) betreiben zu können.
=== Vergabe einer Domain für den Rechner mit den Lawsuit-Daten ===
Unter yast2 > Netzwerkdienste > Rechnernamen fügen Sie unter der Zeile "localhost" eine Zeile mit folgenden Daten ein:
IP-Adresse: 192.168.2.10
Hostnamen: k1.local
Aliasnamen: k1
[[Datei:Hostkonfiguration.png|thumb|600px|left|Eigenen Rechnernamen vergeben]]
 
Sie können statt "k1" eine beliebe andere Bezeichnung für den Hauptrechner wählen, müssen dann aber Ihre Domain in den folgenden Einstellungen beibehalten.

=== Certificate Authority (CA) erstellen ===
Zu Beginn wird die Certificate Authority generiert. Zunächst wird ein geheimer Private Key erzeugt:
{{Shell |> sudo openssl genrsa -aes256 -out /etc/ssl/private/rootCA.key 4096}}
Der Key trägt den Namen “rootCA.pem” und hat eine Länge von 4096 Bit. Die Option “-aes256” führt dazu, dass der Key mit einem Passwort geschützt wird. Die Key-Datei der CA muss tatsächlich besonders gut geschützt werden. Ein Angreifer, der den Key in die Hände bekommt, kann beliebig gefälschte Zertifikate im Namen der Kanzlei ausstellen, denen die Clients trauen. Die Verschlüsselung dieses Keys mit einem Passwort gibt zusätzlichen Schutz. Das gewünschte Passwort wird bei der Generierung abgefragt.
Einen geheimen Key für die CA gibt es damit also schon - es fehlt noch das Root-Zertifikat, das von den Clients später importiert werden muss, damit die von der CA ausgestellten Zertifikate im Browser als gültig erkannt werden. Das Root-Zertifikat “ca-root.pem” wird mit folgendem Befehl erzeugt:
{{Shell |> sudo openssl req -x509 -new -nodes -key /etc/ssl/private/rootCA.key -sha512 -days 5483 -out /etc/ssl/certs/rootCA.pem}}
In diesem Fall wird die CA 5483 Tage, also mit Schalttagen 15 Jahre lang gültig bleiben. Während der Generierung werden das Passwort für die CA und einige Attribute abgefragt (hier ein Beispiel):
Country Name (2 letter code) [AU]:DE
State or Province Name (full name) [Some-State]:Nordrhein-Westfalen
Locality Name (eg, city) []:Muenster
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Kanzlei Hermanns
Organizational Unit Name (eg, section) []:Rechtsanwalt
Common Name (e.g. server FQDN or YOUR name) []:RA Matthias Hermanns
Email Address []:hermanns@iustus.eu

===Erzeugen des Schlüssels===
Mit diesen Daten wird auch eine Konfigratunsdatei mit Namen <tt>ssl.cnf</tt> befüllt, die die Schlüsselausgabe später vereinfacht.
{{Shell |> cd ~/bin   mkdir keys   cd keys   kate ssl.cnf}}
Die Datei kann beispielsweise den folgenden Inhalt haben
[req]
# Standard-Verschlüsselung
default_bits = 4096
# verhindere prompt für die Zertifikat-Erstellung
# (Daten kommen aus dieser Datei)
prompt = no
# Verschlüsselungsmethode
default_md = sha512
# prevent key encryption
encrypt_key = no
# Sektion für Zertifizierer-Informationen:
distinguished_name = dn
# Zertifizierer-Informationen:
[dn]
# Länder-Code
C=DE
# Bundesland
ST=Nordrhein-Westfalen
# Stadt
L=Muenster
# Bezeichnung/Firmen-Name/Dein Name:
O=Kanzlei Hermanns
# Aussteller Name
OU=RA Matthias Hermanns
# E-Mail-Adresse
emailAddress=hermanns@iustus.eu
# Primärer Servername
CN = k1.local
[v3_ca]
keyUsage = digitalSignature, keyEncipherment
extendedKeyUsage = serverAuth
subjectAltName = IP:192.168.2.10, DNS:k1, DNS:k1.local
[alt_names]
# Primärer Server-Name
DNS.1=k1
# Sekunärer Server-Name
DNS.2=k1.local
# Wildcard Subdomains
DNS.3 = *.k1.local

Speichern Sie die so erstellte Datei <tt>ssl.cnf</tt> im <tt>bin</tt>-Verzeichnis ab. Mit folgendem Befehl erzeugen Sie nun als zertifizierter Aussteller die eigentlichen Schlüssel für die SSL-Verbindung:
{{Shell |> openssl req -new -keyout ~/bin/keys/k1.key -out ~/bin/keys/k1.csr -config ~/bin/keys/ssl.cnf}}

{{Shell |> sudo openssl x509 -req \   -in ~/bin/keys/k1.csr \   -CA /etc/ssl/certs/rootCA.pem \   -CAkey /etc/ssl/private/rootCA.key \   -CAcreateserial \   -out ~/bin/keys/k1.crt \   -days 3653 \   -extfile ~/bin/keys/ssl.cnf \   -extensions v3_ca}}

Damit die Zertifkate in die regelmäßige Sicherungsspeicherung aufgenommen werden, kopieren wir sie das Schlüsselverzeichnis <tt>keys</tt> unter <tt>lawsuit</tt>:
{{Shell |> sudo chown matthias:users keys/k1.crt   chmod 640 ~/bin/keys/k1.*   cp ~/bin/keys/k1.* ~/lawsuit/keys/}}

=== Verbindung mit dem Server ===
Wenn Sie host-Datei <tt>lawsuit-httpd.conf</tt> automatisch wie oben vorgeschlagen generiert haben, sind die notwendigen Einstellungen schon voreingetragen und müssen nur auskommentiert werden. Ansonsten ergänzen Sie unter /etc/apache2/vhosts.d/
folgende Zeilen:
<VirtualHost *:80>
ServerName k1.local
ServerAlias www.k1.local
</VirtualHost>

<IfModule mod_ssl.c>
<VirtualHost *:443>
ServerAdmin webmaster@localhost
DocumentRoot /home/BENUTZERNAME/lawsuit/
ServerName k1.local
ServerAlias www.k1.local
ErrorLog /var/log/apache2/error_ssl_log
SSLEngine on
SSLCertificateFile /home/BENUTZERNAME/bin/keys/k1.crt
SSLCertificateKeyFile /home/BENUTZERNAME/bin/keys/k1.key
<IfModule mod_headers.c>
Header always set Strict-Transport-Security "max-age=15552000; includeSubDomains"
</IfModule>
<FilesMatch "\.(cgi|html|shtml|pl|phtml|php)$">
SSLOptions +StdEnvVars
</FilesMatch>
<Directory /home/BENUTZERNAME/lawsuit/cgi-bin>
SSLOptions +StdEnvVars
</Directory>
</VirtualHost>
</IfModule>

# configuration
SSLProtocol all -SSLv3 -TLSv1 -TLSv1.1 -TLSv1.2
SSLHonorCipherOrder off
SSLSessionTickets off

Unter Firefox kann das selbstgezeichnete Zertifikat nun verwendet werden. Bitte beachten Sie, dass für jede Apache-Konfigurrationsdatei ein anderer Port geöffnet werden muss, "443" also nur einmal verwendet werden kann. Sie können alternativ z.B. "4443" verwenden.

Abschließender Test und Neustart:
{{Shell |# sudo apache2ctl -t   sudo systemctl restart apache2}}

=== Registrierung als vertrauenswürdiger Aussteller für den Firefox-Browser ===
Damit der Firefox-Browser das Zertifikat tatsächlich verwendet und als vertrauenswürdig akzeptiert, muss es im Kleopatra-Schlüsseldienst eingetragen werden, auf den der Browser zugreift.
{{Shell |> kleopatra}}
Klicken Sie den Reiter Importieren an und fügen Sie nacheinander die folgenden Dateien ein:
 <tt>/home/BENUTZERNAME/bin/keys/k1.crt</tt>
 <tt>/etc/ssl/certs/rootCA.pem</tt> 
Bitte bestätigen Sie die erbetenen Beglaubigungen mit der Maustaste.
[[Datei:Kleopatra.png|thumb|600px|left|Importieren der Zertifikate in das Kleopatra-Schlüsselverwaltungsprogramm]]
 
Nun wechseln Sie in den Firefox-Browser und geben in die Adresszeile ein
about:config
Dort ändern Sie die Variable
security.enterprise_roots.enabled -> true
von "false" auf "true". Nun bezieht der Browser auch Ihre eigenen CA-Beglaubigungen des Unternehmens eine seine Bewertungen mit ein und vergibt ein grünes Schlüsselsymbol.

== Problembehebung ==
Lesen Sie wenn möglich die Fehlermeldungen nach dem Start des Servers. Versuchen Sie Fehler ggf. zu reproduzieren und vergleichen Sie die Einträge in den Log-Dateien. Den Einblick auf die dortigen Meldungen können Sie mit dem folgenden Befehl auf den neuesten Stand reduzieren::

{{Shell | # tail -F /var/log/apache2/*}}

Da die Error-Messages schnell sehr großen Umfang einnehmen, der am Ende sogar den Systemstart blockieren kann, empfiehlt es sich, mit Logrotate den Bestand unter Kontrolle zu halten. Installieren Sie dazu, falls noch nicht vom System geschehen:
{{Shell | # zypper in logrotate}}
Sie können die Einstellungen in der Konfigurationsdatei
/etc/logrotate.conf
ändern. Eine typische Konfiguration von <tt>logrotate.conf</tt> sieht z.B. wie folgt aus:
{{Shell |# see "man logrotate" for details
 # rotate log files weekly
 weekly
 # keep 4 weeks worth of backlogs
 rotate 4
 # remove rotated logs older than <count> days
 maxage 90 
 # create new (empty) log files after rotating old ones
 create
 # use date as a suffix of the rotated file
 dateext
 # uncomment this if you want your log files compressed
 compress
 # comment these to switch compression to use gzip or another
 # compression scheme
 compresscmd /usr/bin/xz
 uncompresscmd /usr/bin/xzdec
 # RPM packages drop log rotation information into this directory
 include /etc/logrotate.d
}}

Sollten Sie einen Fehler gefunden haben, [https://de.opensuse.org/SDB:Fehler_berichten berichten Sie ihn] bitte.

==Weiterführende Informationen==
=== Verwandte Artikel ===
*[https://de.opensuse.org/YaST_Module_Firewall#Firewall_Einrichten openSUSE Firewall]
* Package documentation and example configuration files in /usr/share/doc/packages/apache2/

===Externe Links===
* [https://doc.opensuse.org/documentation/leap/reference/html/book.opensuse.reference/cha.apache2.html openSUSE Apache Documentation]
* [http://httpd.apache.org/ The Apache Project]
* [http://www.apache.org/ Apache Software Foundation]

{{DEFAULTSORT:{{PAGENAME}}}}

[[Category:Linuxinstallation]]

Aufsetzen des Apache-Servers

2023-09-16T18:48:58Z

89.246.127.116: /* Optional: Ein Zertifikat für localhost erstellen */

{{Knowledge|
*[https://de.opensuse.org/Portal:Tumbleweed Tumbleweed]
*[https://de.opensuse.org/Portal:42.3 Leap 42.3]
*[https://de.opensuse.org/Portal:42.2 Leap 42.2]
*[https://de.opensuse.org/Portal:42.1 Leap 42.1]
|
*[https://de.opensuse.org/Portal:Apache Portal:Apache]
|
*[https://de.opensuse.org/SDB:LAMP_Einrichtung SDB:LAMP_Einrichtung]
*[https://de.opensuse.org/Apache2 Apache2]
*[https://de.opensuse.org/Portal:MySQL Portal:MySQL]
}}

== Einführung ==

Diese Dokument gibt eine rasche Einführung, wie ein Apache-Server auf dem lokalen Rechner aufgesetzt werden kann, der die Lawsuit-Programmteile bereitstellt.

----

{{Warnung| Die Kurzanleitung geht nicht vertieft auf mögliche Experten-Einstellungen des Servers ein. Insbesondere bleiben hier Sicherheitseinstellungen unberücksichtigt, die für den Betrieb als öffentlich zugänglicher Netzserver unumgänglich wären. Die nachfolgenden Schritte sind für Anwender gedacht, die Lawsuit intern auf dem Kanzleirechner hinter einer Firewall betreiben möchten.}}

----

== Allgemeine Rechner-Konfiguration ==

Die Software benötigt eine funktionierende Netzwerkumgebung. Einstellungen hierzu können Sie mit ''YaST'' unter der Rubrik "Netzwerkeinestellungen" vornehmen. Achten Sie insbesondere bei der Nutzung von [https://de.wikipedia.org/wiki/Dynamic_Host_Configuration_Protocol DHCP] darauf, dass weitere Rechner der Kanzlei von YaST tatsächlich im selben Nummernraum wie dieser PC eingetragen wurden, auf dem Apache nun installiert werden soll. Ansonsten können diese Rechner später nicht auf die Kanzleisoftware zugreifen.

Als Zweites sollte der PC auf dem aktuellen Softwarestand sein. Prüfen Sie diesen gegebenenfalls mit ''YaST'' in der Sektion '''Online update''' nach .

=== Installation der Apache-Pakete ===

Der Apache-Server und das optionale Perl-Modul können mit ''zypper'' installiert werden. Öffnen Sie dazu ein Terminal-Fenster und wechseln Sie wie folgt in den Superuser-Modus:
{{Shell|> su}}
Geben Sie nach der Passwortbestätigung den folgenden Befehl ein:
{{Shell|# zypper in apache2 apache2-doc perl-Apache-DBI apache2-mod_perl apache2-mod_php5 apache2-mod_python firewalld-rpcbind-helper}}

=== Nutzung der Yast-Funktion ===

Die weiteren Einstellungen lassen sich zunächst vereinfachen, indem man die Yast-Funktionen für die Servereinrichtung nutzt. Laden Sie dafür das entsprechende Modul nach. Erfahrungsgemäß ist dieser Zwischenschritt jedoch nicht nötig, wenn man die Konfiguration in den nächsten Punkten sorgfältig durchführt.
{{Shell|# zypper in yast2-http-server apache2-mod_wsgi-python3}}
Unter ''yast2'' wählen Sie >HTTP-Server und klicken sich durch den Installationsprozess. Es müssen keine Anpassungen vorgenommen werden. Nach Abschluss der Installation verschieben Sie Ihre eigene Installation aus <tt>/ect/apache2/vhosts.d/YaSTsave</tt> wieder ins obere Verzeichnis <tt>/ect/apache2/vhosts.d</tt>.

Nach Abschluss der Einrichung kann das Hilfsprogramm ''yast2-http-server'' wieder entfernt werden.
{{Shell|# zypper rm yast2-http-server}}

=== Anpassung der Firewall ===

Die Firewall ist so voreingestellt, dass sie über Port 80 auf den Rechner eingehende Daten grundsätzlich sperrt. Folglich müssen die Firewall-Einstellungen so angepasst werden, dass aus dem Lokalen Netzwerk über Port 80 eingehender Datenstrom akzeptiert wird.
Die folgenden Schritte müssen dazu weiterhin als Root ausgeführt werden.
* bis [http://de.opensuse.org/Portal:42.3 Leap 42.3]
{{Shell|# sysconf_addword /etc/sysconfig/SuSEfirewall2 FW_CONFIGURATIONS_EXT apache2   sysconf_addword /etc/sysconfig/SuSEfirewall2 FW_CONFIGURATIONS_EXT apache2-ssl   sysconf_addword /etc/sysconfig/SuSEfirewall2 FW_CONFIGURATIONS_EXT http   sysconf_addword /etc/sysconfig/SuSEfirewall2 FW_CONFIGURATIONS_EXT https   rcSuSEfirewall2 restart }}
Die Einstellungen finden sich jedoch auch unter ''YaST'' und können dort im '''etc/sysconfig-Editor''' mit den Einträgen ''apache2'' und ''apache2-ssl'' aktiviert werden, indem sie diese durch Leerzeichen getrennt im Feld ''FW_CONFIGURATIONS_EXT'' in <tt>/etc/sysconfig/SuSEfirewall2 </tt> einsetzen. Diese Konfigurationsvariable findet sich unter:
Network > Firewall > SuSEfirewall2

* ab [http://de.opensuse.org/Portal:Tubmleweed Tumbleweed]
Die Variablen können per ''YaST'' unter
Networt > Firewall
unter der Listenauswahl ''Permanent'' wir folgt eingestellt werden:
[[Datei:Apache2_firewall.png|thumb|600px|left|Firewall-Einstellungen für den Apache-Server]]
 
Alternativ ist die Auswahl per Shell möglich:
{{Shell|# firewall-cmd --zone internal --permanent --add-interface=eth0   firewall-cmd --zone internal --permanent --add-service=apache2   firewall-cmd --zone internal --permanent --add-service=apache2-ssl   firewall-cmd --zone internal --permanent --add-service=nfs   firewall-cmd --zone internal --permanent --add-service=http   firewall-cmd --zone internal --permanent --add-service=https   firewall-cmd --reload}}

=== Aktivierung des Servers ===
Starten Sie den Server und aktivieren Sie ihn in einem Bootverzeichnis, damit er mit dem Rechner hochgefahren wird:
{{Shell|# rcapache2 start   chkconfig -a apache2}}
Sie können diese Einstellungen jederzeit unter ''YaST'' ändern im Untermenü
YaST > Dienste-Verwaltung

=== Hinzufügen von Apache-Modulen===
Um benötigte Apache-Module zu laden, können wir die Konfigurationsvariable ''APACHE_MODULES'' in <tt>/etc/sysconfig/apache2</tt> editieren. Schneller geht es jedoch mit den nachfolgenden Befehlen. Nach der Änderung muss der Server neu gestartet werden. Auch für die folgenden Befehle sind wieder die Rechte eines Superusers vonnöten.
{{Shell|# a2enmod mod_perl   a2enmod mod_env   a2enmod mod_ssl   a2enmod mod_php5   a2enmod mod_python   a2enmod mod_wsgi   a2enmod mod_cgi   a2enmod -l   rcapache2 restart}}

== Virtual Hosts ==
===Allgemeines===
Das Verzeichnis für alle Virtual Host ist <tt>/etc/apache2/vhosts.d/</tt>. Wie Sie sehen gibt es zwei Konfigurationsdateien - eine mit ssl, die andere ohne ssl. Wir benutzen die Vorlage ohne [https://de.wikipedia.org/wiki/Transport_Layer_Security Secure Sockets Layer]. Nur Dateien mit dem Suffix ".conf" werden automatisch in die Apachekonfiguration einbezogen.

{{Intro|Wenn Sie neben Lawsuit einen weiteren eigenen Virtual Host hinzufügen möchten, ersetzen Sie in den folgenden Zeilen bitte ''Domainname'' durch ihren Verzeichnisnamen oder Ihre IP-Adresse.}}

* Es gibt mehrere Varianten für die Struktur, mit welcher der eigenen Server auf dem Rechner aufgesetzt werden kann. Folgende Optionen bieten sich an:
:* [https://httpd.apache.org/docs/2.4/de/vhosts/name-based.html namensbasiert]
:* [https://httpd.apache.org/docs/2.4/de/vhosts/ip-based.html IP-basiert]
:* portbasiert

* Sei können für Ihre Verzeichnisse die Vorlage '''vhost.template''' kopieren und als Ihre '''{DOMAINNAME}.conf''' speichern. Hier hinein tragen Sie anschließend die Unterverzeichnisse für Ihren Virtual Host ein.

===Einstellungen für ''Lawsuit''===
Für ''Lawsuit'' wird die Konfigurationsdatei jedoch im Unterverzeichnis <tt>lawsuit/settings</tt> bereits fertig zur Verfügung gestellt. Sie müssen lediglich in der genannten Datei den Platzhalter durch den eigenen Nutzernamen ersetzen und die fertige Datei in das Vhosts-Verzeichnis verlinken. Wechseln Sie in das Unterverzeichnis <tt>lawsuit/settings</tt>. Wenn Sie ''Lawsuit'' in Ihrem Nutzerhauptverzeichnis installiert haben, gelangen Sie mit diesem Befehl dorthin:
{{Shell | > cd ~/lawsuit/settings}}
Erstellen Sie dort eine Konfigurationsdatei aus der Vorlage <tt>lawsuit-httpd.template</tt> und ersetzen Sie den darin enthaltenen Platzhalter ''meinpfad'' dabei durch Ihren Pfad zum aktuellen Verzeichnis. Dies erfolgt automatisiert durch diese Befehle:
{{Shell | > pfad=`pwd | sed 's/\/lawsuit.*//' | sed 's/\//\\\\\//g'` > sed "s/meinpfad/$pfad/g" lawsuit-httpd.template > lawsuit-httpd.conf}}
Falls Ihr Pfad zum Ordner <tt>Documents</tt> nicht mit dem soeben ermittelten Pfad für <tt>lawsuit</tt> identisch ist, passen Sie diese Einstellungen für das Verzeichnis <tt>Documents</tt> bitte in der <tt>lawsuit-httpd.conf</tt> mit einem Editor wie '''kate''' von Hand an.

Abschließend kopieren Sie die erstellte Konfigurationsdatei als ''Superuser'' in das Verzeichnis der Virtual Hosts von Apache:

{{Shell | > sudo cp lawsuit-httpd.conf /etc/apache2/vhosts.d/}}

* Neustart von Apache
{{Shell | > sudo service apache2 restart}}

=== Anpassen der Konfiguration ===
Um Ergänzungen oder Änderungen einheitlich für alle Virtual Hosts an der Datei <tt>/etc/apache2/default-server.conf</tt> vorzunehmen, editieren Sie die Konfigurationsvariable ''APACHE_CONF_INCLUDE_FILES'' mithilfe von
YaST > etc/sysconfig-Editor
oder arbeiten direkt in der Textdatei <tt>/etc/sysconfig/apache2</tt>. Zum Verständnis der Hierarchie und des Layouts um Dateien einzubeziehen, lesen Sie die Kommentierung im Kopf der <tt>httpd.conf</tt>. Die ursprüngliche, einfache Konfigurationsdatei mit nur 40K findet sich notfalls unter <tt>/usr/share/doc/packages/apache2/httpd-std.conf-prefork</tt>.

== Optional: Ein Zertifikat für localhost erstellen ==
Bei Mehrplatzsystemen funktionieren die Javascript-Voreintragungen bei Nutzung einer sicheren HTTPS-Verbindung nur, wenn ein eigenes Zertifikat erstellt wird, dessen Aussteller zudem noch aus vertrauenswürdig eingestuft werden muss.OpenSSL bringt umfassende Werkzeuge mit, um eine eigene, kleine Certificate Authority (CA) betreiben zu können.
=== Vergabe einer Domain für den Rechner mit den Lawsuit-Daten ===
Unter yast2 > Netzwerkdienste > Rechnernamen fügen Sie unter der Zeile "localhost" eine Zeile mit folgenden Daten ein:
IP-Adresse: 192.168.2.10
Hostnamen: k1.local
Aliasnamen: k1
[[Datei:Hostkonfiguration.png|thumb|600px|left|Eigenen Rechnernamen vergeben]]
 
Sie können statt "k1" eine beliebe andere Bezeichnung für den Hauptrechner wählen, müssen dann aber Ihre Domain in den folgenden Einstellungen beibehalten.

