wildfly più domini e certificati SSL

Question

Ho due domini differenti

• example1.com
• example2.com

Ogni dominio ha il proprio certificato SSL.

Quello che sto cercando di fare ora, sta usando entrambi i domini per la stessa istanza WildFly, che supporta SSL.

La documentazione di WildFly afferma che posso fare riferimento a un singolo certificato in un keystore. Quindi, non posso semplicemente definire un singolo <security-realm> con un keystore che contiene entrambi i certificati.

Così, ho definito due diversi <security-realm>. Uno per ciascun dominio.

<security-realm name="RealmExample1"> 
       <server-identities> 
        <ssl> 
         <keystore path="example1.jks" keystore-password="secret" /> 
        </ssl> 
       </server-identities> 
       ... 
      </security-realm> 

    <security-realm name="RealmExample2"> 
       <server-identities> 
        <ssl> 
         <keystore path="example2.jks" keystore-password="secret2" /> 
        </ssl> 
       </server-identities> 
       ... 
      </security-realm> 

Tuttavia, non è possibile aggiungere due domini di sicurezza a un singolo host.

<server name="default-server"> 
       <http-listener name="default" socket-binding="http" redirect-socket="https-ext"/> 
       <https-listener name="default-ssl" security-realm="UndertowRealm" socket-binding="https"/> 
       <host name="default-host" alias="localhost"> 
        <filter-ref name="central-basic-auth"/> 
       </host> 
      </server> 

Ora, se io definisco un server per ogni dominio, non riesco a fare riferimento allo stesso http/https vincolante ascoltatore, dal momento che le porte sono bloccate.

L'unica soluzione che ho trovato finora è l'avere due indirizzi IP pubblici e la definizione di due interfacce e un binding socket http/https per ogni interfaccia. Quindi sono in grado di definire due server con un diverso alias e diversi binding socket.

A partire da ora, WildFly purtroppo non supporta SNI.

Esiste un'altra soluzione possibile?

Answer 1

Mentre complicherebbe un po 'la distribuzione, hai pensato di mettere Apache httpd davanti al tuo server Wildfly? Non sarebbe difficile da fare e supporta SNI. Si dovrà cambiare i certificati per Apache, ma poi, con Apache hosting virtuale si potrebbe avere qualcosa di simile:

<VirtualHost _default_:443> 
    ServerName www.firstdomain.com 
    ProxyPreserveHost on 
    ProxyPass/http://localhost:8080/ 
    ProxyTimeout 360 
</VirtualHost> 

nel primo file host virtuale e:

<VirtualHost _default_:443> 
    ServerName www.seconddomain.com 
    ProxyPreserveHost on 
    ProxyPass/http://localhost:9080/ # if it is a different instance or 
    ProxyPass/http://localhost:8080/app2 # if it the same instance, different webapp 
    ProxyTimeout 360 
</VirtualHost> 

Anche in questo caso, sono i problemi che hai un altro processo da mantenere e dovrai configurare SSL per Apache. Ma è possibile utilizzare Apache per fare SSL e, se vuoi, cose come:

Header set Content-Security-Policy ... 
Header set X-XSS-Protection "1; mode=block" 

Questa messa a punto ha funzionato bene per me sia con Tomcat o wildfly dietro Apache.