Moodlebox: समर्थन HTTPS

कुछ संसाधन:

• https://serverfault.com/questions/750902/how-to-use-lets-encrypt-dns-challenge-validation
• https://b3n.org/intranet-ssl-certificates-using-lets-encrypt-dns-01/

हैलो निकोलस,
मैंने पहले कभी मूडलबॉक्स नहीं खेला है, और अभी तक अपने अपाचे सर्वर को HTTPS की सेवा के लिए कॉन्फ़िगर नहीं किया है, लेकिन मुझे समझ में नहीं आता कि सर्वर और एसएसएल प्रमाणपत्र स्थापित करने में कठिनाई कहां होगी। क्या मूडलबॉक्स लिनक्स वितरण पर नहीं चलता है?
लिनक्स मशीन पर HTTPS को कॉन्फ़िगर करना काफी आसान लगता है, कम से कम डेबियन पर, उदाहरण के लिए, जो मैंने पढ़ा है।
जब मूडलबॉक्स की बात आती है तो मैं पूरी तरह से बंद हो सकता हूं, और स्थापित ऑपरेटिंग सिस्टम बहुत अलग हो सकता है। किसी भी मामले में, मैंने अपने इंस्टॉलेशन पर HTTPS सेट करने के लिए मेरी प्रक्रिया का नेतृत्व करने के लिए निम्नलिखित संदर्भों को नोट किया है:
लेट्स एनक्रिप्ट के साथ अपाचे को उबंटू 16.04 पर कैसे सुरक्षित करें |
डेबियन के तहत एक HTTPS सर्वर की स्थापना

पीजी

यह स्थापना की कठिनाई का प्रश्न नहीं है। समस्या दुगनी है:

1. प्रमाणपत्र प्राप्त करना जटिल है जब सर्वर को केवल इंट्रानेट पर पहुँचा जा सकता है, क्योंकि प्रमाण पत्र प्रदान करने वाले उदाहरण को सत्यापित करना चाहिए कि सर्वर वास्तव में वैध है, और चूंकि यह उस तक नहीं पहुंच सकता है, इसलिए सत्यापन विफल हो जाता है। यह ऊपर दिए गए लिंक से चारों ओर काम किया जा सकता है (यही वह है जिसे मुझे लागू करने से पहले परीक्षण करने की आवश्यकता है;
2. इसके लिए आईएएनए-पंजीकृत सार्वजनिक रूट डोमेन (टीएलडी) की आवश्यकता है, और वर्तमान ".होम" डोमेन नहीं है। इसलिए संभावित रूप से, उस मानक URL को बदलना आवश्यक होगा जिसके द्वारा कोई व्यक्ति मूडलबॉक्स तक पहुँचता है, जो कष्टप्रद है।

हैलो निकोलस,

आपके उत्तर के लिए धन्यवाद। ये दो बिंदु हैं जिनके बारे में मुझे वास्तव में एक अंतर्ज्ञान था। हालांकि, एसएसएल और एचटीटीपीएस प्रमाणपत्रों के बारे में अधिक जानने के लिए थोड़ा इधर-उधर भटकने से, मैं यह सोचकर समाप्त हो गया कि हम इसका समाधान ढूंढ लेंगे:

1. स्थानीय स्व-प्रमाणन (मुझे कोई संदेह नहीं है कि आप कार्यान्वयन से पहले परीक्षण करने में सक्षम होंगे)
2. रूट डोमेन नाम के आईसीएएनएन के साथ पंजीकरण मुझे अनिवार्य नहीं लगता...

मुझे ऐसा लगता है कि आपका उत्तर मेरी दृष्टि की पुष्टि करता है: कंप्यूटर विज्ञान में आपके स्तर के व्यक्ति के लिए कुछ भी असंभव नहीं है!
सबसे अच्छी बात यह है कि यह मेरे मामूली स्तर के व्यक्ति (अधिक या कम लंबी अवधि में) के लिए भी अचूक हो सकता है! किसी भी मामले में, मैं चुनौती का मुकाबला करने का इरादा रखता हूं: एक पंजीकृत डोमेन नाम (केवल एक आईपी पते पर) को इंगित किए बिना, अपना खुद का HTTPS सर्वर बनाएं। अगर मैं पहले सफल होता हूं तो मैं आपके पास वापस आना सुनिश्चित करूंगा। (सावधान रहें, इसमें मेरे लिए थोड़ा समय लग सकता है... मेरी प्रतीक्षा न करें!)