=== Certificate Authority (CA) erstellen ===
Zu Beginn wird die Certificate Authority generiert. Zunächst wird ein geheimer Private Key erzeugt:
{{Shell |> sudo openssl genrsa -aes256 -out /etc/ssl/private/rootCA.key 4096}}
Der Key trägt den Namen “rootCA.pem” und hat eine Länge von 4096 Bit. Die Option “-aes256” führt dazu, dass der Key mit einem Passwort geschützt wird. Die Key-Datei der CA muss tatsächlich besonders gut geschützt werden. Ein Angreifer, der den Key in die Hände bekommt, kann beliebig gefälschte Zertifikate im Namen der Kanzlei ausstellen, denen die Clients trauen. Die Verschlüsselung dieses Keys mit einem Passwort gibt zusätzlichen Schutz. Das gewünschte Passwort wird bei der Generierung abgefragt.
Einen geheimen Key für die CA gibt es damit also schon - es fehlt noch das Root-Zertifikat, das von den Clients später importiert werden muss, damit die von der CA ausgestellten Zertifikate im Browser als gültig erkannt werden. Das Root-Zertifikat “ca-root.pem” wird mit folgendem Befehl erzeugt:
{{Shell |> sudo openssl req -x509 -new -nodes -key /etc/ssl/private/rootCA.key -sha512 -days 5483 -out /etc/ssl/certs/rootCA.pem}}
In diesem Fall wird die CA 5483 Tage, also mit Schalttagen 15 Jahre lang gültig bleiben. Während der Generierung werden das Passwort für die CA und einige Attribute abgefragt (hier ein Beispiel):
Country Name (2 letter code) [AU]:DE
State or Province Name (full name) [Some-State]:Nordrhein-Westfalen
Locality Name (eg, city) []:Muenster
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Kanzlei Hermanns
Organizational Unit Name (eg, section) []:Rechtsanwalt
Common Name (e.g. server FQDN or YOUR name) []:RA Matthias Hermanns
Email Address []:hermanns@iustus.eu

===Erzeugen des Schlüssels===
Mit diesen Daten wird auch eine Konfigratunsdatei mit Namen <tt>ssl.cnf</tt> befüllt, die die Schlüsselausgabe später vereinfacht.
{{Shell |> cd ~/bin   mkdir keys   cd keys   kate ssl.cnf}}
Die Datei kann beispielsweise den folgenden Inhalt haben
[req]
# Standard-Verschlüsselung
default_bits = 4096
# verhindere prompt für die Zertifikat-Erstellung
# (Daten kommen aus dieser Datei)
prompt = no
# Verschlüsselungsmethode
default_md = sha512
# prevent key encryption
encrypt_key = no
# Sektion für Zertifizierer-Informationen:
distinguished_name = dn
# Zertifizierer-Informationen:
[dn]
# Länder-Code
C=DE
# Bundesland
ST=Nordrhein-Westfalen
# Stadt
L=Muenster
# Bezeichnung/Firmen-Name/Dein Name:
O=Kanzlei Hermanns
# Aussteller Name
OU=RA Matthias Hermanns
# E-Mail-Adresse
emailAddress=hermanns@iustus.eu
# Primärer Servername
CN = k1.local
[v3_ca]
keyUsage = digitalSignature, keyEncipherment
extendedKeyUsage = serverAuth
subjectAltName = IP:192.168.2.10, DNS:k1, DNS:k1.local
[alt_names]
# Primärer Server-Name
DNS.1=k1
# Sekunärer Server-Name
DNS.2=k1.local
# Wildcard Subdomains
DNS.3 = *.k1.local

Speichern Sie die so erstellte Datei <tt>ssl.cnf</tt> im <tt>bin</tt>-Verzeichnis ab. Mit folgendem Befehl erzeugen Sie nun als zertifizierter Aussteller die eigentlichen Schlüssel für die SSL-Verbindung:
{{Shell |> openssl req -new -keyout ~/bin/keys/k1.key -out ~/bin/keys/k1.csr -config ~/bin/keys/ssl.cnf}}

{{Shell |> sudo openssl x509 -req \   -in ~/bin/keys/k1.csr \   -CA /etc/ssl/certs/rootCA.pem \   -CAkey /etc/ssl/private/rootCA.key \   -CAcreateserial \   -out ~/bin/keys/k1.crt \   -days 3653 \   -extfile ~/bin/keys/ssl.cnf \   -extensions v3_ca}}

Damit die Zertifkate in die regelmäßige Sicherungsspeicherung aufgenommen werden, kopieren wir sie das Schlüsselverzeichnis <tt>keys</tt> unter <tt>lawsuit</tt>:
{{Shell |> sudo chown matthias:users keys/k1.crt   chmod 640 ~/bin/keys/k1.*   cp ~/bin/keys/k1.* ~/lawsuit/keys/}}

=== Verbindung mit dem Server ===
Wenn Sie host-Datei <tt>lawsuit-httpd.conf</tt> automatisch wie oben vorgeschlagen generiert haben, sind die notwendigen Einstellungen schon voreingetragen und müssen nur auskommentiert werden. Ansonsten ergänzen Sie unter /etc/apache2/vhosts.d/
folgende Zeilen:
<VirtualHost *:80>
ServerName k1.local
ServerAlias www.k1.local
</VirtualHost>

<IfModule mod_ssl.c>
<VirtualHost *:443>
ServerAdmin webmaster@localhost
DocumentRoot /home/BENUTZERNAME/lawsuit/
ServerName k1.local
ServerAlias www.k1.local
ErrorLog /var/log/apache2/error_log
SSLEngine on
SSLCertificateFile /home/BENUTZERNAME/bin/keys/k1.crt
SSLCertificateKeyFile /home/BENUTZERNAME/bin/keys/k1.key
<IfModule mod_headers.c>
Header always set Strict-Transport-Security "max-age=15552000; includeSubDomains"
</IfModule>
<FilesMatch "\.(cgi|html|shtml|pl|phtml|php)$">
SSLOptions +StdEnvVars
</FilesMatch>
<Directory /home/BENUTZERNAME/lawsuit/cgi-bin>
SSLOptions +StdEnvVars
</Directory>
</VirtualHost>
</IfModule>

# configuration
SSLProtocol all -SSLv3 -TLSv1 -TLSv1.1 -TLSv1.2
SSLHonorCipherOrder off
SSLSessionTickets off

Unter Firefox kann das selbstgezeichnete Zertifikat nun verwendet werden. Bitte beachten Sie, dass für jede Apache-Konfigurrationsdatei ein anderer Port geöffnet werden muss, "443" also nur einmal verwendet werden kann. Sie können alternativ z.B. "4443" verwenden.

Abschließender Test und Neustart:
{{Shell |# sudo apache2ctl -t   sudo systemctl restart apache2}}

=== Registrierung als vertrauenswürdiger Aussteller für den Firefox-Browser ===
Damit der Firefox-Browser das Zertifikat tatsächlich verwendet und als vertrauenswürdig akzeptiert, muss es im Kleopatra-Schlüsseldienst eingetragen werden, auf den der Browser zugreift.
{{Shell |> kleopatra}}
Klicken Sie den Reiter Importieren an und fügen Sie nacheinander die folgenden Dateien ein:
 <tt>/home/BENUTZERNAME/bin/keys/k1.crt</tt>
 <tt>/etc/ssl/certs/rootCA.pem</tt> 
Bitte bestätigen Sie die erbetenen Beglaubigungen mit der Maustaste.
[[Datei:Kleopatra.png|thumb|600px|left|Importieren der Zertifikate in das Kleopatra-Schlüsselverwaltungsprogramm]]
 
Nun wechseln Sie in den Firefox-Browser und geben in die Adresszeile ein
about:config
Dort ändern Sie die Variable
security.enterprise_roots.enabled -> true
von "false" auf "true". Nun bezieht der Browser auch Ihre eigenen CA-Beglaubigungen des Unternehmens eine seine Bewertungen mit ein und vergibt ein grünes Schlüsselsymbol.

== Problembehebung ==
Lesen Sie wenn möglich die Fehlermeldungen nach dem Start des Servers. Versuchen Sie Fehler ggf. zu reproduzieren und vergleichen Sie die Einträge in den Log-Dateien. Den Einblick auf die dortigen Meldungen können Sie mit dem folgenden Befehl auf den neuesten Stand reduzieren::

{{Shell | # tail -F /var/log/apache2/*}}

Da die Error-Messages schnell sehr großen Umfang einnehmen, der am Ende sogar den Systemstart blockieren kann, empfiehlt es sich, mit Logrotate den Bestand unter Kontrolle zu halten. Installieren Sie dazu, falls noch nicht vom System geschehen:
{{Shell | # zypper in logrotate}}
Sie können die Einstellungen in der Konfigurationsdatei
/etc/logrotate.conf
ändern. Eine typische Konfiguration von <tt>logrotate.conf</tt> sieht z.B. wie folgt aus:
{{Shell |# see "man logrotate" for details
 # rotate log files weekly
 weekly
 # keep 4 weeks worth of backlogs
 rotate 4
 # remove rotated logs older than <count> days
 maxage 90 
 # create new (empty) log files after rotating old ones
 create
 # use date as a suffix of the rotated file
 dateext
 # uncomment this if you want your log files compressed
 compress
 # comment these to switch compression to use gzip or another
 # compression scheme
 compresscmd /usr/bin/xz
 uncompresscmd /usr/bin/xzdec
 # RPM packages drop log rotation information into this directory
 include /etc/logrotate.d
}}

Sollten Sie einen Fehler gefunden haben, [https://de.opensuse.org/SDB:Fehler_berichten berichten Sie ihn] bitte.

==Weiterführende Informationen==
=== Verwandte Artikel ===
*[https://de.opensuse.org/YaST_Module_Firewall#Firewall_Einrichten openSUSE Firewall]
* Package documentation and example configuration files in /usr/share/doc/packages/apache2/

===Externe Links===
* [https://doc.opensuse.org/documentation/leap/reference/html/book.opensuse.reference/cha.apache2.html openSUSE Apache Documentation]
* [http://httpd.apache.org/ The Apache Project]
* [http://www.apache.org/ Apache Software Foundation]

{{DEFAULTSORT:{{PAGENAME}}}}

[[Category:Linuxinstallation]]

Aufsetzen des Apache-Servers

2023-09-16T18:48:06Z

89.246.127.116: /* Erzeugen des Schlüssels */

{{Knowledge|
*[https://de.opensuse.org/Portal:Tumbleweed Tumbleweed]
*[https://de.opensuse.org/Portal:42.3 Leap 42.3]
*[https://de.opensuse.org/Portal:42.2 Leap 42.2]
*[https://de.opensuse.org/Portal:42.1 Leap 42.1]
|
*[https://de.opensuse.org/Portal:Apache Portal:Apache]
|
*[https://de.opensuse.org/SDB:LAMP_Einrichtung SDB:LAMP_Einrichtung]
*[https://de.opensuse.org/Apache2 Apache2]
*[https://de.opensuse.org/Portal:MySQL Portal:MySQL]
}}

== Einführung ==

Diese Dokument gibt eine rasche Einführung, wie ein Apache-Server auf dem lokalen Rechner aufgesetzt werden kann, der die Lawsuit-Programmteile bereitstellt.

----

{{Warnung| Die Kurzanleitung geht nicht vertieft auf mögliche Experten-Einstellungen des Servers ein. Insbesondere bleiben hier Sicherheitseinstellungen unberücksichtigt, die für den Betrieb als öffentlich zugänglicher Netzserver unumgänglich wären. Die nachfolgenden Schritte sind für Anwender gedacht, die Lawsuit intern auf dem Kanzleirechner hinter einer Firewall betreiben möchten.}}

----

== Allgemeine Rechner-Konfiguration ==

Die Software benötigt eine funktionierende Netzwerkumgebung. Einstellungen hierzu können Sie mit ''YaST'' unter der Rubrik "Netzwerkeinestellungen" vornehmen. Achten Sie insbesondere bei der Nutzung von [https://de.wikipedia.org/wiki/Dynamic_Host_Configuration_Protocol DHCP] darauf, dass weitere Rechner der Kanzlei von YaST tatsächlich im selben Nummernraum wie dieser PC eingetragen wurden, auf dem Apache nun installiert werden soll. Ansonsten können diese Rechner später nicht auf die Kanzleisoftware zugreifen.

Als Zweites sollte der PC auf dem aktuellen Softwarestand sein. Prüfen Sie diesen gegebenenfalls mit ''YaST'' in der Sektion '''Online update''' nach .

=== Installation der Apache-Pakete ===

Der Apache-Server und das optionale Perl-Modul können mit ''zypper'' installiert werden. Öffnen Sie dazu ein Terminal-Fenster und wechseln Sie wie folgt in den Superuser-Modus:
{{Shell|> su}}
Geben Sie nach der Passwortbestätigung den folgenden Befehl ein:
{{Shell|# zypper in apache2 apache2-doc perl-Apache-DBI apache2-mod_perl apache2-mod_php5 apache2-mod_python firewalld-rpcbind-helper}}

=== Nutzung der Yast-Funktion ===

Die weiteren Einstellungen lassen sich zunächst vereinfachen, indem man die Yast-Funktionen für die Servereinrichtung nutzt. Laden Sie dafür das entsprechende Modul nach. Erfahrungsgemäß ist dieser Zwischenschritt jedoch nicht nötig, wenn man die Konfiguration in den nächsten Punkten sorgfältig durchführt.
{{Shell|# zypper in yast2-http-server apache2-mod_wsgi-python3}}
Unter ''yast2'' wählen Sie >HTTP-Server und klicken sich durch den Installationsprozess. Es müssen keine Anpassungen vorgenommen werden. Nach Abschluss der Installation verschieben Sie Ihre eigene Installation aus <tt>/ect/apache2/vhosts.d/YaSTsave</tt> wieder ins obere Verzeichnis <tt>/ect/apache2/vhosts.d</tt>.

Nach Abschluss der Einrichung kann das Hilfsprogramm ''yast2-http-server'' wieder entfernt werden.
{{Shell|# zypper rm yast2-http-server}}

=== Anpassung der Firewall ===

Die Firewall ist so voreingestellt, dass sie über Port 80 auf den Rechner eingehende Daten grundsätzlich sperrt. Folglich müssen die Firewall-Einstellungen so angepasst werden, dass aus dem Lokalen Netzwerk über Port 80 eingehender Datenstrom akzeptiert wird.
Die folgenden Schritte müssen dazu weiterhin als Root ausgeführt werden.
* bis [http://de.opensuse.org/Portal:42.3 Leap 42.3]
{{Shell|# sysconf_addword /etc/sysconfig/SuSEfirewall2 FW_CONFIGURATIONS_EXT apache2   sysconf_addword /etc/sysconfig/SuSEfirewall2 FW_CONFIGURATIONS_EXT apache2-ssl   sysconf_addword /etc/sysconfig/SuSEfirewall2 FW_CONFIGURATIONS_EXT http   sysconf_addword /etc/sysconfig/SuSEfirewall2 FW_CONFIGURATIONS_EXT https   rcSuSEfirewall2 restart }}
Die Einstellungen finden sich jedoch auch unter ''YaST'' und können dort im '''etc/sysconfig-Editor''' mit den Einträgen ''apache2'' und ''apache2-ssl'' aktiviert werden, indem sie diese durch Leerzeichen getrennt im Feld ''FW_CONFIGURATIONS_EXT'' in <tt>/etc/sysconfig/SuSEfirewall2 </tt> einsetzen. Diese Konfigurationsvariable findet sich unter:
Network > Firewall > SuSEfirewall2

* ab [http://de.opensuse.org/Portal:Tubmleweed Tumbleweed]
Die Variablen können per ''YaST'' unter
Networt > Firewall
unter der Listenauswahl ''Permanent'' wir folgt eingestellt werden:
[[Datei:Apache2_firewall.png|thumb|600px|left|Firewall-Einstellungen für den Apache-Server]]
 
Alternativ ist die Auswahl per Shell möglich:
{{Shell|# firewall-cmd --zone internal --permanent --add-interface=eth0   firewall-cmd --zone internal --permanent --add-service=apache2   firewall-cmd --zone internal --permanent --add-service=apache2-ssl   firewall-cmd --zone internal --permanent --add-service=nfs   firewall-cmd --zone internal --permanent --add-service=http   firewall-cmd --zone internal --permanent --add-service=https   firewall-cmd --reload}}

=== Aktivierung des Servers ===
Starten Sie den Server und aktivieren Sie ihn in einem Bootverzeichnis, damit er mit dem Rechner hochgefahren wird:
{{Shell|# rcapache2 start   chkconfig -a apache2}}
Sie können diese Einstellungen jederzeit unter ''YaST'' ändern im Untermenü
YaST > Dienste-Verwaltung

=== Hinzufügen von Apache-Modulen===
Um benötigte Apache-Module zu laden, können wir die Konfigurationsvariable ''APACHE_MODULES'' in <tt>/etc/sysconfig/apache2</tt> editieren. Schneller geht es jedoch mit den nachfolgenden Befehlen. Nach der Änderung muss der Server neu gestartet werden. Auch für die folgenden Befehle sind wieder die Rechte eines Superusers vonnöten.
{{Shell|# a2enmod mod_perl   a2enmod mod_env   a2enmod mod_ssl   a2enmod mod_php5   a2enmod mod_python   a2enmod mod_wsgi   a2enmod mod_cgi   a2enmod -l   rcapache2 restart}}

== Virtual Hosts ==
===Allgemeines===
Das Verzeichnis für alle Virtual Host ist <tt>/etc/apache2/vhosts.d/</tt>. Wie Sie sehen gibt es zwei Konfigurationsdateien - eine mit ssl, die andere ohne ssl. Wir benutzen die Vorlage ohne [https://de.wikipedia.org/wiki/Transport_Layer_Security Secure Sockets Layer]. Nur Dateien mit dem Suffix ".conf" werden automatisch in die Apachekonfiguration einbezogen.

{{Intro|Wenn Sie neben Lawsuit einen weiteren eigenen Virtual Host hinzufügen möchten, ersetzen Sie in den folgenden Zeilen bitte ''Domainname'' durch ihren Verzeichnisnamen oder Ihre IP-Adresse.}}

* Es gibt mehrere Varianten für die Struktur, mit welcher der eigenen Server auf dem Rechner aufgesetzt werden kann. Folgende Optionen bieten sich an:
:* [https://httpd.apache.org/docs/2.4/de/vhosts/name-based.html namensbasiert]
:* [https://httpd.apache.org/docs/2.4/de/vhosts/ip-based.html IP-basiert]
:* portbasiert

* Sei können für Ihre Verzeichnisse die Vorlage '''vhost.template''' kopieren und als Ihre '''{DOMAINNAME}.conf''' speichern. Hier hinein tragen Sie anschließend die Unterverzeichnisse für Ihren Virtual Host ein.

===Einstellungen für ''Lawsuit''===
Für ''Lawsuit'' wird die Konfigurationsdatei jedoch im Unterverzeichnis <tt>lawsuit/settings</tt> bereits fertig zur Verfügung gestellt. Sie müssen lediglich in der genannten Datei den Platzhalter durch den eigenen Nutzernamen ersetzen und die fertige Datei in das Vhosts-Verzeichnis verlinken. Wechseln Sie in das Unterverzeichnis <tt>lawsuit/settings</tt>. Wenn Sie ''Lawsuit'' in Ihrem Nutzerhauptverzeichnis installiert haben, gelangen Sie mit diesem Befehl dorthin:
{{Shell | > cd ~/lawsuit/settings}}
Erstellen Sie dort eine Konfigurationsdatei aus der Vorlage <tt>lawsuit-httpd.template</tt> und ersetzen Sie den darin enthaltenen Platzhalter ''meinpfad'' dabei durch Ihren Pfad zum aktuellen Verzeichnis. Dies erfolgt automatisiert durch diese Befehle:
{{Shell | > pfad=`pwd | sed 's/\/lawsuit.*//' | sed 's/\//\\\\\//g'` > sed "s/meinpfad/$pfad/g" lawsuit-httpd.template > lawsuit-httpd.conf}}
Falls Ihr Pfad zum Ordner <tt>Documents</tt> nicht mit dem soeben ermittelten Pfad für <tt>lawsuit</tt> identisch ist, passen Sie diese Einstellungen für das Verzeichnis <tt>Documents</tt> bitte in der <tt>lawsuit-httpd.conf</tt> mit einem Editor wie '''kate''' von Hand an.

Abschließend kopieren Sie die erstellte Konfigurationsdatei als ''Superuser'' in das Verzeichnis der Virtual Hosts von Apache:

{{Shell | > sudo cp lawsuit-httpd.conf /etc/apache2/vhosts.d/}}

* Neustart von Apache
{{Shell | > sudo service apache2 restart}}

=== Anpassen der Konfiguration ===
Um Ergänzungen oder Änderungen einheitlich für alle Virtual Hosts an der Datei <tt>/etc/apache2/default-server.conf</tt> vorzunehmen, editieren Sie die Konfigurationsvariable ''APACHE_CONF_INCLUDE_FILES'' mithilfe von
YaST > etc/sysconfig-Editor
oder arbeiten direkt in der Textdatei <tt>/etc/sysconfig/apache2</tt>. Zum Verständnis der Hierarchie und des Layouts um Dateien einzubeziehen, lesen Sie die Kommentierung im Kopf der <tt>httpd.conf</tt>. Die ursprüngliche, einfache Konfigurationsdatei mit nur 40K findet sich notfalls unter <tt>/usr/share/doc/packages/apache2/httpd-std.conf-prefork</tt>.

== Optional: Ein Zertifikat für localhost erstellen ==
Bei Mehrplatzsystemen funktionieren die Javascript-Voreintragungen bei Nutzung einer sicheren HTTPS-Verbindung nur, wenn ein eigenes Zertifikat erstellt wird, dessen Aussteller zudem noch aus vertrauenswürdig eingestuft werden muss.OpenSSL bringt umfassende Werkzeuge mit, um eine eigene, kleine Certificate Authority (CA) betreiben zu können.
=== Vergabe einer Domain für den Rechner mit den Lawsuit-Daten ===
Unter yast2 > Netzwerkdienste > Rechnernamen fügen Sie unter der Zeile "localhost" eine Zeile mit folgenden Daten ein:
IP-Adresse: 192.168.2.10
Hostnamen: k1.local
Aliasnamen: k1
[[Datei:Hostkonfiguration.png|thumb|600px|left|Eigenen Rechnernamen vergeben]]
 
Sie können statt "k1" eine beliebe andere Bezeichnung für den Hauptrechner wählen, müssen dann aber Ihre Domain in den folgenden Einstellungen beibehalten.

