Webmin a instalace SSL certifikátu na server

Webmin - vsechna nastaveni serveru pod kontrolou

Administracni panel Webmin v rozsahu dostupne konfigurace nezna konkurenci; pres tento nastroj muzete ovladat snad vsechny konfigurace pouzivanych serverovych komponent. Webmin rovnez podporuje mnozstvi pluginu s primou a jednouchou instalaci primo ve webovem rozhrani.

Instalace ovladaciho panelu Webmin je snad jeste jednodussi, nez v pripade ISPConfigu. K dispozici jsou pripravene baliky pro hlavni distribuce. Dalsi moznosti instalace je pridani repozitare Webminu do zdroju softwaru; tato moznost je nejjednodussi. Veskere informace najdete na webu vyrobce v sekci Download.

Po nainstalovani na server (ci zrizeni vaseho serveru hosterem) se prihlaste do Webminu s uctem Root. Typicky se nachazi na portu 10000 vasi domeny ci IP adresy serveru.

Vygenerovani klicu SSL certifikatu

Vas Webmin bezi na linuxovem serveru, proto pro vygenerovani klicu pro SSL certifikat pouzijeme OpenSSL. Prihlaste se na server pres SSH a vygenerujte klice nasledujicimi prikazy. Jako nejlepsi program pro protokol SSH na Windows doporucuji aplikaci PuTTY.

Privatni a verejny klic vygenerujete nasledujicimi prikazy.

Privatni klic (bitova hloubka 2048, ulozi se do souboru pkey.key ve slozce uzivatele v /home):

openssl genrsa -out pkey.key 2048

Verejny klic - CSR request (ulozi se tamtez pod nazvem request.csr):

req -new -key pkey.key -out request.csr

Nasledne vas program vyzve k zadani udaju pro verejny klic.

Country Name (2 letter code) [US]: Nazev statu velkymi pismeny dle normy ISO, napriklad CZ
State or Province Name (full name) []: Napriklad Czech Republic
Locality Name (eg, city) []: Mesto, kde mate sidlo. Napriklad Praha, Brno
Organization Name (eg, company) []: Nazev organizace ci osoby zadajici o certifikat
Organizational Unit Name (eg, section) []: Nazev organizacni jednotky ci oddeleni. Muzete zadat napriklad Internet, Software, Marketing.
Common Name (eg, YOUR name) []: Nejdulezitejsi udaj - domena, pro kterou bude certifikat vystaven. Rozlisuje se tvar domeny s WWW a bez, stejne jako domeny nizsiho radu. Napriklad www.sslmarket.cz.

Email Address []: E-mailova adresa - neni pozadovano, nevyplnujte.

Nasleduji jeste dva rozsirujici atributy, ktere nevyplnujte (jen potrdte Enterem):

A challenge password []: Heslo, ktere se dle standardu pouziva pro revokaci. Nevyplnujte!
An optional company name []: Jiny nazev spolecnosti.

Kontrola verejneho klice pro SSL certifikat

Vytvorene klice jsou zakodovane ve formatu Base64, ktery slouzi pro ulozeni binarnich dat v textove podobe. Na prvni pohled proto vypadaji nesmyslne a obsazene informace neprectete. Chcete-li si vsak udaje v CSR requestu overit, muzete pouzit nas webovy nastroj Kontrola CSR.

Instalace vytvoreneho klice a SSL certifikatu

Jak jiz bylo napsano vyse, klice byly vygenerovany v textove podobe a jsou zakodovany v Base64. Prakticky to znamena to, ze muzete klice a certifikaty kopirovat a vkladat jako text, coz by u binarnich dat nebylo mozne.

Po prihlaseni kliknete v levem panelu na Servers a v rozbalene nabidce potom na Apache Webserver.

Zde uvidite seznam vsech domen, ktere jsou na serveru hostovane (Virtualhostu). Kliknete na nazev domeny, pro kterou chcete certifikat nainstalovat. Nasledne uvidite ikony s moznostmi nastaveni; kliknete na SSL Options.

V nasledujicim dialogu uvidite nastaveni SSL certifikatu a HTTPS protokolu.

Vysvetleni jednotlivych moznosti:

• Enable SSL? - Ano, jinak nebude HTTPS fungovat
• SSL protocols - podpora SSL protokolu. SSLv2 rozhodne vypnete, neni jiz bezpecne. Ponechte jen TLSv1, prip. SSLv3
• Certificate/private key file - zde je cesta k certifikatu domeny (soubor, ktery jste dostali od SSLmarketu)
• Private key file - cesta k souboru s privatnim klicem, typicky soubor .key
• Certificate authorities file - muzete nechat Default. V pripade, ze by nebyl certifikat duveryhodny, nastavte soubor s Intermediate certifikatem, ktery jste rovnez obdrzeli od SSLmarket
• Client SSL certificate - volba slouzi pro prihlasovani klientu klientskym (osobnim) SSL certifikatem. Nechte Default, prip. Not Required
• SSL log file - nastaveni logovani SSL, defaultne vypnuto

Oba klice se nachazi ve slozce /home na serveru, kde je OpenSSL ulozilo. Pokud jste si nechali vystavit duveryhodny certifikat, obdrzite ho e-mailem a Webminu ho nabidnete bud jako soubor, nebo vlozte v textove podobe pres schranku.

Az bude vse nastaveno, dialog ulozte; nasledne restartujte Apache. To muzete provest kliknutim do praveho horniho rohu na Stop/Start Apache, nebo v terminalu prikazem

sudo /etc/init.d/apache2 restart

Kontrola funkcnosti SSL certifikatu

Zkontrolujte, zdali webovy server SSL certifikat pouziva; bud muzete navstivit danou domenu pres HTTPS, nebo pouzit nas overovac SSL certifikatu.

Zabezpeceni weboveho rozhrani Webminu

Chcete-li zabezpecit i webove rozhrani panelu Webmin a hlavne prihlasovaci dialog, muzete pro administraci nainstalovat a nastavit samostatny SSL certifikat.

Nastaveni najdete v sekci Webmin pod Webmin Configuration a nabidkou SSL Encryption, kterou poznate podle ikony klice. Zde nastavite cestu k privatnimu klici a k certifikatu, ktery chcete pouzivat. Pokud nemate certifikat umisteny na serveru a v souborech, muzete je vlozit v textove podobe do formularu v nabidce Upload Certificate.

V teto sekci Webminu muzete vytvorit i neduveryhodny Self-Signed certifikat, pripadne vytvorit zadost (CSR request) pro objednavku duveryhodneho certifikatu.

Nastaveni SSL certifikatu pro zabezpeceni administrace Webminu

SSL certifikat muzete pouzit i pro jine ucely

SSL certifikat domeny muzete pouzit i pro jine sluzby a ucely. Pokud bude souhlasit nazev domeny, na ktere sluzba bude, muzete zabezpecit napriklad postu (napriklad servery Dovecot, Postfix a Courier) nebo FTP. SSL certifikat doporucuji pouzit pro zabezpeceni weboveho rozhrani posty (Webmaily Roundcube, Squirrelmail).

Certifikat budete mit typicky platny pro konkretni domenu (adresu). Potrebujete-li vsak zabezpecit subdomeny vaseho serveru, nebo zabezpecit uplne jine domeny, muzete vse zabezpecit jednim certifikatem se SAN (DNS nazvy). Do takoveho certifikatu muzete pridat vsechny domeny, ktere potrebujete zabezpecit.

Pamatujte, ze at uz se prihlasujete na web, webmail ci pouzivate e-mailoveho klienta, prihlasovaci udaje v zadnem pripade nesmi putovat nezabezpecenym protokolem.