नोट: हालांकि, मुझे डर है कि हम स्व-असाइन किए गए प्रमाणपत्र की गुणवत्ता के बारे में हमेशा चेतावनी देते रहेंगे। प्रत्येक क्लाइंट को पहले कनेक्शन के दौरान एक निजी कुंजी को स्वीकार और पंजीकृत करना होगा।

जल्द ही फिर मिलेंगे,
पीजी

हालांकि, मुझे डर है कि हम स्व-असाइन किए गए प्रमाणपत्र की गुणवत्ता के बारे में हमेशा चेतावनी देते रहेंगे। प्रत्येक क्लाइंट को पहले कनेक्शन के दौरान एक निजी कुंजी को स्वीकार और पंजीकृत करना होगा।

इसलिए मैं लेट्स एनक्रिप्ट के साथ "असली" सर्टिफिकेट बनाने की कोशिश करने जा रहा हूं।

जैसा अपेक्षित था, Letsencrypt द्वारा गैर-सार्वजनिक रूट डोमेन की अनुमति नहीं है।

$ sudo certbot certonly -d moodlebox.home --manual --register-unsafely-without-email --preferred-challenges dns

(several lines omitted)
Obtaining a new certificate
An unexpected error occurred:
The request message was malformed :: Error creating new authz :: Name does not end in a public suffix
Please see the logfiles in /var/log/letsencrypt for more details.

यहां स्पष्टीकरण: https://www.reddit.com/r/sysadmin/comments/3vyjd9/letsencrypt_non_public_domain/

यदि आपको इंट्रानेट.लैन के लिए एक प्रमाण पत्र मिलेगा, तो बाकी सभी भी कर सकते हैं! तो ... आपके आंतरिक डोमेन को जानने वाले बुरे लोगों को आपके उपयोगकर्ताओं को "इंट्रानेट दिखने वाली फ़िशिंग साइट" पर पुनर्निर्देशित करने में कोई समस्या नहीं होगी और उनके लिए सब कुछ "हरा" होगा, क्योंकि प्रमाण पर भरोसा किया जाता है। यहां तक ​​कि आपके लिए भी यह सीधे तौर पर संदेहास्पद नहीं होगा, क्योंकि प्रमाणपत्र मान्य है, और यह LE द्वारा हस्ताक्षरित है। एक "निजी" कॉर्पोरेट सीए के साथ वे आम तौर पर दूसरा जारी नहीं कर पाएंगे।

आवश्यक कदम:

• [x] FQDN को वास्तविक मौजूदा डोमेन नाम में बदलें
• [x] लेट्स एनक्रिप्ट के सर्टिफिकेट के साथ सर्टिफिकेट जेनरेट करें
• [x] HTTPS के लिए nginx कॉन्फ़िगर करें
• [x] HTTPS का उपयोग करने के लिए मूडल को कॉन्फ़िगर करें
• [ ] प्रमाणपत्र के स्वत: नवीनीकरण को कॉन्फ़िगर करें

चेकलिस्ट का अंतिम बिंदु (प्रमाणपत्र के स्वत: नवीनीकरण को कॉन्फ़िगर करें) दुर्भाग्य से असंभव लगता है: डोमेन के मालिक को प्रत्येक नवीनीकरण के लिए TXT रिकॉर्ड को संशोधित करना होगा, जो कि क्षेत्र के सभी MoodleBoxes के लिए अव्यावहारिक है, जब तक कि इसका अपना विशिष्ट डोमेन नाम न हो। .

मुझे डर है कि मैं इस सुविधा को मानक छवि में नहीं जोड़ सकता।

हाय निकोलस,
मैंने पढ़ा है कि जब वेब साइट एसएसएल प्रमाणपत्र का उपयोग नहीं करती है तो कोई ब्राउज़र निकट भविष्य में किसी वेब साइट को असुरक्षित के रूप में चिह्नित करेगा। यह एक बुरी बात होगी जब मूडलबॉक्स एक असुरक्षित डिवाइस के रूप में दिमाग में आता है।

इसलिए मैं रास्पबेरी पाई में एसएसएल प्रमाणपत्र प्राप्त करने के लिए कुछ विचारों की खोज कर रहा था। आप इन विचारों के बारे में क्या सोचते हैं?