=== Certificate Authority (CA) erstellen ===
Zu Beginn wird die Certificate Authority generiert. Zunächst wird ein geheimer Private Key erzeugt:
{{Shell |> sudo openssl genrsa -aes256 -out /etc/ssl/private/rootCA.key 4096}}
Der Key trägt den Namen “rootCA.pem” und hat eine Länge von 4096 Bit. Die Option “-aes256” führt dazu, dass der Key mit einem Passwort geschützt wird. Die Key-Datei der CA muss tatsächlich besonders gut geschützt werden. Ein Angreifer, der den Key in die Hände bekommt, kann beliebig gefälschte Zertifikate im Namen der Kanzlei ausstellen, denen die Clients trauen. Die Verschlüsselung dieses Keys mit einem Passwort gibt zusätzlichen Schutz. Das gewünschte Passwort wird bei der Generierung abgefragt.
Einen geheimen Key für die CA gibt es damit also schon - es fehlt noch das Root-Zertifikat, das von den Clients später importiert werden muss, damit die von der CA ausgestellten Zertifikate im Browser als gültig erkannt werden. Das Root-Zertifikat “ca-root.pem” wird mit folgendem Befehl erzeugt:
{{Shell |> sudo openssl req -x509 -new -nodes -key /etc/ssl/private/rootCA.key -sha512 -days 5483 -out /etc/ssl/certs/rootCA.pem}}
In diesem Fall wird die CA 5483 Tage, also mit Schalttagen 15 Jahre lang gültig bleiben. Während der Generierung werden das Passwort für die CA und einige Attribute abgefragt (hier ein Beispiel):
Country Name (2 letter code) [AU]:DE
State or Province Name (full name) [Some-State]:Nordrhein-Westfalen
Locality Name (eg, city) []:Muenster
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Kanzlei Hermanns
Organizational Unit Name (eg, section) []:Rechtsanwalt
Common Name (e.g. server FQDN or YOUR name) []:RA Matthias Hermanns
Email Address []:hermanns@iustus.eu

===Erzeugen des Schlüssels===
Mit diesen Daten wird auch eine Konfigratunsdatei mit Namen <tt>ssl.cnf</tt> befüllt, die die Schlüsselausgabe später vereinfacht.
{{Shell |> cd ~/bin   mkdir keys   cd keys   kate ssl.cnf}}
Die Datei kann beispielsweise den folgenden Inhalt haben
[req]
# Standard-Verschlüsselung
default_bits = 4096
# verhindere prompt für die Zertifikat-Erstellung
# (Daten kommen aus dieser Datei)
prompt = no
# Verschlüsselungsmethode
default_md = sha512
# prevent key encryption
encrypt_key = no
# Sektion für Zertifizierer-Informationen:
distinguished_name = dn
# Zertifizierer-Informationen:
[dn]
# Länder-Code
C=DE
# Bundesland
ST=Nordrhein-Westfalen
# Stadt
L=Muenster
# Bezeichnung/Firmen-Name/Dein Name:
O=Kanzlei Hermanns
# Aussteller Name
OU=RA Matthias Hermanns
# E-Mail-Adresse
emailAddress=hermanns@iustus.eu
# Primärer Servername
CN = k1.local
[v3_ca]
keyUsage = digitalSignature, keyEncipherment
extendedKeyUsage = serverAuth
subjectAltName = IP:192.168.2.10, DNS:k1, DNS:k1.local
[alt_names]
# Primärer Server-Name
DNS.1=k1
# Sekunärer Server-Name
DNS.2=k1.local
# Wildcard Subdomains
DNS.3 = *.k1.local

Speichern Sie die so erstellte Datei <tt>ssl.cnf</tt> im <tt>bin</tt>-Verzeichnis ab. Mit folgendem Befehl erzeugen Sie nun als zertifizierter Aussteller die eigentlichen Schlüssel für die SSL-Verbindung:
{{Shell |> openssl req -new -keyout ~/bin/keys/k1.key -out ~/bin/keys/k1.csr -config ~/bin/keys/ssl.cnf}}

{{Shell |> sudo openssl x509 -req \   -in ~/bin/keys/k1.csr \   -CA /etc/ssl/certs/rootCA.pem \   -CAkey /etc/ssl/private/rootCA.key \   -CAcreateserial \   -out ~/bin/keys/k1.crt \   -days 3653 \   -extfile ~/bin/keys/ssl.cnf \   -extensions v3_ca}}

Damit die Zertifkate in die regelmäßige Sicherungsspeicherung aufgenommen werden, kopieren wir sie das Schlüsselverzeichnis <tt>keys</tt>unter lawsuit:
{{Shell |> sudo chown matthias:users keys/k1.crt   chmod 640 ~/bin/keys/k1.*   cp ~/bin/keys/k1.* ~/lawsuit/keys/}}

=== Verbindung mit dem Server ===
Wenn Sie host-Datei <tt>lawsuit-httpd.conf</tt> automatisch wie oben vorgeschlagen generiert haben, sind die notwendigen Einstellungen schon voreingetragen und müssen nur auskommentiert werden. Ansonsten ergänzen Sie unter /etc/apache2/vhosts.d/
folgende Zeilen:
<VirtualHost *:80>
ServerName k1.local
ServerAlias www.k1.local
</VirtualHost>

<IfModule mod_ssl.c>
<VirtualHost *:443>
ServerAdmin webmaster@localhost
DocumentRoot /home/BENUTZERNAME/lawsuit/
ServerName k1.local
ServerAlias www.k1.local
ErrorLog /var/log/apache2/error_log
SSLEngine on
SSLCertificateFile /home/BENUTZERNAME/bin/keys/k1.crt
SSLCertificateKeyFile /home/BENUTZERNAME/bin/keys/k1.key
<IfModule mod_headers.c>
Header always set Strict-Transport-Security "max-age=15552000; includeSubDomains"
</IfModule>
<FilesMatch "\.(cgi|html|shtml|pl|phtml|php)$">
SSLOptions +StdEnvVars
</FilesMatch>
<Directory /home/BENUTZERNAME/lawsuit/cgi-bin>
SSLOptions +StdEnvVars
</Directory>
</VirtualHost>
</IfModule>

# configuration
SSLProtocol all -SSLv3 -TLSv1 -TLSv1.1 -TLSv1.2
SSLHonorCipherOrder off
SSLSessionTickets off

Unter Firefox kann das selbstgezeichnete Zertifikat nun verwendet werden. Bitte beachten Sie, dass für jede Apache-Konfigurrationsdatei ein anderer Port geöffnet werden muss, "443" also nur einmal verwendet werden kann. Sie können alternativ z.B. "4443" verwenden.

Abschließender Test und Neustart:
{{Shell |# sudo apache2ctl -t   sudo systemctl restart apache2}}

=== Registrierung als vertrauenswürdiger Aussteller für den Firefox-Browser ===
Damit der Firefox-Browser das Zertifikat tatsächlich verwendet und als vertrauenswürdig akzeptiert, muss es im Kleopatra-Schlüsseldienst eingetragen werden, auf den der Browser zugreift.
{{Shell |> kleopatra}}
Klicken Sie den Reiter Importieren an und fügen Sie nacheinander die folgenden Dateien ein:
 <tt>/home/BENUTZERNAME/bin/keys/k1.crt</tt>
 <tt>/etc/ssl/certs/rootCA.pem</tt> 
Bitte bestätigen Sie die erbetenen Beglaubigungen mit der Maustaste.
[[Datei:Kleopatra.png|thumb|600px|left|Importieren der Zertifikate in das Kleopatra-Schlüsselverwaltungsprogramm]]
 
Nun wechseln Sie in den Firefox-Browser und geben in die Adresszeile ein
about:config
Dort ändern Sie die Variable
security.enterprise_roots.enabled -> true
von "false" auf "true". Nun bezieht der Browser auch Ihre eigenen CA-Beglaubigungen des Unternehmens eine seine Bewertungen mit ein und vergibt ein grünes Schlüsselsymbol.

== Problembehebung ==
Lesen Sie wenn möglich die Fehlermeldungen nach dem Start des Servers. Versuchen Sie Fehler ggf. zu reproduzieren und vergleichen Sie die Einträge in den Log-Dateien. Den Einblick auf die dortigen Meldungen können Sie mit dem folgenden Befehl auf den neuesten Stand reduzieren::

{{Shell | # tail -F /var/log/apache2/*}}

Da die Error-Messages schnell sehr großen Umfang einnehmen, der am Ende sogar den Systemstart blockieren kann, empfiehlt es sich, mit Logrotate den Bestand unter Kontrolle zu halten. Installieren Sie dazu, falls noch nicht vom System geschehen:
{{Shell | # zypper in logrotate}}
Sie können die Einstellungen in der Konfigurationsdatei
/etc/logrotate.conf
ändern. Eine typische Konfiguration von <tt>logrotate.conf</tt> sieht z.B. wie folgt aus:
{{Shell |# see "man logrotate" for details
 # rotate log files weekly
 weekly
 # keep 4 weeks worth of backlogs
 rotate 4
 # remove rotated logs older than <count> days
 maxage 90 
 # create new (empty) log files after rotating old ones
 create
 # use date as a suffix of the rotated file
 dateext
 # uncomment this if you want your log files compressed
 compress
 # comment these to switch compression to use gzip or another
 # compression scheme
 compresscmd /usr/bin/xz
 uncompresscmd /usr/bin/xzdec
 # RPM packages drop log rotation information into this directory
 include /etc/logrotate.d
}}

Sollten Sie einen Fehler gefunden haben, [https://de.opensuse.org/SDB:Fehler_berichten berichten Sie ihn] bitte.

==Weiterführende Informationen==
=== Verwandte Artikel ===
*[https://de.opensuse.org/YaST_Module_Firewall#Firewall_Einrichten openSUSE Firewall]
* Package documentation and example configuration files in /usr/share/doc/packages/apache2/

===Externe Links===
* [https://doc.opensuse.org/documentation/leap/reference/html/book.opensuse.reference/cha.apache2.html openSUSE Apache Documentation]
* [http://httpd.apache.org/ The Apache Project]
* [http://www.apache.org/ Apache Software Foundation]

{{DEFAULTSORT:{{PAGENAME}}}}

[[Category:Linuxinstallation]]

Aufsetzen des Apache-Servers

2023-09-16T18:42:04Z

89.246.127.116: /* Verbindung mit dem Server */

{{Knowledge|
*[https://de.opensuse.org/Portal:Tumbleweed Tumbleweed]
*[https://de.opensuse.org/Portal:42.3 Leap 42.3]
*[https://de.opensuse.org/Portal:42.2 Leap 42.2]
*[https://de.opensuse.org/Portal:42.1 Leap 42.1]
|
*[https://de.opensuse.org/Portal:Apache Portal:Apache]
|
*[https://de.opensuse.org/SDB:LAMP_Einrichtung SDB:LAMP_Einrichtung]
*[https://de.opensuse.org/Apache2 Apache2]
*[https://de.opensuse.org/Portal:MySQL Portal:MySQL]
}}

== Einführung ==

Diese Dokument gibt eine rasche Einführung, wie ein Apache-Server auf dem lokalen Rechner aufgesetzt werden kann, der die Lawsuit-Programmteile bereitstellt.

----

{{Warnung| Die Kurzanleitung geht nicht vertieft auf mögliche Experten-Einstellungen des Servers ein. Insbesondere bleiben hier Sicherheitseinstellungen unberücksichtigt, die für den Betrieb als öffentlich zugänglicher Netzserver unumgänglich wären. Die nachfolgenden Schritte sind für Anwender gedacht, die Lawsuit intern auf dem Kanzleirechner hinter einer Firewall betreiben möchten.}}

----

== Allgemeine Rechner-Konfiguration ==

Die Software benötigt eine funktionierende Netzwerkumgebung. Einstellungen hierzu können Sie mit ''YaST'' unter der Rubrik "Netzwerkeinestellungen" vornehmen. Achten Sie insbesondere bei der Nutzung von [https://de.wikipedia.org/wiki/Dynamic_Host_Configuration_Protocol DHCP] darauf, dass weitere Rechner der Kanzlei von YaST tatsächlich im selben Nummernraum wie dieser PC eingetragen wurden, auf dem Apache nun installiert werden soll. Ansonsten können diese Rechner später nicht auf die Kanzleisoftware zugreifen.

Als Zweites sollte der PC auf dem aktuellen Softwarestand sein. Prüfen Sie diesen gegebenenfalls mit ''YaST'' in der Sektion '''Online update''' nach .

=== Installation der Apache-Pakete ===

Der Apache-Server und das optionale Perl-Modul können mit ''zypper'' installiert werden. Öffnen Sie dazu ein Terminal-Fenster und wechseln Sie wie folgt in den Superuser-Modus:
{{Shell|> su}}
Geben Sie nach der Passwortbestätigung den folgenden Befehl ein:
{{Shell|# zypper in apache2 apache2-doc perl-Apache-DBI apache2-mod_perl apache2-mod_php5 apache2-mod_python firewalld-rpcbind-helper}}

=== Nutzung der Yast-Funktion ===

Die weiteren Einstellungen lassen sich zunächst vereinfachen, indem man die Yast-Funktionen für die Servereinrichtung nutzt. Laden Sie dafür das entsprechende Modul nach. Erfahrungsgemäß ist dieser Zwischenschritt jedoch nicht nötig, wenn man die Konfiguration in den nächsten Punkten sorgfältig durchführt.
{{Shell|# zypper in yast2-http-server apache2-mod_wsgi-python3}}
Unter ''yast2'' wählen Sie >HTTP-Server und klicken sich durch den Installationsprozess. Es müssen keine Anpassungen vorgenommen werden. Nach Abschluss der Installation verschieben Sie Ihre eigene Installation aus <tt>/ect/apache2/vhosts.d/YaSTsave</tt> wieder ins obere Verzeichnis <tt>/ect/apache2/vhosts.d</tt>.

Nach Abschluss der Einrichung kann das Hilfsprogramm ''yast2-http-server'' wieder entfernt werden.
{{Shell|# zypper rm yast2-http-server}}

=== Anpassung der Firewall ===

Die Firewall ist so voreingestellt, dass sie über Port 80 auf den Rechner eingehende Daten grundsätzlich sperrt. Folglich müssen die Firewall-Einstellungen so angepasst werden, dass aus dem Lokalen Netzwerk über Port 80 eingehender Datenstrom akzeptiert wird.
Die folgenden Schritte müssen dazu weiterhin als Root ausgeführt werden.
* bis [http://de.opensuse.org/Portal:42.3 Leap 42.3]
{{Shell|# sysconf_addword /etc/sysconfig/SuSEfirewall2 FW_CONFIGURATIONS_EXT apache2   sysconf_addword /etc/sysconfig/SuSEfirewall2 FW_CONFIGURATIONS_EXT apache2-ssl   sysconf_addword /etc/sysconfig/SuSEfirewall2 FW_CONFIGURATIONS_EXT http   sysconf_addword /etc/sysconfig/SuSEfirewall2 FW_CONFIGURATIONS_EXT https   rcSuSEfirewall2 restart }}
Die Einstellungen finden sich jedoch auch unter ''YaST'' und können dort im '''etc/sysconfig-Editor''' mit den Einträgen ''apache2'' und ''apache2-ssl'' aktiviert werden, indem sie diese durch Leerzeichen getrennt im Feld ''FW_CONFIGURATIONS_EXT'' in <tt>/etc/sysconfig/SuSEfirewall2 </tt> einsetzen. Diese Konfigurationsvariable findet sich unter:
Network > Firewall > SuSEfirewall2

* ab [http://de.opensuse.org/Portal:Tubmleweed Tumbleweed]
Die Variablen können per ''YaST'' unter
Networt > Firewall
unter der Listenauswahl ''Permanent'' wir folgt eingestellt werden:
[[Datei:Apache2_firewall.png|thumb|600px|left|Firewall-Einstellungen für den Apache-Server]]
 
Alternativ ist die Auswahl per Shell möglich:
{{Shell|# firewall-cmd --zone internal --permanent --add-interface=eth0   firewall-cmd --zone internal --permanent --add-service=apache2   firewall-cmd --zone internal --permanent --add-service=apache2-ssl   firewall-cmd --zone internal --permanent --add-service=nfs   firewall-cmd --zone internal --permanent --add-service=http   firewall-cmd --zone internal --permanent --add-service=https   firewall-cmd --reload}}

=== Aktivierung des Servers ===
Starten Sie den Server und aktivieren Sie ihn in einem Bootverzeichnis, damit er mit dem Rechner hochgefahren wird:
{{Shell|# rcapache2 start   chkconfig -a apache2}}
Sie können diese Einstellungen jederzeit unter ''YaST'' ändern im Untermenü
YaST > Dienste-Verwaltung

=== Hinzufügen von Apache-Modulen===
Um benötigte Apache-Module zu laden, können wir die Konfigurationsvariable ''APACHE_MODULES'' in <tt>/etc/sysconfig/apache2</tt> editieren. Schneller geht es jedoch mit den nachfolgenden Befehlen. Nach der Änderung muss der Server neu gestartet werden. Auch für die folgenden Befehle sind wieder die Rechte eines Superusers vonnöten.
{{Shell|# a2enmod mod_perl   a2enmod mod_env   a2enmod mod_ssl   a2enmod mod_php5   a2enmod mod_python   a2enmod mod_wsgi   a2enmod mod_cgi   a2enmod -l   rcapache2 restart}}

== Virtual Hosts ==
===Allgemeines===
Das Verzeichnis für alle Virtual Host ist <tt>/etc/apache2/vhosts.d/</tt>. Wie Sie sehen gibt es zwei Konfigurationsdateien - eine mit ssl, die andere ohne ssl. Wir benutzen die Vorlage ohne [https://de.wikipedia.org/wiki/Transport_Layer_Security Secure Sockets Layer]. Nur Dateien mit dem Suffix ".conf" werden automatisch in die Apachekonfiguration einbezogen.

{{Intro|Wenn Sie neben Lawsuit einen weiteren eigenen Virtual Host hinzufügen möchten, ersetzen Sie in den folgenden Zeilen bitte ''Domainname'' durch ihren Verzeichnisnamen oder Ihre IP-Adresse.}}

* Es gibt mehrere Varianten für die Struktur, mit welcher der eigenen Server auf dem Rechner aufgesetzt werden kann. Folgende Optionen bieten sich an:
:* [https://httpd.apache.org/docs/2.4/de/vhosts/name-based.html namensbasiert]
:* [https://httpd.apache.org/docs/2.4/de/vhosts/ip-based.html IP-basiert]
:* portbasiert

* Sei können für Ihre Verzeichnisse die Vorlage '''vhost.template''' kopieren und als Ihre '''{DOMAINNAME}.conf''' speichern. Hier hinein tragen Sie anschließend die Unterverzeichnisse für Ihren Virtual Host ein.

===Einstellungen für ''Lawsuit''===
Für ''Lawsuit'' wird die Konfigurationsdatei jedoch im Unterverzeichnis <tt>lawsuit/settings</tt> bereits fertig zur Verfügung gestellt. Sie müssen lediglich in der genannten Datei den Platzhalter durch den eigenen Nutzernamen ersetzen und die fertige Datei in das Vhosts-Verzeichnis verlinken. Wechseln Sie in das Unterverzeichnis <tt>lawsuit/settings</tt>. Wenn Sie ''Lawsuit'' in Ihrem Nutzerhauptverzeichnis installiert haben, gelangen Sie mit diesem Befehl dorthin:
{{Shell | > cd ~/lawsuit/settings}}
Erstellen Sie dort eine Konfigurationsdatei aus der Vorlage <tt>lawsuit-httpd.template</tt> und ersetzen Sie den darin enthaltenen Platzhalter ''meinpfad'' dabei durch Ihren Pfad zum aktuellen Verzeichnis. Dies erfolgt automatisiert durch diese Befehle:
{{Shell | > pfad=`pwd | sed 's/\/lawsuit.*//' | sed 's/\//\\\\\//g'` > sed "s/meinpfad/$pfad/g" lawsuit-httpd.template > lawsuit-httpd.conf}}
Falls Ihr Pfad zum Ordner <tt>Documents</tt> nicht mit dem soeben ermittelten Pfad für <tt>lawsuit</tt> identisch ist, passen Sie diese Einstellungen für das Verzeichnis <tt>Documents</tt> bitte in der <tt>lawsuit-httpd.conf</tt> mit einem Editor wie '''kate''' von Hand an.

Abschließend kopieren Sie die erstellte Konfigurationsdatei als ''Superuser'' in das Verzeichnis der Virtual Hosts von Apache:

{{Shell | > sudo cp lawsuit-httpd.conf /etc/apache2/vhosts.d/}}

* Neustart von Apache
{{Shell | > sudo service apache2 restart}}

=== Anpassen der Konfiguration ===
Um Ergänzungen oder Änderungen einheitlich für alle Virtual Hosts an der Datei <tt>/etc/apache2/default-server.conf</tt> vorzunehmen, editieren Sie die Konfigurationsvariable ''APACHE_CONF_INCLUDE_FILES'' mithilfe von
YaST > etc/sysconfig-Editor
oder arbeiten direkt in der Textdatei <tt>/etc/sysconfig/apache2</tt>. Zum Verständnis der Hierarchie und des Layouts um Dateien einzubeziehen, lesen Sie die Kommentierung im Kopf der <tt>httpd.conf</tt>. Die ursprüngliche, einfache Konfigurationsdatei mit nur 40K findet sich notfalls unter <tt>/usr/share/doc/packages/apache2/httpd-std.conf-prefork</tt>.

== Optional: Ein Zertifikat für localhost erstellen ==
Bei Mehrplatzsystemen funktionieren die Javascript-Voreintragungen bei Nutzung einer sicheren HTTPS-Verbindung nur, wenn ein eigenes Zertifikat erstellt wird, dessen Aussteller zudem noch aus vertrauenswürdig eingestuft werden muss.OpenSSL bringt umfassende Werkzeuge mit, um eine eigene, kleine Certificate Authority (CA) betreiben zu können.
=== Vergabe einer Domain für den Rechner mit den Lawsuit-Daten ===
Unter yast2 > Netzwerkdienste > Rechnernamen fügen Sie unter der Zeile "localhost" eine Zeile mit folgenden Daten ein:
IP-Adresse: 192.168.2.10
Hostnamen: k1.local
Aliasnamen: k1
[[Datei:Hostkonfiguration.png|thumb|600px|left|Eigenen Rechnernamen vergeben]]
 
Sie können statt "k1" eine beliebe andere Bezeichnung für den Hauptrechner wählen, müssen dann aber Ihre Domain in den folgenden Einstellungen beibehalten.

