SSL für virtuelle hosts

[mcdoogle]

Ich hae mehrere virtuelle host sowohl ohen als auch mit ssl.
Die funktionieren auch alle.

Allerdings soll jeder virtuelle SSL Host auch ein eigenes Zertifikat haben, damit sich der Browser beim laden nicht beschwert das das Zertifikat nicht zur gewuenschten Domain passt.

Hier eine Bsp. VHost conf:

Code: Select all

<VirtualHost xxx.xxx.xxx.xxx:443>
        ServerName admin.domain1.com
        ServerAlias admin.hxxxx.serverkompetenz.net
        DocumentRoot /data/www/domain1
        SSLEngine On
        SSLCipherSuite ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP:+eNULL
        SSLCertificateFile /data/www/domain1/.ssl/server.crt
        SSLCertificateKeyFile /data/www/domain1/.ssl/server.key
        ErrorLog        /var/log/apache/domain1.error.log
        CustomLog       /var/log/apache/access.log common
</VirtualHost>

Die anderen VHosts haben vergleichbare Definitionen und eben auch eigene Zertifikate.
Aber komischerweise verwendet mein Apache immer das Zertifikat des ersten SSL VHosts!
Aber die Seite kann man dennoch laden nur eben mit dem Browsermeckern das das Zertifikat nicht passt!

Habt Ihr eine Idee?

[neffe]

Hallo,

sehr wahrscheinlich liegt es an der IP Adresse. Bei SSL vHosts muß jeder vHost eine eigene IP Adresse haben. Wenn das nicht der Fall ist, nimmt er grundsätzlich den ersten SSL vHost, den er auf der IP Adresse findet.

Bei einer SSL (https) Verbindung wird kein Host Header ausgewertet, somit ist nur ein Zertifikat pro IP Adresse möglich.

Gruß Neffe

[mcdoogle]

o.k. klingt logisch, aber wenn der Header nicht ausgewertet wird, wieso kann dann mein Apache ueberhaupt die vhosts unterscheiden.
Ich kann ja 2 verschiedene Domains mit https aufrufenb und das funzt! Und das muss er doch auch anhand des Headers unterscheiden?!

[compositiv]

Da kommt der apache erst ran, nachdem die Verschluesslung aufgebaut ist.

[nimer]

SSL liegt technisch vor dem HTTP Header! Deshalb kann man pro IP nur ein SSL Zertifikat betreiben, weshalb IP-Adressen so begehrt sind.

Deshalb meckert er auch am Anfang, wenn du dann sagst es ist OK so, dann kann er auch den Header auswerten.

[lord_pinhead]

Schon etwas älter der Thread, findest du nicht?