• https://tutorials-raspberrypi.de/raspberry-pi-ssl-zertifikat-kostenlos-mit-lets-encrypt-erstellen/
• https://pimylifeup.com/raspberry-pi-ssl-lets-encrypt/
• https://www.stewright.me/2017/01/add-ssl-nginx-site-free-lets-encrypt/

सादर, राल्फो

मुझे नहीं पता कि स्थानीय वेब सर्वर के एसएसएल प्रमाणपत्र को ऑनलाइन अपडेट किया जाना चाहिए? इसलिए प्रमाणपत्र अद्यतन प्रक्रिया केवल तभी चलनी चाहिए जब मूडलबॉक्स कनेक्ट हो और ईथरनेट के माध्यम से ऑनलाइन हो। यह वही स्थिति होगी जो समय सिंक्रनाइज़ेशन या अद्यतन DNS प्रविष्टि के लिए आवश्यक है।

क्या होगा जब ssl प्रमाणपत्र अमान्य हो जाता है और MoodleBox इंटरनेट से कनेक्ट नहीं होता है? आपने लिखा है कि उपयोगकर्ताओं को प्रत्येक नवीनीकरण के लिए एक टेक्स्ट रिकॉर्ड को संशोधित करना होगा। नवीनीकरण प्रक्रिया के लिए एक स्क्रिप्ट होनी चाहिए। प्रत्येक मूडलबॉक्स के लिए एक यूआरएल समान है।

हाय राल्फ,
यदि आप ऊपर दी गई चेकलिस्ट को देखते हैं, तो मैंने यह सब पहले ही कर लिया है (उत्कृष्ट LetsEncrypt के माध्यम से)।

हालाँकि, मैं एक मृत अंत में पहुँच गया हूँ। सबसे पहले, जैसा कि यहां बताया गया है , गैर-सार्वजनिक रूट डोमेन के साथ एसएसएल प्रमाणपत्र प्राप्त करना संभव नहीं है। तो इसे मूडलबॉक्स.होम एफक्यूडीएन को सार्वजनिक रूप से कुछ बदलने की जरूरत होगी, मूडलबॉक्स.मी कहें। यह कोई समस्या नहीं है (सिवाय इसके कि सभी उपयोगकर्ता को अपनी आदतें बदलनी होंगी, जो कि खराब है), मैंने कर लिया है।

दूसरा, दुर्भाग्य से, मुझे प्रमाणपत्र के नवीनीकरण का कोई समाधान नहीं मिला है, क्योंकि किसी भी मूडलबॉक्स स्थापना के लिए एक अद्वितीय प्रमाणपत्र की आवश्यकता होगी, इसलिए हम ऐसी स्थिति में हैं जहां हमें हर बार एक ही FQDN के लिए LetsEncrypt अलग-अलग प्रमाणपत्र मांगना होगा ( स्पष्टीकरण यहां देखें)।

अगर आपके पास कोई समाधान है, तो मुझे आपकी बात सुनकर खुशी होगी।

ठीक है ... दुनिया भर में मूडलबॉक्स के लिए हजारों गतिशील डीएनएस प्रविष्टियों के साथ समस्या को ठीक नहीं किया जा सकता है।

मूडलबॉक्स पर स्वहस्ताक्षरित प्रमाणपत्र के बारे में आप क्या सोचते हैं। प्रमाणपत्र को एक इंस्टॉलेशन स्क्रिप्ट के साथ स्थापित किया जा सकता है। व्यवस्थापक इस स्क्रिप्ट को टर्मिनल में प्रारंभ कर सकता है या इसे स्वचालित रूप से प्रारंभ किया जा सकता है। हां, मुझे पता है कि प्रत्येक उपयोगकर्ता को एक चेतावनी मिलेगी कि एक स्व-हस्ताक्षरित प्रमाणपत्र सुरक्षित नहीं है। लेकिन अगर हर यूजर इस सर्टिफिकेट पर भरोसा करेगा तो कनेक्शन सुरक्षित होना चाहिए।

वेब सर्वर एक प्रोफ़ाइल में प्रमाणपत्र के लिए एक डाउनलोड लिंक प्रदान कर सकता है ताकि प्रत्येक उपयोगकर्ता इसे अपने उपकरणों पर डाउनलोड कर सके। बहुत सारे कार्य क्षेत्र, विश्वविद्यालय और स्कूल अपने आंतरिक सर्वर संचार और प्रॉक्सी सर्वर के लिए स्व-हस्ताक्षरित प्रमाणपत्रों का उपयोग कर रहे हैं।