=== Certificate Authority (CA) erstellen ===
Zu Beginn wird die Certificate Authority generiert. Zunächst wird ein geheimer Private Key erzeugt:
{{Shell |> sudo openssl genrsa -aes256 -out /etc/ssl/private/rootCA.key 4096}}
Der Key trägt den Namen “rootCA.pem” und hat eine Länge von 4096 Bit. Die Option “-aes256” führt dazu, dass der Key mit einem Passwort geschützt wird. Die Key-Datei der CA muss tatsächlich besonders gut geschützt werden. Ein Angreifer, der den Key in die Hände bekommt, kann beliebig gefälschte Zertifikate im Namen der Kanzlei ausstellen, denen die Clients trauen. Die Verschlüsselung dieses Keys mit einem Passwort gibt zusätzlichen Schutz. Das gewünschte Passwort wird bei der Generierung abgefragt.
Einen geheimen Key für die CA gibt es damit also schon - es fehlt noch das Root-Zertifikat, das von den Clients später importiert werden muss, damit die von der CA ausgestellten Zertifikate im Browser als gültig erkannt werden. Das Root-Zertifikat “ca-root.pem” wird mit folgendem Befehl erzeugt:
{{Shell |> sudo openssl req -x509 -new -nodes -key /etc/ssl/private/rootCA.key -sha512 -days 5483 -out /etc/ssl/certs/rootCA.pem}}
In diesem Fall wird die CA 5483 Tage, also mit Schalttagen 15 Jahre lang gültig bleiben. Während der Generierung werden das Passwort für die CA und einige Attribute abgefragt (hier ein Beispiel):
Country Name (2 letter code) [AU]:DE
State or Province Name (full name) [Some-State]:Nordrhein-Westfalen
Locality Name (eg, city) []:Muenster
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Kanzlei Hermanns
Organizational Unit Name (eg, section) []:Rechtsanwalt
Common Name (e.g. server FQDN or YOUR name) []:RA Matthias Hermanns
Email Address []:hermanns@iustus.eu

===Erzeugen des Schlüssels===
Mit diesen Daten wird auch eine Konfigratunsdatei mit Namen <tt>ssl.cnf</tt> befüllt, die die Schlüsselausgabe später vereinfacht.
{{Shell |> cd ~/bin   mkdir keys   cd keys   kate ssl.cnf}}
Die Datei kann beispielsweise den folgenden Inhalt haben
[req]
# Standard-Verschlüsselung
default_bits = 4096
# verhindere prompt für die Zertifikat-Erstellung
# (Daten kommen aus dieser Datei)
prompt = no
# Verschlüsselungsmethode
default_md = sha512
# prevent key encryption
encrypt_key = no
# Sektion für Zertifizierer-Informationen:
distinguished_name = dn
# Zertifizierer-Informationen:
[dn]
# Länder-Code
C=DE
# Bundesland
ST=Nordrhein-Westfalen
# Stadt
L=Muenster
# Bezeichnung/Firmen-Name/Dein Name:
O=Kanzlei Hermanns
# Aussteller Name
OU=RA Matthias Hermanns
# E-Mail-Adresse
emailAddress=hermanns@iustus.eu
# Primärer Servername
CN = k1.local
[v3_ca]
keyUsage = digitalSignature, keyEncipherment
extendedKeyUsage = serverAuth
subjectAltName = IP:192.168.2.10, DNS:k1, DNS:k1.local
[alt_names]
# Primärer Server-Name
DNS.1=k1
# Sekunärer Server-Name
DNS.2=k1.local
# Wildcard Subdomains
DNS.3 = *.k1.local

Speichern Sie die so erstellte Datei <tt>ssl.cnf</tt> im <tt>bin</tt>-Verzeichnis ab. Mit folgendem Befehl erzeugen Sie nun als zertifizierter Aussteller die eigentlichen Schlüssel für die SSL-Verbindung:
{{Shell |> openssl req -new -keyout ~/bin/keys/k1.key -out ~/bin/keys/k1.csr -config ~/bin/keys/ssl.cnf}}

{{Shell |> sudo openssl x509 -req \   -in ~/bin/keys/k1.csr \   -CA /etc/ssl/certs/rootCA.pem \   -CAkey /etc/ssl/private/rootCA.key \   -CAcreateserial \   -out ~/bin/keys/k1.crt \   -days 3653 \   -extfile ~/bin/keys/ssl.cnf \   -extensions v3_ca}}

Damit alle Benutzer die Zertifkat importieren können, werden sie in das allgemein zugängliche Schlüsselverzeichnis kopiert:
{{Shell |> sudo chown matthias:users keys/k1.crt   chmod 640 ~/bin/keys/k1.*   cp ~/bin/keys/k1.* ~/lawsuit/keys/}}

=== Verbindung mit dem Server ===
Wenn Sie host-Datei <tt>lawsuit-httpd.conf</tt> automatisch wie oben vorgeschlagen generiert haben, sind die notwendigen Einstellungen schon voreingetragen und müssen nur auskommentiert werden. Ansonsten ergänzen Sie unter /etc/apache2/vhosts.d/
folgende Zeilen:
<VirtualHost *:80>
ServerName k1.local
ServerAlias www.k1.local
</VirtualHost>

<IfModule mod_ssl.c>
<VirtualHost *:443>
ServerAdmin webmaster@localhost
DocumentRoot /home/BENUTZERNAME/lawsuit/
ServerName k1.local
ServerAlias www.k1.local
ErrorLog /var/log/apache2/error_log
SSLEngine on
SSLCertificateFile /home/BENUTZERNAME/bin/keys/k1.crt
SSLCertificateKeyFile /home/BENUTZERNAME/bin/keys/k1.key
<IfModule mod_headers.c>
Header always set Strict-Transport-Security "max-age=15552000; includeSubDomains"
</IfModule>
<FilesMatch "\.(cgi|html|shtml|pl|phtml|php)$">
SSLOptions +StdEnvVars
</FilesMatch>
<Directory /home/BENUTZERNAME/lawsuit/cgi-bin>
SSLOptions +StdEnvVars
</Directory>
</VirtualHost>
</IfModule>

# configuration
SSLProtocol all -SSLv3 -TLSv1 -TLSv1.1 -TLSv1.2
SSLHonorCipherOrder off
SSLSessionTickets off

Unter Firefox kann das selbstgezeichnete Zertifikat nun verwendet werden. Bitte beachten Sie, dass für jede Apache-Konfigurrationsdatei ein anderer Port geöffnet werden muss, "443" also nur einmal verwendet werden kann. Sie können alternativ z.B. "4443" verwenden.

Abschließender Test und Neustart:
{{Shell |# sudo apache2ctl -t   sudo systemctl restart apache2}}

=== Registrierung als vertrauenswürdiger Aussteller für den Firefox-Browser ===
Damit der Firefox-Browser das Zertifikat tatsächlich verwendet und als vertrauenswürdig akzeptiert, muss es im Kleopatra-Schlüsseldienst eingetragen werden, auf den der Browser zugreift.
{{Shell |> kleopatra}}
Klicken Sie den Reiter Importieren an und fügen Sie nacheinander die folgenden Dateien ein:
 <tt>/home/BENUTZERNAME/bin/keys/k1.crt</tt>
 <tt>/etc/ssl/certs/rootCA.pem</tt> 
Bitte bestätigen Sie die erbetenen Beglaubigungen mit der Maustaste.
[[Datei:Kleopatra.png|thumb|600px|left|Importieren der Zertifikate in das Kleopatra-Schlüsselverwaltungsprogramm]]
 
Nun wechseln Sie in den Firefox-Browser und geben in die Adresszeile ein
about:config
Dort ändern Sie die Variable
security.enterprise_roots.enabled -> true
von "false" auf "true". Nun bezieht der Browser auch Ihre eigenen CA-Beglaubigungen des Unternehmens eine seine Bewertungen mit ein und vergibt ein grünes Schlüsselsymbol.

== Problembehebung ==
Lesen Sie wenn möglich die Fehlermeldungen nach dem Start des Servers. Versuchen Sie Fehler ggf. zu reproduzieren und vergleichen Sie die Einträge in den Log-Dateien. Den Einblick auf die dortigen Meldungen können Sie mit dem folgenden Befehl auf den neuesten Stand reduzieren::

{{Shell | # tail -F /var/log/apache2/*}}

Da die Error-Messages schnell sehr großen Umfang einnehmen, der am Ende sogar den Systemstart blockieren kann, empfiehlt es sich, mit Logrotate den Bestand unter Kontrolle zu halten. Installieren Sie dazu, falls noch nicht vom System geschehen:
{{Shell | # zypper in logrotate}}
Sie können die Einstellungen in der Konfigurationsdatei
/etc/logrotate.conf
ändern. Eine typische Konfiguration von <tt>logrotate.conf</tt> sieht z.B. wie folgt aus:
{{Shell |# see "man logrotate" for details
 # rotate log files weekly
 weekly
 # keep 4 weeks worth of backlogs
 rotate 4
 # remove rotated logs older than <count> days
 maxage 90 
 # create new (empty) log files after rotating old ones
 create
 # use date as a suffix of the rotated file
 dateext
 # uncomment this if you want your log files compressed
 compress
 # comment these to switch compression to use gzip or another
 # compression scheme
 compresscmd /usr/bin/xz
 uncompresscmd /usr/bin/xzdec
 # RPM packages drop log rotation information into this directory
 include /etc/logrotate.d
}}

Sollten Sie einen Fehler gefunden haben, [https://de.opensuse.org/SDB:Fehler_berichten berichten Sie ihn] bitte.

==Weiterführende Informationen==
=== Verwandte Artikel ===
*[https://de.opensuse.org/YaST_Module_Firewall#Firewall_Einrichten openSUSE Firewall]
* Package documentation and example configuration files in /usr/share/doc/packages/apache2/

===Externe Links===
* [https://doc.opensuse.org/documentation/leap/reference/html/book.opensuse.reference/cha.apache2.html openSUSE Apache Documentation]
* [http://httpd.apache.org/ The Apache Project]
* [http://www.apache.org/ Apache Software Foundation]

{{DEFAULTSORT:{{PAGENAME}}}}

[[Category:Linuxinstallation]]

Aufsetzen des Apache-Servers

2023-09-16T18:40:57Z

89.246.127.116: /* Erzeugen des Schlüssels */

{{Knowledge|
*[https://de.opensuse.org/Portal:Tumbleweed Tumbleweed]
*[https://de.opensuse.org/Portal:42.3 Leap 42.3]
*[https://de.opensuse.org/Portal:42.2 Leap 42.2]
*[https://de.opensuse.org/Portal:42.1 Leap 42.1]
|
*[https://de.opensuse.org/Portal:Apache Portal:Apache]
|
*[https://de.opensuse.org/SDB:LAMP_Einrichtung SDB:LAMP_Einrichtung]
*[https://de.opensuse.org/Apache2 Apache2]
*[https://de.opensuse.org/Portal:MySQL Portal:MySQL]
}}

== Einführung ==

Diese Dokument gibt eine rasche Einführung, wie ein Apache-Server auf dem lokalen Rechner aufgesetzt werden kann, der die Lawsuit-Programmteile bereitstellt.

----

{{Warnung| Die Kurzanleitung geht nicht vertieft auf mögliche Experten-Einstellungen des Servers ein. Insbesondere bleiben hier Sicherheitseinstellungen unberücksichtigt, die für den Betrieb als öffentlich zugänglicher Netzserver unumgänglich wären. Die nachfolgenden Schritte sind für Anwender gedacht, die Lawsuit intern auf dem Kanzleirechner hinter einer Firewall betreiben möchten.}}

----

== Allgemeine Rechner-Konfiguration ==

Die Software benötigt eine funktionierende Netzwerkumgebung. Einstellungen hierzu können Sie mit ''YaST'' unter der Rubrik "Netzwerkeinestellungen" vornehmen. Achten Sie insbesondere bei der Nutzung von [https://de.wikipedia.org/wiki/Dynamic_Host_Configuration_Protocol DHCP] darauf, dass weitere Rechner der Kanzlei von YaST tatsächlich im selben Nummernraum wie dieser PC eingetragen wurden, auf dem Apache nun installiert werden soll. Ansonsten können diese Rechner später nicht auf die Kanzleisoftware zugreifen.

Als Zweites sollte der PC auf dem aktuellen Softwarestand sein. Prüfen Sie diesen gegebenenfalls mit ''YaST'' in der Sektion '''Online update''' nach .

=== Installation der Apache-Pakete ===

Der Apache-Server und das optionale Perl-Modul können mit ''zypper'' installiert werden. Öffnen Sie dazu ein Terminal-Fenster und wechseln Sie wie folgt in den Superuser-Modus:
{{Shell|> su}}
Geben Sie nach der Passwortbestätigung den folgenden Befehl ein:
{{Shell|# zypper in apache2 apache2-doc perl-Apache-DBI apache2-mod_perl apache2-mod_php5 apache2-mod_python firewalld-rpcbind-helper}}

=== Nutzung der Yast-Funktion ===

Die weiteren Einstellungen lassen sich zunächst vereinfachen, indem man die Yast-Funktionen für die Servereinrichtung nutzt. Laden Sie dafür das entsprechende Modul nach. Erfahrungsgemäß ist dieser Zwischenschritt jedoch nicht nötig, wenn man die Konfiguration in den nächsten Punkten sorgfältig durchführt.
{{Shell|# zypper in yast2-http-server apache2-mod_wsgi-python3}}
Unter ''yast2'' wählen Sie >HTTP-Server und klicken sich durch den Installationsprozess. Es müssen keine Anpassungen vorgenommen werden. Nach Abschluss der Installation verschieben Sie Ihre eigene Installation aus <tt>/ect/apache2/vhosts.d/YaSTsave</tt> wieder ins obere Verzeichnis <tt>/ect/apache2/vhosts.d</tt>.

Nach Abschluss der Einrichung kann das Hilfsprogramm ''yast2-http-server'' wieder entfernt werden.
{{Shell|# zypper rm yast2-http-server}}

=== Anpassung der Firewall ===

Die Firewall ist so voreingestellt, dass sie über Port 80 auf den Rechner eingehende Daten grundsätzlich sperrt. Folglich müssen die Firewall-Einstellungen so angepasst werden, dass aus dem Lokalen Netzwerk über Port 80 eingehender Datenstrom akzeptiert wird.
Die folgenden Schritte müssen dazu weiterhin als Root ausgeführt werden.
* bis [http://de.opensuse.org/Portal:42.3 Leap 42.3]
{{Shell|# sysconf_addword /etc/sysconfig/SuSEfirewall2 FW_CONFIGURATIONS_EXT apache2   sysconf_addword /etc/sysconfig/SuSEfirewall2 FW_CONFIGURATIONS_EXT apache2-ssl   sysconf_addword /etc/sysconfig/SuSEfirewall2 FW_CONFIGURATIONS_EXT http   sysconf_addword /etc/sysconfig/SuSEfirewall2 FW_CONFIGURATIONS_EXT https   rcSuSEfirewall2 restart }}
Die Einstellungen finden sich jedoch auch unter ''YaST'' und können dort im '''etc/sysconfig-Editor''' mit den Einträgen ''apache2'' und ''apache2-ssl'' aktiviert werden, indem sie diese durch Leerzeichen getrennt im Feld ''FW_CONFIGURATIONS_EXT'' in <tt>/etc/sysconfig/SuSEfirewall2 </tt> einsetzen. Diese Konfigurationsvariable findet sich unter:
Network > Firewall > SuSEfirewall2

* ab [http://de.opensuse.org/Portal:Tubmleweed Tumbleweed]
Die Variablen können per ''YaST'' unter
Networt > Firewall
unter der Listenauswahl ''Permanent'' wir folgt eingestellt werden:
[[Datei:Apache2_firewall.png|thumb|600px|left|Firewall-Einstellungen für den Apache-Server]]
 
Alternativ ist die Auswahl per Shell möglich:
{{Shell|# firewall-cmd --zone internal --permanent --add-interface=eth0   firewall-cmd --zone internal --permanent --add-service=apache2   firewall-cmd --zone internal --permanent --add-service=apache2-ssl   firewall-cmd --zone internal --permanent --add-service=nfs   firewall-cmd --zone internal --permanent --add-service=http   firewall-cmd --zone internal --permanent --add-service=https   firewall-cmd --reload}}

=== Aktivierung des Servers ===
Starten Sie den Server und aktivieren Sie ihn in einem Bootverzeichnis, damit er mit dem Rechner hochgefahren wird:
{{Shell|# rcapache2 start   chkconfig -a apache2}}
Sie können diese Einstellungen jederzeit unter ''YaST'' ändern im Untermenü
YaST > Dienste-Verwaltung

=== Hinzufügen von Apache-Modulen===
Um benötigte Apache-Module zu laden, können wir die Konfigurationsvariable ''APACHE_MODULES'' in <tt>/etc/sysconfig/apache2</tt> editieren. Schneller geht es jedoch mit den nachfolgenden Befehlen. Nach der Änderung muss der Server neu gestartet werden. Auch für die folgenden Befehle sind wieder die Rechte eines Superusers vonnöten.
{{Shell|# a2enmod mod_perl   a2enmod mod_env   a2enmod mod_ssl   a2enmod mod_php5   a2enmod mod_python   a2enmod mod_wsgi   a2enmod mod_cgi   a2enmod -l   rcapache2 restart}}

== Virtual Hosts ==
===Allgemeines===
Das Verzeichnis für alle Virtual Host ist <tt>/etc/apache2/vhosts.d/</tt>. Wie Sie sehen gibt es zwei Konfigurationsdateien - eine mit ssl, die andere ohne ssl. Wir benutzen die Vorlage ohne [https://de.wikipedia.org/wiki/Transport_Layer_Security Secure Sockets Layer]. Nur Dateien mit dem Suffix ".conf" werden automatisch in die Apachekonfiguration einbezogen.

{{Intro|Wenn Sie neben Lawsuit einen weiteren eigenen Virtual Host hinzufügen möchten, ersetzen Sie in den folgenden Zeilen bitte ''Domainname'' durch ihren Verzeichnisnamen oder Ihre IP-Adresse.}}

* Es gibt mehrere Varianten für die Struktur, mit welcher der eigenen Server auf dem Rechner aufgesetzt werden kann. Folgende Optionen bieten sich an:
:* [https://httpd.apache.org/docs/2.4/de/vhosts/name-based.html namensbasiert]
:* [https://httpd.apache.org/docs/2.4/de/vhosts/ip-based.html IP-basiert]
:* portbasiert

* Sei können für Ihre Verzeichnisse die Vorlage '''vhost.template''' kopieren und als Ihre '''{DOMAINNAME}.conf''' speichern. Hier hinein tragen Sie anschließend die Unterverzeichnisse für Ihren Virtual Host ein.

===Einstellungen für ''Lawsuit''===
Für ''Lawsuit'' wird die Konfigurationsdatei jedoch im Unterverzeichnis <tt>lawsuit/settings</tt> bereits fertig zur Verfügung gestellt. Sie müssen lediglich in der genannten Datei den Platzhalter durch den eigenen Nutzernamen ersetzen und die fertige Datei in das Vhosts-Verzeichnis verlinken. Wechseln Sie in das Unterverzeichnis <tt>lawsuit/settings</tt>. Wenn Sie ''Lawsuit'' in Ihrem Nutzerhauptverzeichnis installiert haben, gelangen Sie mit diesem Befehl dorthin:
{{Shell | > cd ~/lawsuit/settings}}
Erstellen Sie dort eine Konfigurationsdatei aus der Vorlage <tt>lawsuit-httpd.template</tt> und ersetzen Sie den darin enthaltenen Platzhalter ''meinpfad'' dabei durch Ihren Pfad zum aktuellen Verzeichnis. Dies erfolgt automatisiert durch diese Befehle:
{{Shell | > pfad=`pwd | sed 's/\/lawsuit.*//' | sed 's/\//\\\\\//g'` > sed "s/meinpfad/$pfad/g" lawsuit-httpd.template > lawsuit-httpd.conf}}
Falls Ihr Pfad zum Ordner <tt>Documents</tt> nicht mit dem soeben ermittelten Pfad für <tt>lawsuit</tt> identisch ist, passen Sie diese Einstellungen für das Verzeichnis <tt>Documents</tt> bitte in der <tt>lawsuit-httpd.conf</tt> mit einem Editor wie '''kate''' von Hand an.

Abschließend kopieren Sie die erstellte Konfigurationsdatei als ''Superuser'' in das Verzeichnis der Virtual Hosts von Apache:

{{Shell | > sudo cp lawsuit-httpd.conf /etc/apache2/vhosts.d/}}

* Neustart von Apache
{{Shell | > sudo service apache2 restart}}

=== Anpassen der Konfiguration ===
Um Ergänzungen oder Änderungen einheitlich für alle Virtual Hosts an der Datei <tt>/etc/apache2/default-server.conf</tt> vorzunehmen, editieren Sie die Konfigurationsvariable ''APACHE_CONF_INCLUDE_FILES'' mithilfe von
YaST > etc/sysconfig-Editor
oder arbeiten direkt in der Textdatei <tt>/etc/sysconfig/apache2</tt>. Zum Verständnis der Hierarchie und des Layouts um Dateien einzubeziehen, lesen Sie die Kommentierung im Kopf der <tt>httpd.conf</tt>. Die ursprüngliche, einfache Konfigurationsdatei mit nur 40K findet sich notfalls unter <tt>/usr/share/doc/packages/apache2/httpd-std.conf-prefork</tt>.

== Optional: Ein Zertifikat für localhost erstellen ==
Bei Mehrplatzsystemen funktionieren die Javascript-Voreintragungen bei Nutzung einer sicheren HTTPS-Verbindung nur, wenn ein eigenes Zertifikat erstellt wird, dessen Aussteller zudem noch aus vertrauenswürdig eingestuft werden muss.OpenSSL bringt umfassende Werkzeuge mit, um eine eigene, kleine Certificate Authority (CA) betreiben zu können.
=== Vergabe einer Domain für den Rechner mit den Lawsuit-Daten ===
Unter yast2 > Netzwerkdienste > Rechnernamen fügen Sie unter der Zeile "localhost" eine Zeile mit folgenden Daten ein:
IP-Adresse: 192.168.2.10
Hostnamen: k1.local
Aliasnamen: k1
[[Datei:Hostkonfiguration.png|thumb|600px|left|Eigenen Rechnernamen vergeben]]
 
Sie können statt "k1" eine beliebe andere Bezeichnung für den Hauptrechner wählen, müssen dann aber Ihre Domain in den folgenden Einstellungen beibehalten.

=== Certificate Authority (CA) erstellen ===
Zu Beginn wird die Certificate Authority generiert. Zunächst wird ein geheimer Private Key erzeugt:
{{Shell |> sudo openssl genrsa -aes256 -out /etc/ssl/private/rootCA.key 4096}}
Der Key trägt den Namen “rootCA.pem” und hat eine Länge von 4096 Bit. Die Option “-aes256” führt dazu, dass der Key mit einem Passwort geschützt wird. Die Key-Datei der CA muss tatsächlich besonders gut geschützt werden. Ein Angreifer, der den Key in die Hände bekommt, kann beliebig gefälschte Zertifikate im Namen der Kanzlei ausstellen, denen die Clients trauen. Die Verschlüsselung dieses Keys mit einem Passwort gibt zusätzlichen Schutz. Das gewünschte Passwort wird bei der Generierung abgefragt.
Einen geheimen Key für die CA gibt es damit also schon - es fehlt noch das Root-Zertifikat, das von den Clients später importiert werden muss, damit die von der CA ausgestellten Zertifikate im Browser als gültig erkannt werden. Das Root-Zertifikat “ca-root.pem” wird mit folgendem Befehl erzeugt:
{{Shell |> sudo openssl req -x509 -new -nodes -key /etc/ssl/private/rootCA.key -sha512 -days 5483 -out /etc/ssl/certs/rootCA.pem}}
In diesem Fall wird die CA 5483 Tage, also mit Schalttagen 15 Jahre lang gültig bleiben. Während der Generierung werden das Passwort für die CA und einige Attribute abgefragt (hier ein Beispiel):
Country Name (2 letter code) [AU]:DE
State or Province Name (full name) [Some-State]:Nordrhein-Westfalen
Locality Name (eg, city) []:Muenster
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Kanzlei Hermanns
Organizational Unit Name (eg, section) []:Rechtsanwalt
Common Name (e.g. server FQDN or YOUR name) []:RA Matthias Hermanns
Email Address []:hermanns@iustus.eu

===Erzeugen des Schlüssels===
Mit diesen Daten wird auch eine Konfigratunsdatei mit Namen <tt>ssl.cnf</tt> befüllt, die die Schlüsselausgabe später vereinfacht.
{{Shell |> cd ~/bin   mkdir keys   cd keys   kate ssl.cnf}}
Die Datei kann beispielsweise den folgenden Inhalt haben
[req]
# Standard-Verschlüsselung
default_bits = 4096
# verhindere prompt für die Zertifikat-Erstellung
# (Daten kommen aus dieser Datei)
prompt = no
# Verschlüsselungsmethode
default_md = sha512
# prevent key encryption
encrypt_key = no
# Sektion für Zertifizierer-Informationen:
distinguished_name = dn
# Zertifizierer-Informationen:
[dn]
# Länder-Code
C=DE
# Bundesland
ST=Nordrhein-Westfalen
# Stadt
L=Muenster
# Bezeichnung/Firmen-Name/Dein Name:
O=Kanzlei Hermanns
# Aussteller Name
OU=RA Matthias Hermanns
# E-Mail-Adresse
emailAddress=hermanns@iustus.eu
# Primärer Servername
CN = k1.local
[v3_ca]
keyUsage = digitalSignature, keyEncipherment
extendedKeyUsage = serverAuth
subjectAltName = IP:192.168.2.10, DNS:k1, DNS:k1.local
[alt_names]
# Primärer Server-Name
DNS.1=k1
# Sekunärer Server-Name
DNS.2=k1.local
# Wildcard Subdomains
DNS.3 = *.k1.local

Speichern Sie die so erstellte Datei <tt>ssl.cnf</tt> im <tt>bin</tt>-Verzeichnis ab. Mit folgendem Befehl erzeugen Sie nun als zertifizierter Aussteller die eigentlichen Schlüssel für die SSL-Verbindung:
{{Shell |> openssl req -new -keyout ~/bin/keys/k1.key -out ~/bin/keys/k1.csr -config ~/bin/keys/ssl.cnf}}

{{Shell |> sudo openssl x509 -req \   -in ~/bin/keys/k1.csr \   -CA /etc/ssl/certs/rootCA.pem \   -CAkey /etc/ssl/private/rootCA.key \   -CAcreateserial \   -out ~/bin/keys/k1.crt \   -days 3653 \   -extfile ~/bin/keys/ssl.cnf \   -extensions v3_ca}}

Damit alle Benutzer die Zertifkat importieren können, werden sie in das allgemein zugängliche Schlüsselverzeichnis kopiert:
{{Shell |> sudo chown matthias:users keys/k1.crt   chmod 640 ~/bin/keys/k1.*   cp ~/bin/keys/k1.* ~/lawsuit/keys/}}

=== Verbindung mit dem Server ===
Wenn Sie host-Datei <tt>lawsuit-httpd.conf</tt> automatisch wie oben vorgeschlagen generiert haben, sind die notwendigen Einstellungen schon voreingetragen und müssen nur auskommentiert werden. Ansonsten ergänzen Sie unter /etc/apache2/vhosts.d/
folgende Zeilen:
<VirtualHost *:80>
ServerName k1.local
ServerAlias www.k1.local
</VirtualHost>
<IfModule mod_ssl.c>
<VirtualHost *:443>
ServerAdmin webmaster@localhost
DocumentRoot /home/BENUTZERNAME/lawsuit/
ServerName k1.local
ServerAlias www.k1.local
ErrorLog /var/log/apache2/error_log
SSLEngine on
SSLCertificateFile /home/BENUTZERNAME/bin/keys/k1.crt
SSLCertificateKeyFile /home/BENUTZERNAME/bin/keys/k1.key
<IfModule mod_headers.c>
Header always set Strict-Transport-Security "max-age=15552000; includeSubDomains"
</IfModule>
<FilesMatch "\.(cgi|html|shtml|pl|phtml|php)$">
SSLOptions +StdEnvVars
</FilesMatch>
<Directory /home/BENUTZERNAME/lawsuit/cgi-bin>
SSLOptions +StdEnvVars
</Directory>
</VirtualHost>
</IfModule>
# configuration
SSLProtocol all -SSLv3 -TLSv1 -TLSv1.1 -TLSv1.2
SSLHonorCipherOrder off
SSLSessionTickets off

Unter Firefox kann das selbstgezeichnete Zertifikat nun verwendet werden. Bitte beachten Sie, dass für jede Apache-Konfigurrationsdatei ein anderer Port geöffnet werden muss, "443" also nur einmal verwendet werden kann. Sie können alternativ z.B. "4443" verwenden.

