我们正在运行一个为我们的客户使用自定义子域的PHP站点,因此我们在Apache(版本2.2.3)中实现了带有通配符VHost的通配符SSL证书。这些子域 PHP Web 应用程序还利用反向代理到金字塔 Web 应用程序,这些代理位于我们的 REST 和 RPC API 的两个 URL 前缀后面。
我们还有一个在金字塔上运行的管理界面。我们通常会简单地将代理反向到管理界面,但我似乎无法为这两个虚拟主机使用通配符 SSL 证书。我做错了什么?
这是我们的虚拟主机配置:
NameVirtualHost *:443
<VirtualHost *:443>
ServerName example.com
ServerAlias *.example.com
DocumentRoot /var/www/html/example/current/www
ErrorLog logs/wild-example.com-SSL-error_log
CustomLog logs/wild-example.com-SSL-access_log combined
SSLEngine On
SSLCertificateFile /etc/pki/tls/certs/star_example.com.2012.crt
SSLCertificateKeyFile /etc/pki/tls/private/star_example.com.key
SSLCACertificateFile /etc/pki/tls/certs/NetworkSolutions_CA.2012.crt
<Directory /var/www/html/example/current/www>
DirectoryIndex index.php
Options FollowSymLinks
AllowOverride All
</Directory>
ProxyRequests On
ProxyPreserveHost On
<Proxy *>
Order deny,allow
Allow from all
</Proxy>
ProxyPass /restapi/ http://127.0.0.1:6543/restapi/
ProxyPassReverse /restapi/ http://127.0.0.1:6543/restapi/
ProxyPass /rpcapi/ http://127.0.0.1:6543/rpcapi/
ProxyPassReverse /rpcapi/ http://127.0.0.1:6543/rpcapi/
</VirtualHost>
<VirtualHost *:443>
ServerName example.com
ServerAlias admin.example.com
DocumentRoot /var/www/html/example/current/www
ErrorLog logs/admin-example.com-SSL-error_log
CustomLog logs/admin-example.com-SSL-access_log combined
SSLEngine On
SSLCertificateFile /etc/pki/tls/certs/star_example.com.2012.crt
SSLCertificateKeyFile /etc/pki/tls/private/star_example.com.key
SSLCACertificateFile /etc/pki/tls/certs/NetworkSolutions_CA.2012.crt
<Directory /var/www/html/example/current/www>
DirectoryIndex index.php
Options FollowSymLinks
AllowOverride All
</Directory>
ProxyRequests On
ProxyPreserveHost On
<Proxy *>
Order deny,allow
Allow from all
</Proxy>
ProxyPass / http://127.0.0.1:6542/
ProxyPassReverse / http://127.0.0.1:6542/
</VirtualHost>
您是否在可以看到的ssl_error日志中收到错误消息?您应该能够复制主虚拟主机并将其设置为特定的子域虚拟主机。
事实上,你原来的 *.example.com 的东西应该只涵盖任何子域。我认为如果您只是将新子域指定为常规端口 80 vhost,然后在 https://admin.example.com 访问该站点,则应对其进行保护。
删除以下行:
ServerAlias *.example.com
在第二个虚拟主机部分中,更改服务器名称:
ServerName admin.example.com
拳头 *. 陷阱 admin.example.com 在第一个虚拟主机部分。您也不希望它们都定义相同的虚拟主机(example.com)。每个子域的服务器名称需要不同。