Munin Rewrite funktioniert nicht via Apache VHost

RAD750 · 21. März 2024

Guten Abend,

dieses Thema ist angeknüpft an meinen ursprünglichen Beitrag in der Hoffnung, dass es ein einfach fix sei. Wohl nicht.

Jetzt alles Step by step um Fehler besser zu identifizieren.

Die nachfolgenden Domains existieren nicht.

Das Ziel: Eine Standard Munin Installation erreichbar auf "http://peter.firmasrv.de" soll aufrufbar sein mit "https://munin.firma.de". Die DNS Einträge sind korrekt.

So bin ich für die Installation von Munin vorgegangen:

apt install cron snapd
apt install apache2 libwww-perl libcgi-fast-perl munin
a2enmod cgid
a2enconf munin
nano /etc/munin/apache24.conf (2x "all granted" setzen)
systemctl restart apache2.service

Munin ist somit per "http://peter.firmasrv.de" erreichbar.

Nun zum Vhost Part:

a2enmod ssl
a2enmod vhost_alias
snap install --classic certbot
ln -s /snap/bin/certbot /usr/bin/certbot
TLS Zertifikat für "https://munin.firma.de" mit "certbot --apache" ausgehändigt.
"nano /etc/apache2/sites-available/munin.firma.de.conf" bearbeiten und folgende Werte setzen:

Code

<VirtualHost *:80>
    ServerName munin.firma.de
    Redirect permanent / https://munin.firma.de/
</VirtualHost>

<VirtualHost *:443>
    ServerName munin.firma.de
    DocumentRoot /var/cache/munin/www
    SSLEngine on
    SSLCertificateFile /etc/letsencrypt/live/munin.firma.de/fullchain.pem
    SSLCertificateKeyFile /etc/letsencrypt/live/munin.firma.de/privkey.pem

    <Directory /var/cache/munin/www>
        Options FollowSymLinks
        AllowOverride None
        Require all granted
    </Directory>
</VirtualHost>

Alles anzeigen

Danach "a2ensite munin.firma.de.conf" und "systemctl restart apache2.service".

Jedoch komme ich trotzdem nur auf die Apache Default Site.

OS ist Debian 12.

Des weiteren könnte ich schwören, dass ich genau diese Konfiguration auf einem älteren Server hatte und dort funktionierte es.

Ich bedanke mich für jegliche Hilfe,

RAD

Paul · 21. März 2024

Teste den Zugriff bitte mal mit curl -v https://munin.firma.de und poste ggfs. den Output. Wie greifst du auf die Seite zu? IPv4, IPv6? Lass und das zu Beginn mal klären, nicht dass es evtl. schon daran liegt. Denn ein * lässt wohl Apache nur auf IPv4 hören. Es könnte sein, dass dein Default vHost auf IPv6 konfiguriert ist, du mit IPv6 zugreifst und daher nur die Default vHost Seite angezeigt wird.

Hille · 21. März 2024

Code

a2ensite munin.firma.de

haste das ausgeführt?

RAD750 · 21. März 2024

Zitat von Paul

poste ggfs. den Output.