Abschließender Test und Neustart:
{{Shell |# sudo apache2ctl -t   sudo systemctl restart apache2}}

=== Registrierung als vertrauenswürdiger Aussteller für den Firefox-Browser ===
Damit der Firefox-Browser das Zertifikat tatsächlich verwendet und als vertrauenswürdig akzeptiert, muss es im Kleopatra-Schlüsseldienst eingetragen werden, auf den der Browser zugreift.
{{Shell |> kleopatra}}
Klicken Sie den Reiter Importieren an und fügen Sie nacheinander die folgenden Dateien ein:
 <tt>/home/BENUTZERNAME/bin/keys/k1.crt</tt>
 <tt>/etc/ssl/certs/rootCA.pem</tt> 
Bitte bestätigen Sie die erbetenen Beglaubigungen mit der Maustaste.
[[Datei:Kleopatra.png|thumb|600px|left|Importieren der Zertifikate in das Kleopatra-Schlüsselverwaltungsprogramm]]
 
Nun wechseln Sie in den Firefox-Browser und geben in die Adresszeile ein
about:config
Dort ändern Sie die Variable
security.enterprise_roots.enabled -> true
von "false" auf "true". Nun bezieht der Browser auch Ihre eigenen CA-Beglaubigungen des Unternehmens eine seine Bewertungen mit ein und vergibt ein grünes Schlüsselsymbol.

== Problembehebung ==
Lesen Sie wenn möglich die Fehlermeldungen nach dem Start des Servers. Versuchen Sie Fehler ggf. zu reproduzieren und vergleichen Sie die Einträge in den Log-Dateien. Den Einblick auf die dortigen Meldungen können Sie mit dem folgenden Befehl auf den neuesten Stand reduzieren::

{{Shell | # tail -F /var/log/apache2/*}}

Da die Error-Messages schnell sehr großen Umfang einnehmen, der am Ende sogar den Systemstart blockieren kann, empfiehlt es sich, mit Logrotate den Bestand unter Kontrolle zu halten. Installieren Sie dazu, falls noch nicht vom System geschehen:
{{Shell | # zypper in logrotate}}
Sie können die Einstellungen in der Konfigurationsdatei
/etc/logrotate.conf
ändern. Eine typische Konfiguration von <tt>logrotate.conf</tt> sieht z.B. wie folgt aus:
{{Shell |# see "man logrotate" for details
 # rotate log files weekly
 weekly
 # keep 4 weeks worth of backlogs
 rotate 4
 # remove rotated logs older than <count> days
 maxage 90 
 # create new (empty) log files after rotating old ones
 create
 # use date as a suffix of the rotated file
 dateext
 # uncomment this if you want your log files compressed
 compress
 # comment these to switch compression to use gzip or another
 # compression scheme
 compresscmd /usr/bin/xz
 uncompresscmd /usr/bin/xzdec
 # RPM packages drop log rotation information into this directory
 include /etc/logrotate.d
}}

Sollten Sie einen Fehler gefunden haben, [https://de.opensuse.org/SDB:Fehler_berichten berichten Sie ihn] bitte.

==Weiterführende Informationen==
=== Verwandte Artikel ===
*[https://de.opensuse.org/YaST_Module_Firewall#Firewall_Einrichten openSUSE Firewall]
* Package documentation and example configuration files in /usr/share/doc/packages/apache2/

===Externe Links===
* [https://doc.opensuse.org/documentation/leap/reference/html/book.opensuse.reference/cha.apache2.html openSUSE Apache Documentation]
* [http://httpd.apache.org/ The Apache Project]
* [http://www.apache.org/ Apache Software Foundation]

{{DEFAULTSORT:{{PAGENAME}}}}

[[Category:Linuxinstallation]]

Aufsetzen des Apache-Servers

2023-09-16T18:40:00Z

89.246.127.116: /* Verbindung mit dem Server */

{{Knowledge|
*[https://de.opensuse.org/Portal:Tumbleweed Tumbleweed]
*[https://de.opensuse.org/Portal:42.3 Leap 42.3]
*[https://de.opensuse.org/Portal:42.2 Leap 42.2]
*[https://de.opensuse.org/Portal:42.1 Leap 42.1]
|
*[https://de.opensuse.org/Portal:Apache Portal:Apache]
|
*[https://de.opensuse.org/SDB:LAMP_Einrichtung SDB:LAMP_Einrichtung]
*[https://de.opensuse.org/Apache2 Apache2]
*[https://de.opensuse.org/Portal:MySQL Portal:MySQL]
}}

== Einführung ==

Diese Dokument gibt eine rasche Einführung, wie ein Apache-Server auf dem lokalen Rechner aufgesetzt werden kann, der die Lawsuit-Programmteile bereitstellt.

----

{{Warnung| Die Kurzanleitung geht nicht vertieft auf mögliche Experten-Einstellungen des Servers ein. Insbesondere bleiben hier Sicherheitseinstellungen unberücksichtigt, die für den Betrieb als öffentlich zugänglicher Netzserver unumgänglich wären. Die nachfolgenden Schritte sind für Anwender gedacht, die Lawsuit intern auf dem Kanzleirechner hinter einer Firewall betreiben möchten.}}

----

== Allgemeine Rechner-Konfiguration ==

Die Software benötigt eine funktionierende Netzwerkumgebung. Einstellungen hierzu können Sie mit ''YaST'' unter der Rubrik "Netzwerkeinestellungen" vornehmen. Achten Sie insbesondere bei der Nutzung von [https://de.wikipedia.org/wiki/Dynamic_Host_Configuration_Protocol DHCP] darauf, dass weitere Rechner der Kanzlei von YaST tatsächlich im selben Nummernraum wie dieser PC eingetragen wurden, auf dem Apache nun installiert werden soll. Ansonsten können diese Rechner später nicht auf die Kanzleisoftware zugreifen.

Als Zweites sollte der PC auf dem aktuellen Softwarestand sein. Prüfen Sie diesen gegebenenfalls mit ''YaST'' in der Sektion '''Online update''' nach .

=== Installation der Apache-Pakete ===

Der Apache-Server und das optionale Perl-Modul können mit ''zypper'' installiert werden. Öffnen Sie dazu ein Terminal-Fenster und wechseln Sie wie folgt in den Superuser-Modus:
{{Shell|> su}}
Geben Sie nach der Passwortbestätigung den folgenden Befehl ein:
{{Shell|# zypper in apache2 apache2-doc perl-Apache-DBI apache2-mod_perl apache2-mod_php5 apache2-mod_python firewalld-rpcbind-helper}}

=== Nutzung der Yast-Funktion ===

Die weiteren Einstellungen lassen sich zunächst vereinfachen, indem man die Yast-Funktionen für die Servereinrichtung nutzt. Laden Sie dafür das entsprechende Modul nach. Erfahrungsgemäß ist dieser Zwischenschritt jedoch nicht nötig, wenn man die Konfiguration in den nächsten Punkten sorgfältig durchführt.
{{Shell|# zypper in yast2-http-server apache2-mod_wsgi-python3}}
Unter ''yast2'' wählen Sie >HTTP-Server und klicken sich durch den Installationsprozess. Es müssen keine Anpassungen vorgenommen werden. Nach Abschluss der Installation verschieben Sie Ihre eigene Installation aus <tt>/ect/apache2/vhosts.d/YaSTsave</tt> wieder ins obere Verzeichnis <tt>/ect/apache2/vhosts.d</tt>.

Nach Abschluss der Einrichung kann das Hilfsprogramm ''yast2-http-server'' wieder entfernt werden.
{{Shell|# zypper rm yast2-http-server}}

=== Anpassung der Firewall ===

Die Firewall ist so voreingestellt, dass sie über Port 80 auf den Rechner eingehende Daten grundsätzlich sperrt. Folglich müssen die Firewall-Einstellungen so angepasst werden, dass aus dem Lokalen Netzwerk über Port 80 eingehender Datenstrom akzeptiert wird.
Die folgenden Schritte müssen dazu weiterhin als Root ausgeführt werden.
* bis [http://de.opensuse.org/Portal:42.3 Leap 42.3]
{{Shell|# sysconf_addword /etc/sysconfig/SuSEfirewall2 FW_CONFIGURATIONS_EXT apache2   sysconf_addword /etc/sysconfig/SuSEfirewall2 FW_CONFIGURATIONS_EXT apache2-ssl   sysconf_addword /etc/sysconfig/SuSEfirewall2 FW_CONFIGURATIONS_EXT http   sysconf_addword /etc/sysconfig/SuSEfirewall2 FW_CONFIGURATIONS_EXT https   rcSuSEfirewall2 restart }}
Die Einstellungen finden sich jedoch auch unter ''YaST'' und können dort im '''etc/sysconfig-Editor''' mit den Einträgen ''apache2'' und ''apache2-ssl'' aktiviert werden, indem sie diese durch Leerzeichen getrennt im Feld ''FW_CONFIGURATIONS_EXT'' in <tt>/etc/sysconfig/SuSEfirewall2 </tt> einsetzen. Diese Konfigurationsvariable findet sich unter:
Network > Firewall > SuSEfirewall2

* ab [http://de.opensuse.org/Portal:Tubmleweed Tumbleweed]
Die Variablen können per ''YaST'' unter
Networt > Firewall
unter der Listenauswahl ''Permanent'' wir folgt eingestellt werden:
[[Datei:Apache2_firewall.png|thumb|600px|left|Firewall-Einstellungen für den Apache-Server]]
 
Alternativ ist die Auswahl per Shell möglich:
{{Shell|# firewall-cmd --zone internal --permanent --add-interface=eth0   firewall-cmd --zone internal --permanent --add-service=apache2   firewall-cmd --zone internal --permanent --add-service=apache2-ssl   firewall-cmd --zone internal --permanent --add-service=nfs   firewall-cmd --zone internal --permanent --add-service=http   firewall-cmd --zone internal --permanent --add-service=https   firewall-cmd --reload}}

=== Aktivierung des Servers ===
Starten Sie den Server und aktivieren Sie ihn in einem Bootverzeichnis, damit er mit dem Rechner hochgefahren wird:
{{Shell|# rcapache2 start   chkconfig -a apache2}}
Sie können diese Einstellungen jederzeit unter ''YaST'' ändern im Untermenü
YaST > Dienste-Verwaltung

=== Hinzufügen von Apache-Modulen===
Um benötigte Apache-Module zu laden, können wir die Konfigurationsvariable ''APACHE_MODULES'' in <tt>/etc/sysconfig/apache2</tt> editieren. Schneller geht es jedoch mit den nachfolgenden Befehlen. Nach der Änderung muss der Server neu gestartet werden. Auch für die folgenden Befehle sind wieder die Rechte eines Superusers vonnöten.
{{Shell|# a2enmod mod_perl   a2enmod mod_env   a2enmod mod_ssl   a2enmod mod_php5   a2enmod mod_python   a2enmod mod_wsgi   a2enmod mod_cgi   a2enmod -l   rcapache2 restart}}

== Virtual Hosts ==
===Allgemeines===
Das Verzeichnis für alle Virtual Host ist <tt>/etc/apache2/vhosts.d/</tt>. Wie Sie sehen gibt es zwei Konfigurationsdateien - eine mit ssl, die andere ohne ssl. Wir benutzen die Vorlage ohne [https://de.wikipedia.org/wiki/Transport_Layer_Security Secure Sockets Layer]. Nur Dateien mit dem Suffix ".conf" werden automatisch in die Apachekonfiguration einbezogen.

{{Intro|Wenn Sie neben Lawsuit einen weiteren eigenen Virtual Host hinzufügen möchten, ersetzen Sie in den folgenden Zeilen bitte ''Domainname'' durch ihren Verzeichnisnamen oder Ihre IP-Adresse.}}

* Es gibt mehrere Varianten für die Struktur, mit welcher der eigenen Server auf dem Rechner aufgesetzt werden kann. Folgende Optionen bieten sich an:
:* [https://httpd.apache.org/docs/2.4/de/vhosts/name-based.html namensbasiert]
:* [https://httpd.apache.org/docs/2.4/de/vhosts/ip-based.html IP-basiert]
:* portbasiert

* Sei können für Ihre Verzeichnisse die Vorlage '''vhost.template''' kopieren und als Ihre '''{DOMAINNAME}.conf''' speichern. Hier hinein tragen Sie anschließend die Unterverzeichnisse für Ihren Virtual Host ein.

===Einstellungen für ''Lawsuit''===
Für ''Lawsuit'' wird die Konfigurationsdatei jedoch im Unterverzeichnis <tt>lawsuit/settings</tt> bereits fertig zur Verfügung gestellt. Sie müssen lediglich in der genannten Datei den Platzhalter durch den eigenen Nutzernamen ersetzen und die fertige Datei in das Vhosts-Verzeichnis verlinken. Wechseln Sie in das Unterverzeichnis <tt>lawsuit/settings</tt>. Wenn Sie ''Lawsuit'' in Ihrem Nutzerhauptverzeichnis installiert haben, gelangen Sie mit diesem Befehl dorthin:
{{Shell | > cd ~/lawsuit/settings}}
Erstellen Sie dort eine Konfigurationsdatei aus der Vorlage <tt>lawsuit-httpd.template</tt> und ersetzen Sie den darin enthaltenen Platzhalter ''meinpfad'' dabei durch Ihren Pfad zum aktuellen Verzeichnis. Dies erfolgt automatisiert durch diese Befehle:
{{Shell | > pfad=`pwd | sed 's/\/lawsuit.*//' | sed 's/\//\\\\\//g'` > sed "s/meinpfad/$pfad/g" lawsuit-httpd.template > lawsuit-httpd.conf}}
Falls Ihr Pfad zum Ordner <tt>Documents</tt> nicht mit dem soeben ermittelten Pfad für <tt>lawsuit</tt> identisch ist, passen Sie diese Einstellungen für das Verzeichnis <tt>Documents</tt> bitte in der <tt>lawsuit-httpd.conf</tt> mit einem Editor wie '''kate''' von Hand an.

Abschließend kopieren Sie die erstellte Konfigurationsdatei als ''Superuser'' in das Verzeichnis der Virtual Hosts von Apache:

{{Shell | > sudo cp lawsuit-httpd.conf /etc/apache2/vhosts.d/}}

* Neustart von Apache
{{Shell | > sudo service apache2 restart}}

=== Anpassen der Konfiguration ===
Um Ergänzungen oder Änderungen einheitlich für alle Virtual Hosts an der Datei <tt>/etc/apache2/default-server.conf</tt> vorzunehmen, editieren Sie die Konfigurationsvariable ''APACHE_CONF_INCLUDE_FILES'' mithilfe von
YaST > etc/sysconfig-Editor
oder arbeiten direkt in der Textdatei <tt>/etc/sysconfig/apache2</tt>. Zum Verständnis der Hierarchie und des Layouts um Dateien einzubeziehen, lesen Sie die Kommentierung im Kopf der <tt>httpd.conf</tt>. Die ursprüngliche, einfache Konfigurationsdatei mit nur 40K findet sich notfalls unter <tt>/usr/share/doc/packages/apache2/httpd-std.conf-prefork</tt>.

== Optional: Ein Zertifikat für localhost erstellen ==
Bei Mehrplatzsystemen funktionieren die Javascript-Voreintragungen bei Nutzung einer sicheren HTTPS-Verbindung nur, wenn ein eigenes Zertifikat erstellt wird, dessen Aussteller zudem noch aus vertrauenswürdig eingestuft werden muss.OpenSSL bringt umfassende Werkzeuge mit, um eine eigene, kleine Certificate Authority (CA) betreiben zu können.
=== Vergabe einer Domain für den Rechner mit den Lawsuit-Daten ===
Unter yast2 > Netzwerkdienste > Rechnernamen fügen Sie unter der Zeile "localhost" eine Zeile mit folgenden Daten ein:
IP-Adresse: 192.168.2.10
Hostnamen: k1.local
Aliasnamen: k1
[[Datei:Hostkonfiguration.png|thumb|600px|left|Eigenen Rechnernamen vergeben]]
 
Sie können statt "k1" eine beliebe andere Bezeichnung für den Hauptrechner wählen, müssen dann aber Ihre Domain in den folgenden Einstellungen beibehalten.

=== Certificate Authority (CA) erstellen ===
Zu Beginn wird die Certificate Authority generiert. Zunächst wird ein geheimer Private Key erzeugt:
{{Shell |> sudo openssl genrsa -aes256 -out /etc/ssl/private/rootCA.key 4096}}
Der Key trägt den Namen “rootCA.pem” und hat eine Länge von 4096 Bit. Die Option “-aes256” führt dazu, dass der Key mit einem Passwort geschützt wird. Die Key-Datei der CA muss tatsächlich besonders gut geschützt werden. Ein Angreifer, der den Key in die Hände bekommt, kann beliebig gefälschte Zertifikate im Namen der Kanzlei ausstellen, denen die Clients trauen. Die Verschlüsselung dieses Keys mit einem Passwort gibt zusätzlichen Schutz. Das gewünschte Passwort wird bei der Generierung abgefragt.
Einen geheimen Key für die CA gibt es damit also schon - es fehlt noch das Root-Zertifikat, das von den Clients später importiert werden muss, damit die von der CA ausgestellten Zertifikate im Browser als gültig erkannt werden. Das Root-Zertifikat “ca-root.pem” wird mit folgendem Befehl erzeugt:
{{Shell |> sudo openssl req -x509 -new -nodes -key /etc/ssl/private/rootCA.key -sha512 -days 5483 -out /etc/ssl/certs/rootCA.pem}}
In diesem Fall wird die CA 5483 Tage, also mit Schalttagen 15 Jahre lang gültig bleiben. Während der Generierung werden das Passwort für die CA und einige Attribute abgefragt (hier ein Beispiel):
Country Name (2 letter code) [AU]:DE
State or Province Name (full name) [Some-State]:Nordrhein-Westfalen
Locality Name (eg, city) []:Muenster
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Kanzlei Hermanns
Organizational Unit Name (eg, section) []:Rechtsanwalt
Common Name (e.g. server FQDN or YOUR name) []:RA Matthias Hermanns
Email Address []:hermanns@iustus.eu

===Erzeugen des Schlüssels===
Mit diesen Daten wird auch eine Konfigratunsdatei mit Namen <tt>ssl.cnf</tt> befüllt, die die Schlüsselausgabe später vereinfacht.
{{Shell |> cd ~/bin   mkdir keys   cd keys   kate ssl.cnf}}
Die Datei kann beispielsweise den folgenden Inhalt haben
[req]
# Standard-Verschlüsselung
default_bits = 4096
# verhindere prompt für die Zertifikat-Erstellung
# (Daten kommen aus dieser Datei)
prompt = no
# Verschlüsselungsmethode
default_md = sha512
# prevent key encryption
encrypt_key = no
# Sektion für Zertifizierer-Informationen:
distinguished_name = dn
# Zertifizierer-Informationen:
[dn]
# Länder-Code
C=DE
# Bundesland
ST=Nordrhein-Westfalen
# Stadt
L=Muenster
# Bezeichnung/Firmen-Name/Dein Name:
O=Kanzlei Hermanns
# Aussteller Name
OU=RA Matthias Hermanns
# E-Mail-Adresse
emailAddress=hermanns@iustus.eu
# Primärer Servername
CN = k1.local
[v3_ca]
keyUsage = digitalSignature, keyEncipherment
extendedKeyUsage = serverAuth
subjectAltName = IP:192.168.2.10, DNS:k1, DNS:k1.local
[alt_names]
# Primärer Server-Name
DNS.1=k1
# Sekunärer Server-Name
DNS.2=k1.local
# Wildcard Subdomains
DNS.3 = *.k1.local

Speichern Sie die so erstellte Datei <tt>ssl.cnf</tt> im <tt>bin</tt>-Verzeichnis ab. Mit folgendem Befehl erzeugen Sie nun als zertifizierter Aussteller die eigentlichen Schlüssel für die SSL-Verbindung:
{{Shell |> openssl req -new -keyout ~/bin/keys/k1.key -out ~/bin/keys/k1.csr -config ~/bin/keys/ssl.cnf}}

{{Shell |> sudo openssl x509 -req \   -in ~/bin/keys/k1.csr \   -CA /etc/ssl/certs/rootCA.pem \   -CAkey /etc/ssl/private/rootCA.key \   -CAcreateserial \   -out ~/bin/keys/k1.crt \   -days 3653 \   -extfile ~/bin/keys/ssl.cnf \   -extensions v3_ca}}

Damit alle Benutzer die Zertifkat importieren können, werden sie in das allgemein zugängliche Schlüsselverzeichnis kopiert:
{{Shell |> sudo chown matthias:users keys/k1.crt   chmod 660 ~/bin/keys/k1.*   cp ~/bin/keys/k1.* ~/lawsuit/keys/}}

=== Verbindung mit dem Server ===
Wenn Sie host-Datei <tt>lawsuit-httpd.conf</tt> automatisch wie oben vorgeschlagen generiert haben, sind die notwendigen Einstellungen schon voreingetragen und müssen nur auskommentiert werden. Ansonsten ergänzen Sie unter /etc/apache2/vhosts.d/
folgende Zeilen:
<VirtualHost *:80>
ServerName k1.local
ServerAlias www.k1.local
</VirtualHost>
<IfModule mod_ssl.c>
<VirtualHost *:443>
ServerAdmin webmaster@localhost
DocumentRoot /home/BENUTZERNAME/lawsuit/
ServerName k1.local
ServerAlias www.k1.local
ErrorLog /var/log/apache2/error_log
SSLEngine on
SSLCertificateFile /home/BENUTZERNAME/bin/keys/k1.crt
SSLCertificateKeyFile /home/BENUTZERNAME/bin/keys/k1.key
<IfModule mod_headers.c>
Header always set Strict-Transport-Security "max-age=15552000; includeSubDomains"
</IfModule>
<FilesMatch "\.(cgi|html|shtml|pl|phtml|php)$">
SSLOptions +StdEnvVars
</FilesMatch>
<Directory /home/BENUTZERNAME/lawsuit/cgi-bin>
SSLOptions +StdEnvVars
</Directory>
</VirtualHost>
</IfModule>
# configuration
SSLProtocol all -SSLv3 -TLSv1 -TLSv1.1 -TLSv1.2
SSLHonorCipherOrder off
SSLSessionTickets off

Unter Firefox kann das selbstgezeichnete Zertifikat nun verwendet werden. Bitte beachten Sie, dass für jede Apache-Konfigurrationsdatei ein anderer Port geöffnet werden muss, "443" also nur einmal verwendet werden kann. Sie können alternativ z.B. "4443" verwenden.

