Letsencypt Solr SSL JVM

Я пытался заставить это работать в течение нескольких дней, но может ли кто-нибудь указать мне правильное направление (учебное пособие и т. Д.), Как заставить сертификаты LetsEncypt работать в Solr?

У меня есть сайт Rails, работающий на 443 с LetsEncrypt, и я добавил solr на той же машине, но на другом порту. Solr использует SSL с самозаверяющими сертификатами.

Могу ли я использовать одни и те же сертификаты для основного сайта, поскольку доступ к сайту и solr можно получить по одному и тому же URL-адресу?

Очевидно, что экземпляр solr защищен с помощью IP-таблиц, так как это кажется более простой настройкой, чем обратное проксирование при попытке использовать тот же сертификат.

Любые указатели или подсказки с благодарностью!

Спасибо


person IT_puppet_master    schedule 11.01.2017    source источник


Ответы (1)


Иногда я упускаю из виду очевидное!

Поскольку у меня уже есть ключ для домена, и Solr отвечает на mydomain.com:8983, все, что нужно, — это создать хранилище ключей Java (jks) из существующих ключей в системе.

Так что все, что было нужно, это

openssl pkcs12 -export -in /etc/letsencrypt/live/mydomain.com/fullchain.pem -inkey /etc/letsencrypt/live/mydomain.com/privkey.pem -out pkcs.p12 -name NAME

указав расположение сертификата Lets-Encrypt (в моей системе /etc/letsencrypt/live/mydomain.com/)

Затем преобразуйте ключ PKCS12 в jks...

keytool -importkeystore -deststorepass PASSWORD_STORE -destkeypass PASSWORD_KEYPASS -destkeystore keystore.jks -srckeystore pkcs.p12 -srcstoretype PKCS12 -srcstorepass STORE_PASS -alias NAME

замена пароля там, где это необходимо.

Я бы подумал, что лучшей практикой здесь будет автоматизировать это в сценарии bash, который будет запускаться при обновлении сертификатов Lets-encrypt.

person IT_puppet_master    schedule 11.01.2017
comment
Стоит отметить, что приведенные выше команды необходимо запустить в /server/etc/ для вашей установки solr, и вам необходимо сначала удалить старое хранилище ключей (для меня /opt/solr-5.3.1/server/etc/) - person IT_puppet_master; 21.03.2017