Code

*   Trying [2a02:247a:235:2e00::1]:443...
* Connected to munin.compi.dev (2a02:247a:235:2e00::1) port 443 (#0)
* ALPN: offers h2,http/1.1
* TLSv1.3 (OUT), TLS handshake, Client hello (1):
*  CAfile: /etc/ssl/certs/ca-certificates.crt
*  CApath: /etc/ssl/certs
* TLSv1.3 (IN), TLS handshake, Server hello (2):
* TLSv1.3 (IN), TLS handshake, Encrypted Extensions (8):
* TLSv1.3 (IN), TLS handshake, Certificate (11):
* TLSv1.3 (IN), TLS handshake, CERT verify (15):
* TLSv1.3 (IN), TLS handshake, Finished (20):
* TLSv1.3 (OUT), TLS change cipher, Change cipher spec (1):
* TLSv1.3 (OUT), TLS handshake, Finished (20):
* SSL connection using TLSv1.3 / TLS_AES_256_GCM_SHA384
* ALPN: server accepted http/1.1
* Server certificate:
*  subject: CN=munin.compi.dev
*  start date: Mar 21 18:04:44 2024 GMT
*  expire date: Jun 19 18:04:43 2024 GMT
*  subjectAltName: host "munin.compi.dev" matched cert's "munin.compi.dev"
*  issuer: C=US; O=Let's Encrypt; CN=R3
*  SSL certificate verify ok.
* using HTTP/1.1
> GET / HTTP/1.1
> Host: munin.compi.dev
> User-Agent: curl/7.88.1
> Accept: */*
>
* TLSv1.3 (IN), TLS handshake, Newsession Ticket (4):
* TLSv1.3 (IN), TLS handshake, Newsession Ticket (4):
* old SSL session ID is stale, removing
< HTTP/1.1 200 OK
< Date: Thu, 21 Mar 2024 20:34:11 GMT
< Server: Apache/2.4.57 (Debian)
< Last-Modified: Thu, 21 Mar 2024 18:58:14 GMT
< ETag: "29cd-614304a171e29"
< Accept-Ranges: bytes
< Content-Length: 10701
< Vary: Accept-Encoding
< Content-Type: text/html
<

HTML Inhalt der Apache Default Page

* Connection #0 to host munin.compi.dev left intact

Alles anzeigen

Zitat von Paul

Wie greifst du auf die Seite zu? IPv4, IPv6?

Mein Vodafone Anschluss kann nur IPv4, über mobile Daten IPv6, da ist aber das gleiche Fehlerbild.

Zitat von Paul

ein * lässt

Ein * habe ich im DNS nicht delegiert.

Zitat von Hille
Code
a2ensite munin.firma.de
haste das ausgeführt?

Ja, "a2ensite munin.firma.de.conf".

Hille · 21. März 2024

Danach muss ein Apache reload erfolgen.

RAD750 · 21. März 2024

Auch das habe ich getan

Zitat von RAD750

und "systemctl restart apache2.service"

Paul · 21. März 2024

Zitat

Code

subjectAltName: host "munin.compi.dev" matched cert's "munin.compi.dev"

Also wenn du das Zertifikat nicht zufällig noch in einem anderen vHost verwendet hast, scheint er den vHost ja zu laden und auch zu benutzen, sonst müsste es hier zu einem Zertifikatsfehler kommen. Laufen auf dem Server noch andere vHosts (ls -l /etc/apache2/sites-enabled/)? Der Inhalt in var/cache/munin/www stimmt aber?

RAD750 · 21. März 2024

Zitat von Paul

Der Inhalt in var/cache/munin/www stimmt aber?

Ja, ist der Ordner in dem Munin Web Contents liegen:

Screenshot (31).png

Zitat von Paul

Laufen auf dem Server noch andere vHosts (ls -l /etc/apache2/sites-enabled/

Code

total 0
lrwxrwxrwx 1 root root 52 Mar 21 19:04 000-default-le-ssl.conf -> /etc/apache2/sites-available/000-default-le-ssl.conf
lrwxrwxrwx 1 root root 35 Mar 21 18:58 000-default.conf -> ../sites-available/000-default.conf
lrwxrwxrwx 1 root root 39 Mar 21 19:06 munin.compi.dev.conf -> ../sites-available/munin.compi.dev.conf

Paul · 21. März 2024

Zeige mal den Inhalt von 000-default-le-ssl.conf. Das dürfte der Grund sein.

RAD750 · 21. März 2024

Zitat von Paul

Zeige mal den Inhalt von 000-default-le-ssl.conf. Das dürfte der Grund sein.

Da ist leider nur gähnende Leere...