Abschließender Test und Neustart:
{{Shell |# sudo apache2ctl -t   sudo systemctl restart apache2}}

=== Registrierung als vertrauenswürdiger Aussteller für den Firefox-Browser ===
Damit der Firefox-Browser das Zertifikat tatsächlich verwendet und als vertrauenswürdig akzeptiert, muss es im Kleopatra-Schlüsseldienst eingetragen werden, auf den der Browser zugreift.
{{Shell |> kleopatra}}
Klicken Sie den Reiter Importieren an und fügen Sie nacheinander die folgenden Dateien ein:
 <tt>/home/BENUTZERNAME/bin/keys/k1.crt</tt>
 <tt>/etc/ssl/certs/rootCA.pem</tt> 
Bitte bestätigen Sie die erbetenen Beglaubigungen mit der Maustaste.
[[Datei:Kleopatra.png|thumb|600px|left|Importieren der Zertifikate in das Kleopatra-Schlüsselverwaltungsprogramm]]
 
Nun wechseln Sie in den Firefox-Browser und geben in die Adresszeile ein
about:config
Dort ändern Sie die Variable
security.enterprise_roots.enabled -> true
von "false" auf "true". Nun bezieht der Browser auch Ihre eigenen CA-Beglaubigungen des Unternehmens eine seine Bewertungen mit ein und vergibt ein grünes Schlüsselsymbol.

== Problembehebung ==
Lesen Sie wenn möglich die Fehlermeldungen nach dem Start des Servers. Versuchen Sie Fehler ggf. zu reproduzieren und vergleichen Sie die Einträge in den Log-Dateien. Den Einblick auf die dortigen Meldungen können Sie mit dem folgenden Befehl auf den neuesten Stand reduzieren::

{{Shell | # tail -F /var/log/apache2/*}}

Da die Error-Messages schnell sehr großen Umfang einnehmen, der am Ende sogar den Systemstart blockieren kann, empfiehlt es sich, mit Logrotate den Bestand unter Kontrolle zu halten. Installieren Sie dazu, falls noch nicht vom System geschehen:
{{Shell | # zypper in logrotate}}
Sie können die Einstellungen in der Konfigurationsdatei
/etc/logrotate.conf
ändern. Eine typische Konfiguration von <tt>logrotate.conf</tt> sieht z.B. wie folgt aus:
{{Shell |# see "man logrotate" for details
 # rotate log files weekly
 weekly
 # keep 4 weeks worth of backlogs
 rotate 4
 # remove rotated logs older than <count> days
 maxage 90 
 # create new (empty) log files after rotating old ones
 create
 # use date as a suffix of the rotated file
 dateext
 # uncomment this if you want your log files compressed
 compress
 # comment these to switch compression to use gzip or another
 # compression scheme
 compresscmd /usr/bin/xz
 uncompresscmd /usr/bin/xzdec
 # RPM packages drop log rotation information into this directory
 include /etc/logrotate.d
}}

Sollten Sie einen Fehler gefunden haben, [https://de.opensuse.org/SDB:Fehler_berichten berichten Sie ihn] bitte.

==Weiterführende Informationen==
=== Verwandte Artikel ===
*[https://de.opensuse.org/YaST_Module_Firewall#Firewall_Einrichten openSUSE Firewall]
* Package documentation and example configuration files in /usr/share/doc/packages/apache2/

===Externe Links===
* [https://doc.opensuse.org/documentation/leap/reference/html/book.opensuse.reference/cha.apache2.html openSUSE Apache Documentation]
* [http://httpd.apache.org/ The Apache Project]
* [http://www.apache.org/ Apache Software Foundation]

{{DEFAULTSORT:{{PAGENAME}}}}

[[Category:Linuxinstallation]]

Aufsetzen des Apache-Servers

2023-09-16T17:56:17Z

89.246.127.116: /* Erzeugen des Schlüssels */

{{Knowledge|
*[https://de.opensuse.org/Portal:Tumbleweed Tumbleweed]
*[https://de.opensuse.org/Portal:42.3 Leap 42.3]
*[https://de.opensuse.org/Portal:42.2 Leap 42.2]
*[https://de.opensuse.org/Portal:42.1 Leap 42.1]
|
*[https://de.opensuse.org/Portal:Apache Portal:Apache]
|
*[https://de.opensuse.org/SDB:LAMP_Einrichtung SDB:LAMP_Einrichtung]
*[https://de.opensuse.org/Apache2 Apache2]
*[https://de.opensuse.org/Portal:MySQL Portal:MySQL]
}}

== Einführung ==

Diese Dokument gibt eine rasche Einführung, wie ein Apache-Server auf dem lokalen Rechner aufgesetzt werden kann, der die Lawsuit-Programmteile bereitstellt.

----

{{Warnung| Die Kurzanleitung geht nicht vertieft auf mögliche Experten-Einstellungen des Servers ein. Insbesondere bleiben hier Sicherheitseinstellungen unberücksichtigt, die für den Betrieb als öffentlich zugänglicher Netzserver unumgänglich wären. Die nachfolgenden Schritte sind für Anwender gedacht, die Lawsuit intern auf dem Kanzleirechner hinter einer Firewall betreiben möchten.}}

----

== Allgemeine Rechner-Konfiguration ==

Die Software benötigt eine funktionierende Netzwerkumgebung. Einstellungen hierzu können Sie mit ''YaST'' unter der Rubrik "Netzwerkeinestellungen" vornehmen. Achten Sie insbesondere bei der Nutzung von [https://de.wikipedia.org/wiki/Dynamic_Host_Configuration_Protocol DHCP] darauf, dass weitere Rechner der Kanzlei von YaST tatsächlich im selben Nummernraum wie dieser PC eingetragen wurden, auf dem Apache nun installiert werden soll. Ansonsten können diese Rechner später nicht auf die Kanzleisoftware zugreifen.

Als Zweites sollte der PC auf dem aktuellen Softwarestand sein. Prüfen Sie diesen gegebenenfalls mit ''YaST'' in der Sektion '''Online update''' nach .

=== Installation der Apache-Pakete ===

Der Apache-Server und das optionale Perl-Modul können mit ''zypper'' installiert werden. Öffnen Sie dazu ein Terminal-Fenster und wechseln Sie wie folgt in den Superuser-Modus:
{{Shell|> su}}
Geben Sie nach der Passwortbestätigung den folgenden Befehl ein:
{{Shell|# zypper in apache2 apache2-doc perl-Apache-DBI apache2-mod_perl apache2-mod_php5 apache2-mod_python firewalld-rpcbind-helper}}

=== Nutzung der Yast-Funktion ===

Die weiteren Einstellungen lassen sich zunächst vereinfachen, indem man die Yast-Funktionen für die Servereinrichtung nutzt. Laden Sie dafür das entsprechende Modul nach. Erfahrungsgemäß ist dieser Zwischenschritt jedoch nicht nötig, wenn man die Konfiguration in den nächsten Punkten sorgfältig durchführt.
{{Shell|# zypper in yast2-http-server apache2-mod_wsgi-python3}}
Unter ''yast2'' wählen Sie >HTTP-Server und klicken sich durch den Installationsprozess. Es müssen keine Anpassungen vorgenommen werden. Nach Abschluss der Installation verschieben Sie Ihre eigene Installation aus <tt>/ect/apache2/vhosts.d/YaSTsave</tt> wieder ins obere Verzeichnis <tt>/ect/apache2/vhosts.d</tt>.

Nach Abschluss der Einrichung kann das Hilfsprogramm ''yast2-http-server'' wieder entfernt werden.
{{Shell|# zypper rm yast2-http-server}}

=== Anpassung der Firewall ===

Die Firewall ist so voreingestellt, dass sie über Port 80 auf den Rechner eingehende Daten grundsätzlich sperrt. Folglich müssen die Firewall-Einstellungen so angepasst werden, dass aus dem Lokalen Netzwerk über Port 80 eingehender Datenstrom akzeptiert wird.
Die folgenden Schritte müssen dazu weiterhin als Root ausgeführt werden.
* bis [http://de.opensuse.org/Portal:42.3 Leap 42.3]
{{Shell|# sysconf_addword /etc/sysconfig/SuSEfirewall2 FW_CONFIGURATIONS_EXT apache2   sysconf_addword /etc/sysconfig/SuSEfirewall2 FW_CONFIGURATIONS_EXT apache2-ssl   sysconf_addword /etc/sysconfig/SuSEfirewall2 FW_CONFIGURATIONS_EXT http   sysconf_addword /etc/sysconfig/SuSEfirewall2 FW_CONFIGURATIONS_EXT https   rcSuSEfirewall2 restart }}
Die Einstellungen finden sich jedoch auch unter ''YaST'' und können dort im '''etc/sysconfig-Editor''' mit den Einträgen ''apache2'' und ''apache2-ssl'' aktiviert werden, indem sie diese durch Leerzeichen getrennt im Feld ''FW_CONFIGURATIONS_EXT'' in <tt>/etc/sysconfig/SuSEfirewall2 </tt> einsetzen. Diese Konfigurationsvariable findet sich unter:
Network > Firewall > SuSEfirewall2

* ab [http://de.opensuse.org/Portal:Tubmleweed Tumbleweed]
Die Variablen können per ''YaST'' unter
Networt > Firewall
unter der Listenauswahl ''Permanent'' wir folgt eingestellt werden:
[[Datei:Apache2_firewall.png|thumb|600px|left|Firewall-Einstellungen für den Apache-Server]]
 
Alternativ ist die Auswahl per Shell möglich:
{{Shell|# firewall-cmd --zone internal --permanent --add-interface=eth0   firewall-cmd --zone internal --permanent --add-service=apache2   firewall-cmd --zone internal --permanent --add-service=apache2-ssl   firewall-cmd --zone internal --permanent --add-service=nfs   firewall-cmd --zone internal --permanent --add-service=http   firewall-cmd --zone internal --permanent --add-service=https   firewall-cmd --reload}}

=== Aktivierung des Servers ===
Starten Sie den Server und aktivieren Sie ihn in einem Bootverzeichnis, damit er mit dem Rechner hochgefahren wird:
{{Shell|# rcapache2 start   chkconfig -a apache2}}
Sie können diese Einstellungen jederzeit unter ''YaST'' ändern im Untermenü
YaST > Dienste-Verwaltung

=== Hinzufügen von Apache-Modulen===
Um benötigte Apache-Module zu laden, können wir die Konfigurationsvariable ''APACHE_MODULES'' in <tt>/etc/sysconfig/apache2</tt> editieren. Schneller geht es jedoch mit den nachfolgenden Befehlen. Nach der Änderung muss der Server neu gestartet werden. Auch für die folgenden Befehle sind wieder die Rechte eines Superusers vonnöten.
{{Shell|# a2enmod mod_perl   a2enmod mod_env   a2enmod mod_ssl   a2enmod mod_php5   a2enmod mod_python   a2enmod mod_wsgi   a2enmod mod_cgi   a2enmod -l   rcapache2 restart}}

== Virtual Hosts ==
===Allgemeines===
Das Verzeichnis für alle Virtual Host ist <tt>/etc/apache2/vhosts.d/</tt>. Wie Sie sehen gibt es zwei Konfigurationsdateien - eine mit ssl, die andere ohne ssl. Wir benutzen die Vorlage ohne [https://de.wikipedia.org/wiki/Transport_Layer_Security Secure Sockets Layer]. Nur Dateien mit dem Suffix ".conf" werden automatisch in die Apachekonfiguration einbezogen.

{{Intro|Wenn Sie neben Lawsuit einen weiteren eigenen Virtual Host hinzufügen möchten, ersetzen Sie in den folgenden Zeilen bitte ''Domainname'' durch ihren Verzeichnisnamen oder Ihre IP-Adresse.}}

* Es gibt mehrere Varianten für die Struktur, mit welcher der eigenen Server auf dem Rechner aufgesetzt werden kann. Folgende Optionen bieten sich an:
:* [https://httpd.apache.org/docs/2.4/de/vhosts/name-based.html namensbasiert]
:* [https://httpd.apache.org/docs/2.4/de/vhosts/ip-based.html IP-basiert]
:* portbasiert

* Sei können für Ihre Verzeichnisse die Vorlage '''vhost.template''' kopieren und als Ihre '''{DOMAINNAME}.conf''' speichern. Hier hinein tragen Sie anschließend die Unterverzeichnisse für Ihren Virtual Host ein.

===Einstellungen für ''Lawsuit''===
Für ''Lawsuit'' wird die Konfigurationsdatei jedoch im Unterverzeichnis <tt>lawsuit/settings</tt> bereits fertig zur Verfügung gestellt. Sie müssen lediglich in der genannten Datei den Platzhalter durch den eigenen Nutzernamen ersetzen und die fertige Datei in das Vhosts-Verzeichnis verlinken. Wechseln Sie in das Unterverzeichnis <tt>lawsuit/settings</tt>. Wenn Sie ''Lawsuit'' in Ihrem Nutzerhauptverzeichnis installiert haben, gelangen Sie mit diesem Befehl dorthin:
{{Shell | > cd ~/lawsuit/settings}}
Erstellen Sie dort eine Konfigurationsdatei aus der Vorlage <tt>lawsuit-httpd.template</tt> und ersetzen Sie den darin enthaltenen Platzhalter ''meinpfad'' dabei durch Ihren Pfad zum aktuellen Verzeichnis. Dies erfolgt automatisiert durch diese Befehle:
{{Shell | > pfad=`pwd | sed 's/\/lawsuit.*//' | sed 's/\//\\\\\//g'` > sed "s/meinpfad/$pfad/g" lawsuit-httpd.template > lawsuit-httpd.conf}}
Falls Ihr Pfad zum Ordner <tt>Documents</tt> nicht mit dem soeben ermittelten Pfad für <tt>lawsuit</tt> identisch ist, passen Sie diese Einstellungen für das Verzeichnis <tt>Documents</tt> bitte in der <tt>lawsuit-httpd.conf</tt> mit einem Editor wie '''kate''' von Hand an.

Abschließend kopieren Sie die erstellte Konfigurationsdatei als ''Superuser'' in das Verzeichnis der Virtual Hosts von Apache:

{{Shell | > sudo cp lawsuit-httpd.conf /etc/apache2/vhosts.d/}}

* Neustart von Apache
{{Shell | > sudo service apache2 restart}}

=== Anpassen der Konfiguration ===
Um Ergänzungen oder Änderungen einheitlich für alle Virtual Hosts an der Datei <tt>/etc/apache2/default-server.conf</tt> vorzunehmen, editieren Sie die Konfigurationsvariable ''APACHE_CONF_INCLUDE_FILES'' mithilfe von
YaST > etc/sysconfig-Editor
oder arbeiten direkt in der Textdatei <tt>/etc/sysconfig/apache2</tt>. Zum Verständnis der Hierarchie und des Layouts um Dateien einzubeziehen, lesen Sie die Kommentierung im Kopf der <tt>httpd.conf</tt>. Die ursprüngliche, einfache Konfigurationsdatei mit nur 40K findet sich notfalls unter <tt>/usr/share/doc/packages/apache2/httpd-std.conf-prefork</tt>.

== Optional: Ein Zertifikat für localhost erstellen ==
Bei Mehrplatzsystemen funktionieren die Javascript-Voreintragungen bei Nutzung einer sicheren HTTPS-Verbindung nur, wenn ein eigenes Zertifikat erstellt wird, dessen Aussteller zudem noch aus vertrauenswürdig eingestuft werden muss.OpenSSL bringt umfassende Werkzeuge mit, um eine eigene, kleine Certificate Authority (CA) betreiben zu können.
=== Vergabe einer Domain für den Rechner mit den Lawsuit-Daten ===
Unter yast2 > Netzwerkdienste > Rechnernamen fügen Sie unter der Zeile "localhost" eine Zeile mit folgenden Daten ein:
IP-Adresse: 192.168.2.10
Hostnamen: k1.local
Aliasnamen: k1
[[Datei:Hostkonfiguration.png|thumb|600px|left|Eigenen Rechnernamen vergeben]]
 
Sie können statt "k1" eine beliebe andere Bezeichnung für den Hauptrechner wählen, müssen dann aber Ihre Domain in den folgenden Einstellungen beibehalten.

=== Certificate Authority (CA) erstellen ===
Zu Beginn wird die Certificate Authority generiert. Zunächst wird ein geheimer Private Key erzeugt:
{{Shell |> sudo openssl genrsa -aes256 -out /etc/ssl/private/rootCA.key 4096}}
Der Key trägt den Namen “rootCA.pem” und hat eine Länge von 4096 Bit. Die Option “-aes256” führt dazu, dass der Key mit einem Passwort geschützt wird. Die Key-Datei der CA muss tatsächlich besonders gut geschützt werden. Ein Angreifer, der den Key in die Hände bekommt, kann beliebig gefälschte Zertifikate im Namen der Kanzlei ausstellen, denen die Clients trauen. Die Verschlüsselung dieses Keys mit einem Passwort gibt zusätzlichen Schutz. Das gewünschte Passwort wird bei der Generierung abgefragt.
Einen geheimen Key für die CA gibt es damit also schon - es fehlt noch das Root-Zertifikat, das von den Clients später importiert werden muss, damit die von der CA ausgestellten Zertifikate im Browser als gültig erkannt werden. Das Root-Zertifikat “ca-root.pem” wird mit folgendem Befehl erzeugt:
{{Shell |> sudo openssl req -x509 -new -nodes -key /etc/ssl/private/rootCA.key -sha512 -days 5483 -out /etc/ssl/certs/rootCA.pem}}
In diesem Fall wird die CA 5483 Tage, also mit Schalttagen 15 Jahre lang gültig bleiben. Während der Generierung werden das Passwort für die CA und einige Attribute abgefragt (hier ein Beispiel):
Country Name (2 letter code) [AU]:DE
State or Province Name (full name) [Some-State]:Nordrhein-Westfalen
Locality Name (eg, city) []:Muenster
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Kanzlei Hermanns
Organizational Unit Name (eg, section) []:Rechtsanwalt
Common Name (e.g. server FQDN or YOUR name) []:RA Matthias Hermanns
Email Address []:hermanns@iustus.eu

===Erzeugen des Schlüssels===
Mit diesen Daten wird auch eine Konfigratunsdatei mit Namen <tt>ssl.cnf</tt> befüllt, die die Schlüsselausgabe später vereinfacht.
{{Shell |> cd ~/bin   mkdir keys   cd keys   kate ssl.cnf}}
Die Datei kann beispielsweise den folgenden Inhalt haben
[req]
# Standard-Verschlüsselung
default_bits = 4096
# verhindere prompt für die Zertifikat-Erstellung
# (Daten kommen aus dieser Datei)
prompt = no
# Verschlüsselungsmethode
default_md = sha512
# prevent key encryption
encrypt_key = no
# Sektion für Zertifizierer-Informationen:
distinguished_name = dn
# Zertifizierer-Informationen:
[dn]
# Länder-Code
C=DE
# Bundesland
ST=Nordrhein-Westfalen
# Stadt
L=Muenster
# Bezeichnung/Firmen-Name/Dein Name:
O=Kanzlei Hermanns
# Aussteller Name
OU=RA Matthias Hermanns
# E-Mail-Adresse
emailAddress=hermanns@iustus.eu
# Primärer Servername
CN = k1.local
[v3_ca]
keyUsage = digitalSignature, keyEncipherment
extendedKeyUsage = serverAuth
subjectAltName = IP:192.168.2.10, DNS:k1, DNS:k1.local
[alt_names]
# Primärer Server-Name
DNS.1=k1
# Sekunärer Server-Name
DNS.2=k1.local
# Wildcard Subdomains
DNS.3 = *.k1.local

Speichern Sie die so erstellte Datei <tt>ssl.cnf</tt> im <tt>bin</tt>-Verzeichnis ab. Mit folgendem Befehl erzeugen Sie nun als zertifizierter Aussteller die eigentlichen Schlüssel für die SSL-Verbindung:
{{Shell |> openssl req -new -keyout ~/bin/keys/k1.key -out ~/bin/keys/k1.csr -config ~/bin/keys/ssl.cnf}}

{{Shell |> sudo openssl x509 -req \   -in ~/bin/keys/k1.csr \   -CA /etc/ssl/certs/rootCA.pem \   -CAkey /etc/ssl/private/rootCA.key \   -CAcreateserial \   -out ~/bin/keys/k1.crt \   -days 3653 \   -extfile ~/bin/keys/ssl.cnf \   -extensions v3_ca}}

Damit alle Benutzer das Zertifkat importieren können, wird es in das allgemein zugängliche Schlüsselverzeichnis kopiert:
{{Shell |> cp ~/bin/keys/k1.crt ~/bin/lasuit/keys/}}

=== Verbindung mit dem Server ===
Wenn Sie host-Datei <tt>lawsuit-httpd.conf</tt> automatisch wie oben vorgeschlagen generiert haben, sind die notwendigen Einstellungen schon voreingetragen und müssen nur auskommentiert werden. Ansonsten ergänzen Sie unter /etc/apache2/vhosts.d/
folgende Zeilen:
<VirtualHost *:80>
ServerName k1.local
ServerAlias www.k1.local
</VirtualHost>
<IfModule mod_ssl.c>
<VirtualHost *:443>
ServerAdmin webmaster@localhost
DocumentRoot /home/BENUTZERNAME/lawsuit/
ServerName k1.local
ServerAlias www.k1.local
ErrorLog /var/log/apache2/error_log
SSLEngine on
SSLCertificateFile /home/BENUTZERNAME/bin/keys/k1.crt
SSLCertificateKeyFile /home/BENUTZERNAME/bin/keys/k1.key
<IfModule mod_headers.c>
Header always set Strict-Transport-Security "max-age=15552000; includeSubDomains"
</IfModule>
<FilesMatch "\.(cgi|shtml|phtml|php)$">
SSLOptions +StdEnvVars
</FilesMatch>
<Directory /home/BENUTZERNAME/lawsuit/cgi-bin>
SSLOptions +StdEnvVars
</Directory>
</VirtualHost>
</IfModule>
# configuration
SSLProtocol all -SSLv3 -TLSv1 -TLSv1.1 -TLSv1.2
SSLHonorCipherOrder off
SSLSessionTickets off

Unter Firefox kann das selbstgezeichnete Zertifikat nun verwendet werden. Bitte beachten Sie, dass für jede Apache-Konfigurrationsdatei ein anderer Port geöffnet werden muss, "443" also nur einmal verwendet werden kann. Sie können alternativ z.B. "4443" verwenden.