प्रत्येक मूडलबॉक्स अपना स्वयं का प्रमाण पत्र तैयार करेगा। लेकिन क्या होगा जब किसी उपयोगकर्ता के पास केवल एक से अधिक MoodleBox हों? वह वाई-फाई को MoodleBox1 से Moodlebox4 में बदल सकता है और फिर वह url https://moodlebox.home खोलता है। वाई-फाई अलग है, लेकिन यूआरएल वही है। क्या दूसरे वाई-फाई के लिए दूसरी प्रोफ़ाइल स्वीकार करना संभव होगा लेकिन एक ही यूआरएल?

मुझे डर है कि अज्ञात (स्व-हस्ताक्षरित प्रमाणपत्र) के लिए चेतावनी यह कहने वाले से कहीं अधिक आश्वस्त नहीं होगी कि कनेक्शन सुरक्षित नहीं है ;-)

मैं समझता/समझती हूं कि किसी बड़े संस्थान में प्रबंधित डिवाइस पर प्रमाणपत्र इंस्टॉल करना ठीक है. लेकिन यह उन संस्थानों में संभव नहीं है जहां उपकरणों का प्रबंधन नहीं किया जाता है। इसलिए मैं सभी उपयोगकर्ताओं के लिए ऐसी जटिलता जोड़ने के लिए उत्सुक नहीं हूं, कम से कम तब तक नहीं जब तक कि यह वास्तव में अवरुद्ध न हो जाए।

हो सकता है कि मैं मूडलबॉक्स पर HTTPS को सक्षम करने और स्वयं को एक स्व-हस्ताक्षरित प्रमाणपत्र प्राप्त करने के तरीके के बारे में कुछ दस्तावेज़ जोड़ दूं। तुम क्या सोचते हो?

हां। मुझे लगता है कि हमें स्व-हस्ताक्षरित प्रमाणपत्र के साथ मूडलबॉक्स संस्करण का प्रयास करना चाहिए।

व्यवस्थापक के लिए इसे थोड़ा आसान बनाने के लिए सभी आवश्यक सॉफ़्टवेयर स्थापित किए जाने चाहिए और सभी निर्देशिका फ़ोल्डर मौजूद होने चाहिए। मुझे कुछ निर्देश मिले हैं जो बहुत सारे इंस्टॉलेशन चरण दिखा रहे हैं ... नहीं, यह MoodleBox के साथ बहुत आसान होना चाहिए।

अच्छा विचार। मुझे लगता है कि मैं मूडलबॉक्स को पहले से जेनरेट किए गए स्व-हस्ताक्षरित प्रमाणपत्र के साथ प्रकाशित करूंगा, और nginx के लिए कॉन्फ़िगरेशन फ़ाइल के साथ टिप्पणी निर्देशों (और दस्तावेज़ीकरण) के साथ तैयार करूंगा।

इसके साथ, कोई इसे केवल 2 फाइलों (nginx और मूडल कॉन्फिग फाइल) के संपादन के साथ बना सकता है।

परीक्षण किया गया: यह काम करता है

@ ralf-krause: यदि आप स्वयं का परीक्षण करना चाहते हैं: तो SSH के माध्यम से लॉगिन करें

1. रूट विशेषाधिकार प्राप्त करें: sudo -s
2. फ़ोल्डर बनाएँ: mkdir /etc/nginx/ssl
3. इस आदेश के साथ प्रमाणपत्र और कुंजी उत्पन्न करें (एक पंक्ति, कोई नई पंक्ति नहीं): openssl req -new -x509 -sha256 -nodes -newkey rsa:4096 -keyout /etc/nginx/ssl/moodlebox.key -out /etc/nginx/ssl/moodlebox.crt -days 3650 -extensions v3_ca -extensions SAN -config <(cat /etc/ssl/openssl.cnf <(printf "[SAN]\nsubjectAltName=DNS:*.moodlebox.home")) -subj "/C=CH/O=MoodleBox/CN=moodlebox.home"
4. /etc/nginx/sites-available/default फाइल करने के लिए निम्नलिखित 3 लाइनें जोड़ें, लाइन के ठीक बाद listen [::]:80 default_server; :

listen 443 ssl;

ssl_certificate /etc/nginx/ssl/moodlebox.crt;

ssl_certificate_key /etc/nginx/ssl/moodlebox.key;

1. फ़ाइल में /var/www/moodle/config.php , $CFG->wwwroot से शुरू होने वाली लाइन, http को https से बदलें।
2. nginx को पुनरारंभ करें: systemctl restart nginx
3. रूट से बाहर निकलें: exit ।

हाँ, यह https के साथ काम करता है! बहुत अच्छा!

