Как заставить mod_jk аутентифицировать SSL-соединения
У меня есть 3 сервера приложений Tomcat с 3 серверами Apache. Связь между Apache и Tomcats осуществляется через mod_jk. Мне нужно иметь безопасные соединения между серверами Tomcat и Apache. Чтобы сделать это соединение защищенным, оно должно быть зашифровано и аутентифицировано (для предотвращения атак человека в середине).
Чтобы было ясно, я не пытаюсь аутентифицировать клиентов. Только для того, чтобы убедиться, что трафик между Tomcat и Apache не может быть перехвачен.
Я искал вокруг, но я не могу найти способ, чтобы mod_jk аутентифицировал сертификаты, выставленные Tomcat. Любая идея, где я должен искать?
Спасибо за вашу помощь!
1 ответ
К сожалению, я не думаю, что аутентификация сервера возможна через разъем AJP.
В то время как клиентские сертификаты могут быть переданы на сервер Tomcat через SSLOptions +ExportCertDataсамо соединение AJP находится в открытом виде и не имеет средств аутентификации ни клиента AJP (Apache), ни сервера AJP (Tomcat) в любом направлении.
Возможно, вам придется переключиться на HTTPS, если требуется аутентификация сервера. Если есть причина, по которой требуется AJP, есть варианты добавления дополнительных уровней безопасности вне протокола AJP для выполнения взаимной аутентификации и безопасности соединения; На ум приходят переадресация портов SSH или политики IPsec.