Abschließender Test und Neustart:
{{Shell |# sudo apache2ctl -t   sudo systemctl restart apache2}}

=== Registrierung als vertrauenswürdiger Aussteller für den Firefox-Browser ===
Damit der Firefox-Browser das Zertifikat tatsächlich verwendet und als vertrauenswürdig akzeptiert, muss es im Kleopatra-Schlüsseldienst eingetragen werden, auf den der Browser zugreift.
{{Shell |> kleopatra}}
Klicken Sie den Reiter Importieren an und fügen Sie nacheinander die folgenden Dateien ein:
 <tt>/home/BENUTZERNAME/bin/keys/k1.crt</tt>
 <tt>/etc/ssl/certs/rootCA.pem</tt> 
Bitte bestätigen Sie die erbetenen Beglaubigungen mit der Maustaste.
[[Datei:Kleopatra.png|thumb|600px|left|Importieren der Zertifikate in das Kleopatra-Schlüsselverwaltungsprogramm]]
 
Nun wechseln Sie in den Firefox-Browser und geben in die Adresszeile ein
about:config
Dort ändern Sie die Variable
security.enterprise_roots.enabled -> true
von "false" auf "true". Nun bezieht der Browser auch Ihre eigenen CA-Beglaubigungen des Unternehmens eine seine Bewertungen mit ein und vergibt ein grünes Schlüsselsymbol.

== Problembehebung ==
Lesen Sie wenn möglich die Fehlermeldungen nach dem Start des Servers. Versuchen Sie Fehler ggf. zu reproduzieren und vergleichen Sie die Einträge in den Log-Dateien. Den Einblick auf die dortigen Meldungen können Sie mit dem folgenden Befehl auf den neuesten Stand reduzieren::

{{Shell | # tail -F /var/log/apache2/*}}

Da die Error-Messages schnell sehr großen Umfang einnehmen, der am Ende sogar den Systemstart blockieren kann, empfiehlt es sich, mit Logrotate den Bestand unter Kontrolle zu halten. Installieren Sie dazu, falls noch nicht vom System geschehen:
{{Shell | # zypper in logrotate}}
Sie können die Einstellungen in der Konfigurationsdatei
/etc/logrotate.conf
ändern. Eine typische Konfiguration von <tt>logrotate.conf</tt> sieht z.B. wie folgt aus:
{{Shell |# see "man logrotate" for details
 # rotate log files weekly
 weekly
 # keep 4 weeks worth of backlogs
 rotate 4
 # remove rotated logs older than <count> days
 maxage 90 
 # create new (empty) log files after rotating old ones
 create
 # use date as a suffix of the rotated file
 dateext
 # uncomment this if you want your log files compressed
 compress
 # comment these to switch compression to use gzip or another
 # compression scheme
 compresscmd /usr/bin/xz
 uncompresscmd /usr/bin/xzdec
 # RPM packages drop log rotation information into this directory
 include /etc/logrotate.d
}}

Sollten Sie einen Fehler gefunden haben, [https://de.opensuse.org/SDB:Fehler_berichten berichten Sie ihn] bitte.

==Weiterführende Informationen==
=== Verwandte Artikel ===
*[https://de.opensuse.org/YaST_Module_Firewall#Firewall_Einrichten openSUSE Firewall]
* Package documentation and example configuration files in /usr/share/doc/packages/apache2/

===Externe Links===
* [https://doc.opensuse.org/documentation/leap/reference/html/book.opensuse.reference/cha.apache2.html openSUSE Apache Documentation]
* [http://httpd.apache.org/ The Apache Project]
* [http://www.apache.org/ Apache Software Foundation]

{{DEFAULTSORT:{{PAGENAME}}}}

[[Category:Linuxinstallation]]

Aufsetzen des Apache-Servers

2023-09-16T14:50:30Z

89.246.127.116: /* Erzeugen des Schlüssels */

{{Knowledge|
*[https://de.opensuse.org/Portal:Tumbleweed Tumbleweed]
*[https://de.opensuse.org/Portal:42.3 Leap 42.3]
*[https://de.opensuse.org/Portal:42.2 Leap 42.2]
*[https://de.opensuse.org/Portal:42.1 Leap 42.1]
|
*[https://de.opensuse.org/Portal:Apache Portal:Apache]
|
*[https://de.opensuse.org/SDB:LAMP_Einrichtung SDB:LAMP_Einrichtung]
*[https://de.opensuse.org/Apache2 Apache2]
*[https://de.opensuse.org/Portal:MySQL Portal:MySQL]
}}

== Einführung ==

Diese Dokument gibt eine rasche Einführung, wie ein Apache-Server auf dem lokalen Rechner aufgesetzt werden kann, der die Lawsuit-Programmteile bereitstellt.

----

{{Warnung| Die Kurzanleitung geht nicht vertieft auf mögliche Experten-Einstellungen des Servers ein. Insbesondere bleiben hier Sicherheitseinstellungen unberücksichtigt, die für den Betrieb als öffentlich zugänglicher Netzserver unumgänglich wären. Die nachfolgenden Schritte sind für Anwender gedacht, die Lawsuit intern auf dem Kanzleirechner hinter einer Firewall betreiben möchten.}}

----

== Allgemeine Rechner-Konfiguration ==

Die Software benötigt eine funktionierende Netzwerkumgebung. Einstellungen hierzu können Sie mit ''YaST'' unter der Rubrik "Netzwerkeinestellungen" vornehmen. Achten Sie insbesondere bei der Nutzung von [https://de.wikipedia.org/wiki/Dynamic_Host_Configuration_Protocol DHCP] darauf, dass weitere Rechner der Kanzlei von YaST tatsächlich im selben Nummernraum wie dieser PC eingetragen wurden, auf dem Apache nun installiert werden soll. Ansonsten können diese Rechner später nicht auf die Kanzleisoftware zugreifen.

Als Zweites sollte der PC auf dem aktuellen Softwarestand sein. Prüfen Sie diesen gegebenenfalls mit ''YaST'' in der Sektion '''Online update''' nach .

=== Installation der Apache-Pakete ===

Der Apache-Server und das optionale Perl-Modul können mit ''zypper'' installiert werden. Öffnen Sie dazu ein Terminal-Fenster und wechseln Sie wie folgt in den Superuser-Modus:
{{Shell|> su}}
Geben Sie nach der Passwortbestätigung den folgenden Befehl ein:
{{Shell|# zypper in apache2 apache2-doc perl-Apache-DBI apache2-mod_perl apache2-mod_php5 apache2-mod_python firewalld-rpcbind-helper}}

=== Nutzung der Yast-Funktion ===

Die weiteren Einstellungen lassen sich zunächst vereinfachen, indem man die Yast-Funktionen für die Servereinrichtung nutzt. Laden Sie dafür das entsprechende Modul nach. Erfahrungsgemäß ist dieser Zwischenschritt jedoch nicht nötig, wenn man die Konfiguration in den nächsten Punkten sorgfältig durchführt.
{{Shell|# zypper in yast2-http-server apache2-mod_wsgi-python3}}
Unter ''yast2'' wählen Sie >HTTP-Server und klicken sich durch den Installationsprozess. Es müssen keine Anpassungen vorgenommen werden. Nach Abschluss der Installation verschieben Sie Ihre eigene Installation aus <tt>/ect/apache2/vhosts.d/YaSTsave</tt> wieder ins obere Verzeichnis <tt>/ect/apache2/vhosts.d</tt>.

Nach Abschluss der Einrichung kann das Hilfsprogramm ''yast2-http-server'' wieder entfernt werden.
{{Shell|# zypper rm yast2-http-server}}

=== Anpassung der Firewall ===

Die Firewall ist so voreingestellt, dass sie über Port 80 auf den Rechner eingehende Daten grundsätzlich sperrt. Folglich müssen die Firewall-Einstellungen so angepasst werden, dass aus dem Lokalen Netzwerk über Port 80 eingehender Datenstrom akzeptiert wird.
Die folgenden Schritte müssen dazu weiterhin als Root ausgeführt werden.
* bis [http://de.opensuse.org/Portal:42.3 Leap 42.3]
{{Shell|# sysconf_addword /etc/sysconfig/SuSEfirewall2 FW_CONFIGURATIONS_EXT apache2   sysconf_addword /etc/sysconfig/SuSEfirewall2 FW_CONFIGURATIONS_EXT apache2-ssl   sysconf_addword /etc/sysconfig/SuSEfirewall2 FW_CONFIGURATIONS_EXT http   sysconf_addword /etc/sysconfig/SuSEfirewall2 FW_CONFIGURATIONS_EXT https   rcSuSEfirewall2 restart }}
Die Einstellungen finden sich jedoch auch unter ''YaST'' und können dort im '''etc/sysconfig-Editor''' mit den Einträgen ''apache2'' und ''apache2-ssl'' aktiviert werden, indem sie diese durch Leerzeichen getrennt im Feld ''FW_CONFIGURATIONS_EXT'' in <tt>/etc/sysconfig/SuSEfirewall2 </tt> einsetzen. Diese Konfigurationsvariable findet sich unter:
Network > Firewall > SuSEfirewall2

* ab [http://de.opensuse.org/Portal:Tubmleweed Tumbleweed]
Die Variablen können per ''YaST'' unter
Networt > Firewall
unter der Listenauswahl ''Permanent'' wir folgt eingestellt werden:
[[Datei:Apache2_firewall.png|thumb|600px|left|Firewall-Einstellungen für den Apache-Server]]
 
Alternativ ist die Auswahl per Shell möglich:
{{Shell|# firewall-cmd --zone internal --permanent --add-interface=eth0   firewall-cmd --zone internal --permanent --add-service=apache2   firewall-cmd --zone internal --permanent --add-service=apache2-ssl   firewall-cmd --zone internal --permanent --add-service=nfs   firewall-cmd --zone internal --permanent --add-service=http   firewall-cmd --zone internal --permanent --add-service=https   firewall-cmd --reload}}

=== Aktivierung des Servers ===
Starten Sie den Server und aktivieren Sie ihn in einem Bootverzeichnis, damit er mit dem Rechner hochgefahren wird:
{{Shell|# rcapache2 start   chkconfig -a apache2}}
Sie können diese Einstellungen jederzeit unter ''YaST'' ändern im Untermenü
YaST > Dienste-Verwaltung

=== Hinzufügen von Apache-Modulen===
Um benötigte Apache-Module zu laden, können wir die Konfigurationsvariable ''APACHE_MODULES'' in <tt>/etc/sysconfig/apache2</tt> editieren. Schneller geht es jedoch mit den nachfolgenden Befehlen. Nach der Änderung muss der Server neu gestartet werden. Auch für die folgenden Befehle sind wieder die Rechte eines Superusers vonnöten.
{{Shell|# a2enmod mod_perl   a2enmod mod_env   a2enmod mod_ssl   a2enmod mod_php5   a2enmod mod_python   a2enmod mod_wsgi   a2enmod mod_cgi   a2enmod -l   rcapache2 restart}}

== Virtual Hosts ==
===Allgemeines===
Das Verzeichnis für alle Virtual Host ist <tt>/etc/apache2/vhosts.d/</tt>. Wie Sie sehen gibt es zwei Konfigurationsdateien - eine mit ssl, die andere ohne ssl. Wir benutzen die Vorlage ohne [https://de.wikipedia.org/wiki/Transport_Layer_Security Secure Sockets Layer]. Nur Dateien mit dem Suffix ".conf" werden automatisch in die Apachekonfiguration einbezogen.

{{Intro|Wenn Sie neben Lawsuit einen weiteren eigenen Virtual Host hinzufügen möchten, ersetzen Sie in den folgenden Zeilen bitte ''Domainname'' durch ihren Verzeichnisnamen oder Ihre IP-Adresse.}}

* Es gibt mehrere Varianten für die Struktur, mit welcher der eigenen Server auf dem Rechner aufgesetzt werden kann. Folgende Optionen bieten sich an:
:* [https://httpd.apache.org/docs/2.4/de/vhosts/name-based.html namensbasiert]
:* [https://httpd.apache.org/docs/2.4/de/vhosts/ip-based.html IP-basiert]
:* portbasiert

* Sei können für Ihre Verzeichnisse die Vorlage '''vhost.template''' kopieren und als Ihre '''{DOMAINNAME}.conf''' speichern. Hier hinein tragen Sie anschließend die Unterverzeichnisse für Ihren Virtual Host ein.

===Einstellungen für ''Lawsuit''===
Für ''Lawsuit'' wird die Konfigurationsdatei jedoch im Unterverzeichnis <tt>lawsuit/settings</tt> bereits fertig zur Verfügung gestellt. Sie müssen lediglich in der genannten Datei den Platzhalter durch den eigenen Nutzernamen ersetzen und die fertige Datei in das Vhosts-Verzeichnis verlinken. Wechseln Sie in das Unterverzeichnis <tt>lawsuit/settings</tt>. Wenn Sie ''Lawsuit'' in Ihrem Nutzerhauptverzeichnis installiert haben, gelangen Sie mit diesem Befehl dorthin:
{{Shell | > cd ~/lawsuit/settings}}
Erstellen Sie dort eine Konfigurationsdatei aus der Vorlage <tt>lawsuit-httpd.template</tt> und ersetzen Sie den darin enthaltenen Platzhalter ''meinpfad'' dabei durch Ihren Pfad zum aktuellen Verzeichnis. Dies erfolgt automatisiert durch diese Befehle:
{{Shell | > pfad=`pwd | sed 's/\/lawsuit.*//' | sed 's/\//\\\\\//g'` > sed "s/meinpfad/$pfad/g" lawsuit-httpd.template > lawsuit-httpd.conf}}
Falls Ihr Pfad zum Ordner <tt>Documents</tt> nicht mit dem soeben ermittelten Pfad für <tt>lawsuit</tt> identisch ist, passen Sie diese Einstellungen für das Verzeichnis <tt>Documents</tt> bitte in der <tt>lawsuit-httpd.conf</tt> mit einem Editor wie '''kate''' von Hand an.

Abschließend kopieren Sie die erstellte Konfigurationsdatei als ''Superuser'' in das Verzeichnis der Virtual Hosts von Apache:

{{Shell | > sudo cp lawsuit-httpd.conf /etc/apache2/vhosts.d/}}

* Neustart von Apache
{{Shell | > sudo service apache2 restart}}

=== Anpassen der Konfiguration ===
Um Ergänzungen oder Änderungen einheitlich für alle Virtual Hosts an der Datei <tt>/etc/apache2/default-server.conf</tt> vorzunehmen, editieren Sie die Konfigurationsvariable ''APACHE_CONF_INCLUDE_FILES'' mithilfe von
YaST > etc/sysconfig-Editor
oder arbeiten direkt in der Textdatei <tt>/etc/sysconfig/apache2</tt>. Zum Verständnis der Hierarchie und des Layouts um Dateien einzubeziehen, lesen Sie die Kommentierung im Kopf der <tt>httpd.conf</tt>. Die ursprüngliche, einfache Konfigurationsdatei mit nur 40K findet sich notfalls unter <tt>/usr/share/doc/packages/apache2/httpd-std.conf-prefork</tt>.

== Optional: Ein Zertifikat für localhost erstellen ==
Bei Mehrplatzsystemen funktionieren die Javascript-Voreintragungen bei Nutzung einer sicheren HTTPS-Verbindung nur, wenn ein eigenes Zertifikat erstellt wird, dessen Aussteller zudem noch aus vertrauenswürdig eingestuft werden muss.OpenSSL bringt umfassende Werkzeuge mit, um eine eigene, kleine Certificate Authority (CA) betreiben zu können.
=== Vergabe einer Domain für den Rechner mit den Lawsuit-Daten ===
Unter yast2 > Netzwerkdienste > Rechnernamen fügen Sie unter der Zeile "localhost" eine Zeile mit folgenden Daten ein:
IP-Adresse: 192.168.2.10
Hostnamen: k1.local
Aliasnamen: k1
[[Datei:Hostkonfiguration.png|thumb|600px|left|Eigenen Rechnernamen vergeben]]
 
Sie können statt "k1" eine beliebe andere Bezeichnung für den Hauptrechner wählen, müssen dann aber Ihre Domain in den folgenden Einstellungen beibehalten.

=== Certificate Authority (CA) erstellen ===
Zu Beginn wird die Certificate Authority generiert. Zunächst wird ein geheimer Private Key erzeugt:
{{Shell |> sudo openssl genrsa -aes256 -out /etc/ssl/private/rootCA.key 4096}}
Der Key trägt den Namen “rootCA.pem” und hat eine Länge von 4096 Bit. Die Option “-aes256” führt dazu, dass der Key mit einem Passwort geschützt wird. Die Key-Datei der CA muss tatsächlich besonders gut geschützt werden. Ein Angreifer, der den Key in die Hände bekommt, kann beliebig gefälschte Zertifikate im Namen der Kanzlei ausstellen, denen die Clients trauen. Die Verschlüsselung dieses Keys mit einem Passwort gibt zusätzlichen Schutz. Das gewünschte Passwort wird bei der Generierung abgefragt.
Einen geheimen Key für die CA gibt es damit also schon - es fehlt noch das Root-Zertifikat, das von den Clients später importiert werden muss, damit die von der CA ausgestellten Zertifikate im Browser als gültig erkannt werden. Das Root-Zertifikat “ca-root.pem” wird mit folgendem Befehl erzeugt:
{{Shell |> sudo openssl req -x509 -new -nodes -key /etc/ssl/private/rootCA.key -sha512 -days 5478 -out /etc/ssl/certs/rootCA.pem}}
In diesem Fall wird die CA 5478 Tage, also 15 Jahre lang gültig bleiben. Während der Generierung werden das Passwort für die CA und einige Attribute abgefragt (hier ein Beispiel):
Country Name (2 letter code) [AU]:DE
State or Province Name (full name) [Some-State]:Nordrhein-Westfalen
Locality Name (eg, city) []:Muenster
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Kanzlei Hermanns
Organizational Unit Name (eg, section) []:Rechtsanwalt
Common Name (e.g. server FQDN or YOUR name) []:RA Matthias Hermanns
Email Address []:hermanns@iustus.eu

===Erzeugen des Schlüssels===
Mit diesen Daten wird auch eine Konfigratunsdatei mit Namen <tt>ssl.cnf</tt> befüllt, die die Schlüsselausgabe später vereinfacht.
{{Shell |> cd ~/bin   mkdir keys   cd keys   kate ssl.cnf}}
Die Datei kann beispielsweise den folgenden Inhalt haben
[req]
# standard-verschlüsselung
default_bits = 4096
# verhindere prompt für die Zertifikat-Erstellung
# (Daten kommen aus dieser Datei)
prompt = no
# verschlüsselungs-methode
default_md = sha512
# prevent key encryption
encrypt_key = no
# Sektion für Zertifizierer-Informationen:
distinguished_name = dn
# Zertifizierer-Informationen:
[dn]
# Länder-Code
C=DE
# Bundesland
ST=Nordrhein-Westfalen
# Stadt
L=Muenster
# Bezeichnung/Firmen-Name/Dein Name:
O=Kanzlei Hermanns
# Aussteller Name
OU=RA Matthias Hermanns
# E-Mail Addresse
emailAddress=hermanns@iustus.eu
# primärer server-name
CN = k1.local
[v3_ca]
keyUsage = digitalSignature, keyEncipherment
extendedKeyUsage = serverAuth
subjectAltName = IP:192.168.2.10, DNS:k1, DNS:k1.local
[alt_names]
# primärer server-name
DNS.1=k1
# sekunärer server-name
DNS.2=k1.local
# wildcard subdomains
DNS.3 = *.k1.local

Speichern Sie die so erstellte Datei <tt>ssl.cnf</tt> im <tt>bin</tt>-Verzeichnis ab. Mit folgendem Befehl erzeugen Sie nun als zertifizierter Aussteller die eigentlichen Schlüssel für die SSL-Verbindung:
{{Shell |> openssl req -new -keyout ~/bin/keys/k1.key -out ~/bin/keys/k1.csr -config ~/bin/keys/ssl.cnf   sudo openssl x509   -req \   -in ~/bin/keys/k1.csr \   -CA /etc/ssl/certs/rootCA.pem \   -CAkey /etc/ssl/private/rootCA.key \   -CAcreateserial \   -out ~/bin/keys/k1.crt \   -days 3650 \   -extfile ~/bin/keys/ssl.cnf \   -extensions v3_ca}}

=== Verbindung mit dem Server ===
Wenn Sie host-Datei <tt>lawsuit-httpd.conf</tt> automatisch wie oben vorgeschlagen generiert haben, sind die notwendigen Einstellungen schon voreingetragen und müssen nur auskommentiert werden. Ansonsten ergänzen Sie unter /etc/apache2/vhosts.d/
folgende Zeilen:
<VirtualHost *:80>
ServerName k1.local
ServerAlias www.k1.local
</VirtualHost>
<IfModule mod_ssl.c>
<VirtualHost *:443>
ServerAdmin webmaster@localhost
DocumentRoot /home/BENUTZERNAME/lawsuit/
ServerName k1.local
ServerAlias www.k1.local
ErrorLog /var/log/apache2/error_log
SSLEngine on
SSLCertificateFile /home/BENUTZERNAME/bin/keys/k1.crt
SSLCertificateKeyFile /home/BENUTZERNAME/bin/keys/k1.key
<IfModule mod_headers.c>
Header always set Strict-Transport-Security "max-age=15552000; includeSubDomains"
</IfModule>
<FilesMatch "\.(cgi|shtml|phtml|php)$">
SSLOptions +StdEnvVars
</FilesMatch>
<Directory /usr/lib/cgi-bin>
SSLOptions +StdEnvVars
</Directory>
</VirtualHost>
</IfModule>
# configuration
SSLProtocol all -SSLv3 -TLSv1 -TLSv1.1 -TLSv1.2
SSLHonorCipherOrder off
SSLSessionTickets off

Unter Firefox kann das selbstgezeichnete Zertifikat nun verwendet werden. Bitte beachten Sie, dass für jede Apache-Konfigurrationsdatei ein anderer Port geöffnet werden muss, "443" also nur einmal verwendet werden kann. Sie können alternativ z.B. "4443" verwenden.

Abschließender Test und Neustart:
{{Shell |# sudo apache2ctl -t   sudo systemctl restart apache2}}

=== Registrierung als vertrauenswürdiger Aussteller für den Firefox-Browser ===
Damit der Firefox-Browser das Zertifikat tatsächlich verwendet und als vertrauenswürdig akzeptiert, muss es im Kleopatra-Schlüsseldienst eingetragen werden, auf den der Browser zugreift.
{{Shell |> kleopatra}}
Klicken Sie den Reiter Importieren an und fügen Sie nacheinander die folgenden Dateien ein:
 <tt>/home/BENUTZERNAME/bin/keys/k1.crt</tt>
 <tt>/etc/ssl/certs/rootCA.pem</tt> 
Bitte bestätigen Sie die erbetenen Beglaubigungen mit der Maustaste.
[[Datei:Kleopatra.png|thumb|600px|left|Importieren der Zertifikate in das Kleopatra-Schlüsselverwaltungsprogramm]]
 
Nun wechseln Sie in den Firefox-Browser und geben in die Adresszeile ein
about:config
Dort ändern Sie die Variable
security.enterprise_roots.enabled -> true
von "false" auf "true". Nun bezieht der Browser auch Ihre eigenen CA-Beglaubigungen des Unternehmens eine seine Bewertungen mit ein und vergibt ein grünes Schlüsselsymbol.