हाय निकोलस,
मूडलबॉक्स https के साथ ठीक काम करता है लेकिन इसका उपयोग करना आसान नहीं है! मैंने अपने मैक पर कुंजी श्रृंखला में प्रमाणपत्र स्थापित किया और मैंने इसे "हमेशा भरोसेमंद" के रूप में सेट किया। मैंने सोचा था कि सब कुछ काम करेगा।

• सफारी ब्राउज़र बिना किसी समस्या के मूडलबॉक्स वेब साइट दिखाता है।
• क्रोम ब्राउज़र मूडलबॉक्स खोलता है लेकिन यह एक बड़ा संकेत "सुरक्षित नहीं है" दिखाता है। :-(
• फ़ायरफ़ॉक्स ब्राउज़र अपने स्वयं के प्रमाणन फ़ोल्डर का उपयोग करता है और उपयोगकर्ताओं को वेब साइट को फिर से सत्यापित करना होगा। :-(

मूडलबॉक्स तक आसान पहुंच के लिए हमें इसे बिना https के उपयोग करना चाहिए।

अतिरिक्त मुझे स्व-हस्ताक्षरित प्रमाणपत्र के लिए एक अवरोधक मिला ... मूडल मोबाइल ऐप इस प्रमाणपत्र के साथ मूडलबॉक्स से कनेक्ट नहीं होता है, भले ही प्रमाणपत्र एक प्रोफ़ाइल (.mobileconfig) में स्थापित हो और किसी भी ऐप द्वारा उपयोग किया जा सकता है।

आपकी प्रतिक्रिया के लिए धन्यवाद। इस मामले में, मुझे डर है कि हम भाग्य से बाहर हैं।

ऐसा लगता है कि इसके लिए कोई अच्छा समाधान नहीं है। अगर किसी के पास कोई जीनियस आइडिया है तो मैं इसे फिलहाल के लिए खुला छोड़ दूंगा।

(यदि?) सुविधा लागू होने पर दस्तावेज़ीकरण की आवश्यकता होगी।

नमस्ते @martignoni

मैंने अभी इस मामले को पढ़ा और सोचा कि Let's Encrypt और वास्तविक सार्वजनिक डोमेन के साथ समाधान सही तरीका नहीं है। मूडलबॉक्स ज्यादातर इंट्रानेट वातावरण में उपयोग किया जाता है, है ना?

मुझे लगता है कि हमें जो करना है वह प्रत्येक मूडलबॉक्स (यानी एक स्वयं के सीए होस्ट) पर रूट प्रमाणपत्र बनाना है, जिसे उपयोगकर्ता अपने क्लाइंट पर अपने "विश्वसनीय प्रमाण पत्र" में जोड़ सकता है। इस समाधान के साथ इस सीए से मूडल के लिए एक स्व-हस्ताक्षरित प्रमाणपत्र बनाना संभव होना चाहिए। उसके बाद, जब उपयोगकर्ता प्लेटफ़ॉर्म तक पहुँचता है, तो सत्यापन श्रृंखला को सुरक्षित के रूप में सत्यापित किया जाना चाहिए, क्योंकि रूट प्रमाणपत्र क्लाइंट पक्ष पर संग्रहीत होता है।

तो बॉक्स के बाहर nginx पोर्ट 80/443 पर सुन रहा है लेकिन मूडल wwwroot डिफ़ॉल्ट रूप से https है। और मूडल तक पहुँचने वाले सभी ट्रैफ़िक को 443 पर पुनर्निर्देशित किया जाता है। बस root certificate डाउनलोड प्रदान करने वाला लैंडिंग पृष्ठ पोर्ट 80 द्वारा पहुँचा जा सकता है। यह एक उपयोगकर्ता का निर्णय है, यदि वे असुरक्षित संदेश से बचना चाहते हैं।

मुझे बताएं कि आप इसके बारे में क्या सोचते हैं? मैं इसे आजमा सकता हूं। मैं

अवलोकन

• [x] क्रोम (70.0.0.0.3538.77 - विन10)
• [x] एफएफ (क्वांटम 63.0.1-विन 10)
• [एक्स] एज (42.17134.1.0 - विन 10)
• [ ] एंड्रॉइड (6.0) मूडल मोबाइल ऐप के साथ (3.5.2)
• [x] [मूडल मोबाइल ब्राउज़र ऐप](https://mobileapp.moodledemo.net) (3.5.2)

परिणाम

क्रोम

मैंने अभी एक कठोर परीक्षण किया है और ऐसा लगता है कि यह क्रोम के साथ काम करता है:

आपको क्लाइंट-साइड पर केवल रूट सर्टिफिकेट को विश्वसनीय सर्टिफिकेट अथॉरिटी के रूप में जोड़ना होगा और फिर मूडलबॉक्स पर भरोसा किया जाता है:

फ़ायर्फ़ॉक्स

एफएफ के साथ आपको इसे सीधे ब्राउज़र प्रमाणपत्र संग्रह में आयात करना होगा:

किनारा

एज ठीक काम कर रहा है (क्लाइंट पर सर्टिफिकेट इम्पोर्ट करना, ऊपर देखें):

सफारी

Safari के साथ मैं परीक्षण नहीं कर सकता... मेरे पास Apple डिवाइस नहीं है।

मूडल मोबाइल

रूटसीए मौजूद होने पर इसे मूडल मोबाइल ऐप के साथ काम करना चाहिए। मैं अभी यह नहीं समझता कि इसे अपने एंड्रॉइड डिवाइस में कैसे जोड़ा जाए। लेकिन एक ही व्यवहार के साथ परीक्षण उद्देश्यों के लिए एक मूडल मोबाइल ब्राउज़र ऐप है:

धन्यवाद। यह बहुत दिलचस्प है और इसका समाधान हो सकता है। मुख्य मुद्दा तब विभिन्न ब्राउज़रों में रूट सीए को जोड़ने के तरीकों की विविधता है, जो दुर्भाग्य से उपयोगिता की अवधि में एक गड़बड़ है।

क्या आप कृपया मुझे इस तरह के रूट सीए और इसके आधार पर एक एसएसएल प्रमाणपत्र बनाने के लिए "कैसे करें" के बारे में बता सकते हैं?

मेरे Win10 क्लाइंट पर यह केवल FF है जो OS से रूट प्रमाणपत्र नहीं लेता है। मुझे लगता है कि अधिकांश उपयोगकर्ता क्रोम का उपयोग करते हैं।

मैंने इसे गाइड के रूप में इस्तेमाल किया: https://medium.freecodecamp.org/how-to-get-https-working-on-your-local-development-environment-in-5-minutes-7af615770eec

अद्यतन

चेकलिस्ट का अंतिम बिंदु (प्रमाणपत्र के स्वत: नवीनीकरण को कॉन्फ़िगर करें) दुर्भाग्य से असंभव लगता है: डोमेन के मालिक को प्रत्येक नवीनीकरण के लिए TXT रिकॉर्ड को संशोधित करना होगा, जो कि क्षेत्र के सभी MoodleBoxes के लिए अव्यावहारिक है, जब तक कि इसका अपना विशिष्ट डोमेन नाम न हो। .

मुझे डर है कि मैं इस सुविधा को मानक छवि में नहीं जोड़ सकता।

Ngrok के साथ समाधान के बारे में क्या?

हाय एड्रियन,
फरवरी 2018 में अपने परीक्षण के दौरान मैंने पाया कि macOS पर प्रत्येक ब्राउज़र अपना स्वयं का प्रमाणपत्र सत्यापन प्राप्त करना चाहता था। अवरोधक यह था कि आईओएस पर मूडल मोबाइल ऐप ने मूडलबॉक्स से स्व-हस्ताक्षरित प्रमाणपत्र को स्वीकार नहीं किया।
सादर, राल्फो

@ ralf-krause: स्थिति समान नहीं है, क्योंकि इस समय हमने ब्राउज़र में रूट CA जोड़ने के बारे में नहीं सोचा था।

शायद मूडलबॉक्स में यह HTTPS प्रयोगात्मक विकल्प के रूप में होना चाहिए? प्रति डिफ़ॉल्ट HTTP है और HTTPS उन्नत उपयोगकर्ताओं के लिए है जो जानते हैं कि सीमाएं कहां हैं। सभी जरूरतों को पूरा करने के लिए एक आधिकारिक प्रमाण पत्र के साथ यह कठिन होगा।

क्या आप ngrok @martignoni को जानते हैं? लेकिन एक स्थिर डोमेन के लिए यह एक सशुल्क सदस्यता है...