== Problembehebung ==
Lesen Sie wenn möglich die Fehlermeldungen nach dem Start des Servers. Versuchen Sie Fehler ggf. zu reproduzieren und vergleichen Sie die Einträge in den Log-Dateien. Den Einblick auf die dortigen Meldungen können Sie mit dem folgenden Befehl auf den neuesten Stand reduzieren::

{{Shell | # tail -F /var/log/apache2/*}}

Da die Error-Messages schnell sehr großen Umfang einnehmen, der am Ende sogar den Systemstart blockieren kann, empfiehlt es sich, mit Logrotate den Bestand unter Kontrolle zu halten. Installieren Sie dazu, falls noch nicht vom System geschehen:
{{Shell | # zypper in logrotate}}
Sie können die Einstellungen in der Konfigurationsdatei
/etc/logrotate.conf
ändern. Eine typische Konfiguration von <tt>logrotate.conf</tt> sieht z.B. wie folgt aus:
{{Shell |# see "man logrotate" for details
 # rotate log files weekly
 weekly
 # keep 4 weeks worth of backlogs
 rotate 4
 # remove rotated logs older than <count> days
 maxage 90 
 # create new (empty) log files after rotating old ones
 create
 # use date as a suffix of the rotated file
 dateext
 # uncomment this if you want your log files compressed
 compress
 # comment these to switch compression to use gzip or another
 # compression scheme
 compresscmd /usr/bin/xz
 uncompresscmd /usr/bin/xzdec
 # RPM packages drop log rotation information into this directory
 include /etc/logrotate.d
}}

Sollten Sie einen Fehler gefunden haben, [https://de.opensuse.org/SDB:Fehler_berichten berichten Sie ihn] bitte.

==Weiterführende Informationen==
=== Verwandte Artikel ===
*[https://de.opensuse.org/YaST_Module_Firewall#Firewall_Einrichten openSUSE Firewall]
* Package documentation and example configuration files in /usr/share/doc/packages/apache2/

===Externe Links===
* [https://doc.opensuse.org/documentation/leap/reference/html/book.opensuse.reference/cha.apache2.html openSUSE Apache Documentation]
* [http://httpd.apache.org/ The Apache Project]
* [http://www.apache.org/ Apache Software Foundation]

{{DEFAULTSORT:{{PAGENAME}}}}

[[Category:Linuxinstallation]]

Aufsetzen des Apache-Servers

2023-09-16T14:49:13Z

89.246.127.116: /* Erzeugen des Schlüssels */

{{Knowledge|
*[https://de.opensuse.org/Portal:Tumbleweed Tumbleweed]
*[https://de.opensuse.org/Portal:42.3 Leap 42.3]
*[https://de.opensuse.org/Portal:42.2 Leap 42.2]
*[https://de.opensuse.org/Portal:42.1 Leap 42.1]
|
*[https://de.opensuse.org/Portal:Apache Portal:Apache]
|
*[https://de.opensuse.org/SDB:LAMP_Einrichtung SDB:LAMP_Einrichtung]
*[https://de.opensuse.org/Apache2 Apache2]
*[https://de.opensuse.org/Portal:MySQL Portal:MySQL]
}}

== Einführung ==

Diese Dokument gibt eine rasche Einführung, wie ein Apache-Server auf dem lokalen Rechner aufgesetzt werden kann, der die Lawsuit-Programmteile bereitstellt.

----

{{Warnung| Die Kurzanleitung geht nicht vertieft auf mögliche Experten-Einstellungen des Servers ein. Insbesondere bleiben hier Sicherheitseinstellungen unberücksichtigt, die für den Betrieb als öffentlich zugänglicher Netzserver unumgänglich wären. Die nachfolgenden Schritte sind für Anwender gedacht, die Lawsuit intern auf dem Kanzleirechner hinter einer Firewall betreiben möchten.}}

----

== Allgemeine Rechner-Konfiguration ==

Die Software benötigt eine funktionierende Netzwerkumgebung. Einstellungen hierzu können Sie mit ''YaST'' unter der Rubrik "Netzwerkeinestellungen" vornehmen. Achten Sie insbesondere bei der Nutzung von [https://de.wikipedia.org/wiki/Dynamic_Host_Configuration_Protocol DHCP] darauf, dass weitere Rechner der Kanzlei von YaST tatsächlich im selben Nummernraum wie dieser PC eingetragen wurden, auf dem Apache nun installiert werden soll. Ansonsten können diese Rechner später nicht auf die Kanzleisoftware zugreifen.

Als Zweites sollte der PC auf dem aktuellen Softwarestand sein. Prüfen Sie diesen gegebenenfalls mit ''YaST'' in der Sektion '''Online update''' nach .

=== Installation der Apache-Pakete ===

Der Apache-Server und das optionale Perl-Modul können mit ''zypper'' installiert werden. Öffnen Sie dazu ein Terminal-Fenster und wechseln Sie wie folgt in den Superuser-Modus:
{{Shell|> su}}
Geben Sie nach der Passwortbestätigung den folgenden Befehl ein:
{{Shell|# zypper in apache2 apache2-doc perl-Apache-DBI apache2-mod_perl apache2-mod_php5 apache2-mod_python firewalld-rpcbind-helper}}

=== Nutzung der Yast-Funktion ===

Die weiteren Einstellungen lassen sich zunächst vereinfachen, indem man die Yast-Funktionen für die Servereinrichtung nutzt. Laden Sie dafür das entsprechende Modul nach. Erfahrungsgemäß ist dieser Zwischenschritt jedoch nicht nötig, wenn man die Konfiguration in den nächsten Punkten sorgfältig durchführt.
{{Shell|# zypper in yast2-http-server apache2-mod_wsgi-python3}}
Unter ''yast2'' wählen Sie >HTTP-Server und klicken sich durch den Installationsprozess. Es müssen keine Anpassungen vorgenommen werden. Nach Abschluss der Installation verschieben Sie Ihre eigene Installation aus <tt>/ect/apache2/vhosts.d/YaSTsave</tt> wieder ins obere Verzeichnis <tt>/ect/apache2/vhosts.d</tt>.

Nach Abschluss der Einrichung kann das Hilfsprogramm ''yast2-http-server'' wieder entfernt werden.
{{Shell|# zypper rm yast2-http-server}}

=== Anpassung der Firewall ===

Die Firewall ist so voreingestellt, dass sie über Port 80 auf den Rechner eingehende Daten grundsätzlich sperrt. Folglich müssen die Firewall-Einstellungen so angepasst werden, dass aus dem Lokalen Netzwerk über Port 80 eingehender Datenstrom akzeptiert wird.
Die folgenden Schritte müssen dazu weiterhin als Root ausgeführt werden.
* bis [http://de.opensuse.org/Portal:42.3 Leap 42.3]
{{Shell|# sysconf_addword /etc/sysconfig/SuSEfirewall2 FW_CONFIGURATIONS_EXT apache2   sysconf_addword /etc/sysconfig/SuSEfirewall2 FW_CONFIGURATIONS_EXT apache2-ssl   sysconf_addword /etc/sysconfig/SuSEfirewall2 FW_CONFIGURATIONS_EXT http   sysconf_addword /etc/sysconfig/SuSEfirewall2 FW_CONFIGURATIONS_EXT https   rcSuSEfirewall2 restart }}
Die Einstellungen finden sich jedoch auch unter ''YaST'' und können dort im '''etc/sysconfig-Editor''' mit den Einträgen ''apache2'' und ''apache2-ssl'' aktiviert werden, indem sie diese durch Leerzeichen getrennt im Feld ''FW_CONFIGURATIONS_EXT'' in <tt>/etc/sysconfig/SuSEfirewall2 </tt> einsetzen. Diese Konfigurationsvariable findet sich unter:
Network > Firewall > SuSEfirewall2

* ab [http://de.opensuse.org/Portal:Tubmleweed Tumbleweed]
Die Variablen können per ''YaST'' unter
Networt > Firewall
unter der Listenauswahl ''Permanent'' wir folgt eingestellt werden:
[[Datei:Apache2_firewall.png|thumb|600px|left|Firewall-Einstellungen für den Apache-Server]]
 
Alternativ ist die Auswahl per Shell möglich:
{{Shell|# firewall-cmd --zone internal --permanent --add-interface=eth0   firewall-cmd --zone internal --permanent --add-service=apache2   firewall-cmd --zone internal --permanent --add-service=apache2-ssl   firewall-cmd --zone internal --permanent --add-service=nfs   firewall-cmd --zone internal --permanent --add-service=http   firewall-cmd --zone internal --permanent --add-service=https   firewall-cmd --reload}}

=== Aktivierung des Servers ===
Starten Sie den Server und aktivieren Sie ihn in einem Bootverzeichnis, damit er mit dem Rechner hochgefahren wird:
{{Shell|# rcapache2 start   chkconfig -a apache2}}
Sie können diese Einstellungen jederzeit unter ''YaST'' ändern im Untermenü
YaST > Dienste-Verwaltung

=== Hinzufügen von Apache-Modulen===
Um benötigte Apache-Module zu laden, können wir die Konfigurationsvariable ''APACHE_MODULES'' in <tt>/etc/sysconfig/apache2</tt> editieren. Schneller geht es jedoch mit den nachfolgenden Befehlen. Nach der Änderung muss der Server neu gestartet werden. Auch für die folgenden Befehle sind wieder die Rechte eines Superusers vonnöten.
{{Shell|# a2enmod mod_perl   a2enmod mod_env   a2enmod mod_ssl   a2enmod mod_php5   a2enmod mod_python   a2enmod mod_wsgi   a2enmod mod_cgi   a2enmod -l   rcapache2 restart}}

== Virtual Hosts ==
===Allgemeines===
Das Verzeichnis für alle Virtual Host ist <tt>/etc/apache2/vhosts.d/</tt>. Wie Sie sehen gibt es zwei Konfigurationsdateien - eine mit ssl, die andere ohne ssl. Wir benutzen die Vorlage ohne [https://de.wikipedia.org/wiki/Transport_Layer_Security Secure Sockets Layer]. Nur Dateien mit dem Suffix ".conf" werden automatisch in die Apachekonfiguration einbezogen.

{{Intro|Wenn Sie neben Lawsuit einen weiteren eigenen Virtual Host hinzufügen möchten, ersetzen Sie in den folgenden Zeilen bitte ''Domainname'' durch ihren Verzeichnisnamen oder Ihre IP-Adresse.}}

* Es gibt mehrere Varianten für die Struktur, mit welcher der eigenen Server auf dem Rechner aufgesetzt werden kann. Folgende Optionen bieten sich an:
:* [https://httpd.apache.org/docs/2.4/de/vhosts/name-based.html namensbasiert]
:* [https://httpd.apache.org/docs/2.4/de/vhosts/ip-based.html IP-basiert]
:* portbasiert

* Sei können für Ihre Verzeichnisse die Vorlage '''vhost.template''' kopieren und als Ihre '''{DOMAINNAME}.conf''' speichern. Hier hinein tragen Sie anschließend die Unterverzeichnisse für Ihren Virtual Host ein.

===Einstellungen für ''Lawsuit''===
Für ''Lawsuit'' wird die Konfigurationsdatei jedoch im Unterverzeichnis <tt>lawsuit/settings</tt> bereits fertig zur Verfügung gestellt. Sie müssen lediglich in der genannten Datei den Platzhalter durch den eigenen Nutzernamen ersetzen und die fertige Datei in das Vhosts-Verzeichnis verlinken. Wechseln Sie in das Unterverzeichnis <tt>lawsuit/settings</tt>. Wenn Sie ''Lawsuit'' in Ihrem Nutzerhauptverzeichnis installiert haben, gelangen Sie mit diesem Befehl dorthin:
{{Shell | > cd ~/lawsuit/settings}}
Erstellen Sie dort eine Konfigurationsdatei aus der Vorlage <tt>lawsuit-httpd.template</tt> und ersetzen Sie den darin enthaltenen Platzhalter ''meinpfad'' dabei durch Ihren Pfad zum aktuellen Verzeichnis. Dies erfolgt automatisiert durch diese Befehle:
{{Shell | > pfad=`pwd | sed 's/\/lawsuit.*//' | sed 's/\//\\\\\//g'` > sed "s/meinpfad/$pfad/g" lawsuit-httpd.template > lawsuit-httpd.conf}}
Falls Ihr Pfad zum Ordner <tt>Documents</tt> nicht mit dem soeben ermittelten Pfad für <tt>lawsuit</tt> identisch ist, passen Sie diese Einstellungen für das Verzeichnis <tt>Documents</tt> bitte in der <tt>lawsuit-httpd.conf</tt> mit einem Editor wie '''kate''' von Hand an.

Abschließend kopieren Sie die erstellte Konfigurationsdatei als ''Superuser'' in das Verzeichnis der Virtual Hosts von Apache:

{{Shell | > sudo cp lawsuit-httpd.conf /etc/apache2/vhosts.d/}}

* Neustart von Apache
{{Shell | > sudo service apache2 restart}}

=== Anpassen der Konfiguration ===
Um Ergänzungen oder Änderungen einheitlich für alle Virtual Hosts an der Datei <tt>/etc/apache2/default-server.conf</tt> vorzunehmen, editieren Sie die Konfigurationsvariable ''APACHE_CONF_INCLUDE_FILES'' mithilfe von
YaST > etc/sysconfig-Editor
oder arbeiten direkt in der Textdatei <tt>/etc/sysconfig/apache2</tt>. Zum Verständnis der Hierarchie und des Layouts um Dateien einzubeziehen, lesen Sie die Kommentierung im Kopf der <tt>httpd.conf</tt>. Die ursprüngliche, einfache Konfigurationsdatei mit nur 40K findet sich notfalls unter <tt>/usr/share/doc/packages/apache2/httpd-std.conf-prefork</tt>.

== Optional: Ein Zertifikat für localhost erstellen ==
Bei Mehrplatzsystemen funktionieren die Javascript-Voreintragungen bei Nutzung einer sicheren HTTPS-Verbindung nur, wenn ein eigenes Zertifikat erstellt wird, dessen Aussteller zudem noch aus vertrauenswürdig eingestuft werden muss.OpenSSL bringt umfassende Werkzeuge mit, um eine eigene, kleine Certificate Authority (CA) betreiben zu können.
=== Vergabe einer Domain für den Rechner mit den Lawsuit-Daten ===
Unter yast2 > Netzwerkdienste > Rechnernamen fügen Sie unter der Zeile "localhost" eine Zeile mit folgenden Daten ein:
IP-Adresse: 192.168.2.10
Hostnamen: k1.local
Aliasnamen: k1
[[Datei:Hostkonfiguration.png|thumb|600px|left|Eigenen Rechnernamen vergeben]]
 
Sie können statt "k1" eine beliebe andere Bezeichnung für den Hauptrechner wählen, müssen dann aber Ihre Domain in den folgenden Einstellungen beibehalten.

=== Certificate Authority (CA) erstellen ===
Zu Beginn wird die Certificate Authority generiert. Zunächst wird ein geheimer Private Key erzeugt:
{{Shell |> sudo openssl genrsa -aes256 -out /etc/ssl/private/rootCA.key 4096}}
Der Key trägt den Namen “rootCA.pem” und hat eine Länge von 4096 Bit. Die Option “-aes256” führt dazu, dass der Key mit einem Passwort geschützt wird. Die Key-Datei der CA muss tatsächlich besonders gut geschützt werden. Ein Angreifer, der den Key in die Hände bekommt, kann beliebig gefälschte Zertifikate im Namen der Kanzlei ausstellen, denen die Clients trauen. Die Verschlüsselung dieses Keys mit einem Passwort gibt zusätzlichen Schutz. Das gewünschte Passwort wird bei der Generierung abgefragt.
Einen geheimen Key für die CA gibt es damit also schon - es fehlt noch das Root-Zertifikat, das von den Clients später importiert werden muss, damit die von der CA ausgestellten Zertifikate im Browser als gültig erkannt werden. Das Root-Zertifikat “ca-root.pem” wird mit folgendem Befehl erzeugt:
{{Shell |> sudo openssl req -x509 -new -nodes -key /etc/ssl/private/rootCA.key -sha512 -days 5478 -out /etc/ssl/certs/rootCA.pem}}
In diesem Fall wird die CA 5478 Tage, also 15 Jahre lang gültig bleiben. Während der Generierung werden das Passwort für die CA und einige Attribute abgefragt (hier ein Beispiel):
Country Name (2 letter code) [AU]:DE
State or Province Name (full name) [Some-State]:Nordrhein-Westfalen
Locality Name (eg, city) []:Muenster
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Kanzlei Hermanns
Organizational Unit Name (eg, section) []:Rechtsanwalt
Common Name (e.g. server FQDN or YOUR name) []:RA Matthias Hermanns
Email Address []:hermanns@iustus.eu

===Erzeugen des Schlüssels===
Mit diesen Daten wird auch eine Konfigratunsdatei mit Namen <tt>ssl.cnf</tt> befüllt, die die Schlüsselausgabe später vereinfacht.
{{Shell |> cd ~/bin   mkdir keys   cd keys   kate ssl.cnf}}
Die Datei kann beispielsweise den folgenden Inhalt haben
[req]
# standard-verschlüsselung
default_bits = 4096
# verhindere prompt für die Zertifikat-Erstellung
# (Daten kommen aus dieser Datei)
prompt = no
# verschlüsselungs-methode
default_md = sha512
# prevent key encryption
encrypt_key = no
# Sektion für Zertifizierer-Informationen:
distinguished_name = dn
# Zertifizierer-Informationen:
[dn]
# Länder-Code
C=DE
# Bundesland
ST=Nordrhein-Westfalen
# Stadt
L=Muenster
# Bezeichnung/Firmen-Name/Dein Name:
O=Kanzlei Hermanns
# Aussteller Name
OU=RA Matthias Hermanns
# E-Mail Addresse
emailAddress=hermanns@iustus.eu
# primärer server-name
CN = k1.local
[v3_ca]
keyUsage = digitalSignature, keyEncipherment
extendedKeyUsage = serverAuth
subjectAltName = IP:192.168.2.10, DNS:k1,k1.local, DNS:k1
[alt_names]
# primärer server-name
DNS.1=k1
# sekunärer server-name
DNS.2=k1.local
# wildcard subdomains
DNS.3 = *.k1.local

Speichern Sie die so erstellte Datei <tt>ssl.cnf</tt> im <tt>bin</tt>-Verzeichnis ab. Mit folgendem Befehl erzeugen Sie nun als zertifizierter Aussteller die eigentlichen Schlüssel für die SSL-Verbindung:
{{Shell |> openssl req -new -keyout ~/bin/keys/k1.key -out ~/bin/keys/k1.csr -config ~/bin/keys/ssl.cnf   sudo openssl x509   -req \   -in ~/bin/keys/k1.csr \   -CA /etc/ssl/certs/rootCA.pem \   -CAkey /etc/ssl/private/rootCA.key \   -CAcreateserial \   -out ~/bin/keys/k1.crt \   -days 3650 \   -extfile ~/bin/keys/ssl.cnf \   -extensions v3_ca}}

=== Verbindung mit dem Server ===
Wenn Sie host-Datei <tt>lawsuit-httpd.conf</tt> automatisch wie oben vorgeschlagen generiert haben, sind die notwendigen Einstellungen schon voreingetragen und müssen nur auskommentiert werden. Ansonsten ergänzen Sie unter /etc/apache2/vhosts.d/
folgende Zeilen:
<VirtualHost *:80>
ServerName k1.local
ServerAlias www.k1.local
</VirtualHost>
<IfModule mod_ssl.c>
<VirtualHost *:443>
ServerAdmin webmaster@localhost
DocumentRoot /home/BENUTZERNAME/lawsuit/
ServerName k1.local
ServerAlias www.k1.local
ErrorLog /var/log/apache2/error_log
SSLEngine on
SSLCertificateFile /home/BENUTZERNAME/bin/keys/k1.crt
SSLCertificateKeyFile /home/BENUTZERNAME/bin/keys/k1.key
<IfModule mod_headers.c>
Header always set Strict-Transport-Security "max-age=15552000; includeSubDomains"
</IfModule>
<FilesMatch "\.(cgi|shtml|phtml|php)$">
SSLOptions +StdEnvVars
</FilesMatch>
<Directory /usr/lib/cgi-bin>
SSLOptions +StdEnvVars
</Directory>
</VirtualHost>
</IfModule>
# configuration
SSLProtocol all -SSLv3 -TLSv1 -TLSv1.1 -TLSv1.2
SSLHonorCipherOrder off
SSLSessionTickets off

Unter Firefox kann das selbstgezeichnete Zertifikat nun verwendet werden. Bitte beachten Sie, dass für jede Apache-Konfigurrationsdatei ein anderer Port geöffnet werden muss, "443" also nur einmal verwendet werden kann. Sie können alternativ z.B. "4443" verwenden.

Abschließender Test und Neustart:
{{Shell |# sudo apache2ctl -t   sudo systemctl restart apache2}}

=== Registrierung als vertrauenswürdiger Aussteller für den Firefox-Browser ===
Damit der Firefox-Browser das Zertifikat tatsächlich verwendet und als vertrauenswürdig akzeptiert, muss es im Kleopatra-Schlüsseldienst eingetragen werden, auf den der Browser zugreift.
{{Shell |> kleopatra}}
Klicken Sie den Reiter Importieren an und fügen Sie nacheinander die folgenden Dateien ein:
 <tt>/home/BENUTZERNAME/bin/keys/k1.crt</tt>
 <tt>/etc/ssl/certs/rootCA.pem</tt> 
Bitte bestätigen Sie die erbetenen Beglaubigungen mit der Maustaste.
[[Datei:Kleopatra.png|thumb|600px|left|Importieren der Zertifikate in das Kleopatra-Schlüsselverwaltungsprogramm]]
 
Nun wechseln Sie in den Firefox-Browser und geben in die Adresszeile ein
about:config
Dort ändern Sie die Variable
security.enterprise_roots.enabled -> true
von "false" auf "true". Nun bezieht der Browser auch Ihre eigenen CA-Beglaubigungen des Unternehmens eine seine Bewertungen mit ein und vergibt ein grünes Schlüsselsymbol.

== Problembehebung ==
Lesen Sie wenn möglich die Fehlermeldungen nach dem Start des Servers. Versuchen Sie Fehler ggf. zu reproduzieren und vergleichen Sie die Einträge in den Log-Dateien. Den Einblick auf die dortigen Meldungen können Sie mit dem folgenden Befehl auf den neuesten Stand reduzieren::

{{Shell | # tail -F /var/log/apache2/*}}

Da die Error-Messages schnell sehr großen Umfang einnehmen, der am Ende sogar den Systemstart blockieren kann, empfiehlt es sich, mit Logrotate den Bestand unter Kontrolle zu halten. Installieren Sie dazu, falls noch nicht vom System geschehen:
{{Shell | # zypper in logrotate}}
Sie können die Einstellungen in der Konfigurationsdatei
/etc/logrotate.conf
ändern. Eine typische Konfiguration von <tt>logrotate.conf</tt> sieht z.B. wie folgt aus:
{{Shell |# see "man logrotate" for details
 # rotate log files weekly
 weekly
 # keep 4 weeks worth of backlogs
 rotate 4
 # remove rotated logs older than <count> days
 maxage 90 
 # create new (empty) log files after rotating old ones
 create
 # use date as a suffix of the rotated file
 dateext
 # uncomment this if you want your log files compressed
 compress
 # comment these to switch compression to use gzip or another
 # compression scheme
 compresscmd /usr/bin/xz
 uncompresscmd /usr/bin/xzdec
 # RPM packages drop log rotation information into this directory
 include /etc/logrotate.d
}}

Sollten Sie einen Fehler gefunden haben, [https://de.opensuse.org/SDB:Fehler_berichten berichten Sie ihn] bitte.

==Weiterführende Informationen==
=== Verwandte Artikel ===
*[https://de.opensuse.org/YaST_Module_Firewall#Firewall_Einrichten openSUSE Firewall]
* Package documentation and example configuration files in /usr/share/doc/packages/apache2/

===Externe Links===
* [https://doc.opensuse.org/documentation/leap/reference/html/book.opensuse.reference/cha.apache2.html openSUSE Apache Documentation]
* [http://httpd.apache.org/ The Apache Project]
* [http://www.apache.org/ Apache Software Foundation]

{{DEFAULTSORT:{{PAGENAME}}}}

[[Category:Linuxinstallation]]