मुझे लगता है कि हमें जो करना है वह प्रत्येक मूडलबॉक्स (यानी एक स्वयं के सीए होस्ट) पर रूट प्रमाणपत्र बनाना है, जिसे उपयोगकर्ता अपने क्लाइंट पर अपने "विश्वसनीय प्रमाण पत्र" में जोड़ सकता है। इस समाधान के साथ इस सीए से मूडल के लिए एक स्व-हस्ताक्षरित प्रमाणपत्र बनाना संभव होना चाहिए। उसके बाद, जब उपयोगकर्ता प्लेटफ़ॉर्म तक पहुँचता है, तो सत्यापन श्रृंखला को सुरक्षित के रूप में सत्यापित किया जाना चाहिए, क्योंकि रूट प्रमाणपत्र क्लाइंट पक्ष पर संग्रहीत होता है।

तो बॉक्स के बाहर nginx पोर्ट 80/443 पर सुन रहा है लेकिन मूडल wwwroot डिफ़ॉल्ट रूप से https है। और मूडल तक पहुँचने वाले सभी ट्रैफ़िक को 443 पर पुनर्निर्देशित किया जाता है। बस root certificate डाउनलोड प्रदान करने वाला लैंडिंग पृष्ठ पोर्ट 80 द्वारा पहुँचा जा सकता है। यह एक उपयोगकर्ता का निर्णय है, यदि वे असुरक्षित संदेश से बचना चाहते हैं।

मैंने इस पर थोड़ा काम किया है, और इसे अगले संस्करण में लागू करने का प्रयास करूंगा। हालाँकि, मैं पोर्ट 80 को डिफ़ॉल्ट पोर्ट के रूप में रखूँगा, ताकि अधिकांश लोगों के लिए UX नहीं बदलेगा।

स्वयं को नोट करें: कार्यान्वयन निर्देश

तैयारी

sudo -s
mkdir /root/CA
mkdir /etc/nginx/ssl

प्रमाणपत्र, प्राधिकारी

# Generate our CA private key.
openssl genrsa -out /root/CA/moodlebox.CA.key 2048
# Generate a CA root certificate.
openssl req -x509 -new -extensions v3_ca -nodes -key /root/CA/moodleboxCA.key -sha256 -days 3652 -out /root/CA/moodleboxCA.pem -subj "/C=CH/O=MoodleBoxCA/CN=net.moodlebox.ca"

उपरोक्त सीए रूट प्रमाणपत्र के साथ हस्ताक्षरित एसएसएल प्रमाणपत्र बनाएं

# Generate our website private key.
openssl genrsa -out /etc/nginx/ssl/moodlebox.key 2048
# Create a CSR.
openssl req -new -key /etc/nginx/ssl/moodlebox.key -out /etc/nginx/ssl/moodlebox.csr -subj "/C=CH/O=MoodleBox/CN=moodlebox.home"
# Create the signed SSL certificate.
openssl x509 -req -in /etc/nginx/ssl/moodlebox.csr -CA /root/CA/moodleboxCA.pem -CAkey /root/CA/moodleboxCA.key -CAcreateserial -out /etc/nginx/ssl/moodlebox.pem -days 3652 -sha256
# Delete CSR.
rm /etc/nginx/ssl/moodlebox.csr

__nginx__ कॉन्फ़िगर करें

फ़ाइल में निम्नलिखित 3 पंक्तियाँ जोड़ें /etc/nginx/sites-available/default, लाइन के ठीक बाद listen [::]:80 default_server; ।

listen 443 ssl;

ssl_certificate /etc/nginx/ssl/moodlebox.crt;

ssl_certificate_key /etc/nginx/ssl/moodlebox.key;

और __nginx__ पुनः लोड करें

sudo systemctl reload nginx.service

ध्यान दें

यह एक अच्छा दस्तावेज है: https://gist.github.com/Soarez/9688998

नमस्ते @martignoni

अच्छा है कि आप इस मुद्दे पर काम कर रहे हैं। थम्स अप! मैं

स्वागत करती है
एड्रियन

दस्तावेज प्रकाशित हो चुकी है।. समापन :-)