Und das ist mein 000-default.conf:

Apache Configuration

<VirtualHost *:80>
        # The ServerName directive sets the request scheme, hostname and port that
        # the server uses to identify itself. This is used when creating
        # redirection URLs. In the context of virtual hosts, the ServerName
        # specifies what hostname must appear in the request's Host: header to
        # match this virtual host. For the default virtual host (this file) this
        # value is not decisive as it is used as a last resort host regardless.
        # However, you must set it for any further virtual host explicitly.
        #ServerName www.example.com

        ServerAdmin webmaster@localhost
        DocumentRoot /var/www/html

        # Available loglevels: trace8, ..., trace1, debug, info, notice, warn,
        # error, crit, alert, emerg.
        # It is also possible to configure the loglevel for particular
        # modules, e.g.
        #LogLevel info ssl:warn

        ErrorLog ${APACHE_LOG_DIR}/error.log
        CustomLog ${APACHE_LOG_DIR}/access.log combined

        # For most configuration files from conf-available/, which are
        # enabled or disabled at a global level, it is possible to
        # include a line for only one particular virtual host. For example the
        # following line enables the CGI configuration for this host only
        # after it has been globally disabled with "a2disconf".
        #Include conf-available/serve-cgi-bin.conf
RewriteEngine on
RewriteCond %{SERVER_NAME} =munin.compi.dev
RewriteRule ^ https://%{SERVER_NAME}%{REQUEST_URI} [END,NE,R=permanent]
</VirtualHost>

Alles anzeigen

m_ueberall · 21. März 2024

Hier nochmal mein Tip, von mod_alias auf mod_rewrite zu wechseln, den Loglevel auf traceN zu setzen und die Logs zu lesen.

Ich mag jetzt wirklich keinen Container dazu mehr starten und die Standarddefinitionen in /etc/apache2/apache2.conf und /etc/apache2/sites-enabled/000-default (damit wird, wenn ich mich recht erinnere, die Standardseite ausgeliefert) nachlesen, aber zwei Dinge sind mir noch unklar:

Die HTML-Standardseite sagt ja, "[…] By default, Debian does not allow access through the web browser to
any file apart of those located in /var/www, public_html directories (when enabled) and /usr/share (for web applications). If your site is using a web document root located elsewhere (such as in /srv) you may need to whitelist your document root directory in /etc/apache2/apache2.conf. […]" – wird dadurch nicht /var/cache/munin/www gesperrt?
Wenn, wie oben beschrieben, http://peter.firmasrv.de funktioniert, dann wird das ja über einen Web-Server auf dem Standard-Port 80 ausgeliefert; wie kommt es denn, dass die "peter-Daten" im obigen Cache-Verzeichnis vorliegen? Ist das ein anderer Name für denselben Server, auf welchem unter verschiedenen IP-Adressen (intern/extern) zwei verschiedene Webserver aktiv sind? Oder wird "peter.firmasrv.de" durch eine andere VirtualHost-Definition ausgeliefert? Wenn hier zwei Webserver aktiv sind, soll Apache2 aus Performanzgründen direkt auf das Cache-Verzeichnis zugreifen? "Normalerweise" würde man dann (auch aus "Einheitsgründen") einen Reverse-(HTML-)Proxy definieren.

RAD750 · 21. März 2024

Ich könnte weinen (vor freude).

Danke.

Es funktioniert.

Zitat von m_ueberall

apache2ctl -M | grep alias

Retounierte AH00558: apache2: Could not reliably determine the server's fully qualified domain name, using 127.0.1.1. Set the 'ServerName' directive globally to suppress this message

RAD denkt....

Also ServerName in der Apache Config zum FQDN (peter.firmasrv.de) geändert und schon ging es: https://munin.compi.dev/

Zitat von ___

Leider nein. Hinter ServerName steht statt der Subdomain hostname die Subdomain munin.

Da stand es die ganze Zeit vor mir...

Daher, die endgültige VHost Config:

Code

<VirtualHost *:80>
    ServerName peter.firmasrv.de
    Redirect permanent / https://munin.firma.de/
</VirtualHost>

<VirtualHost *:443>
    ServerName peter.firmasrv.de
    DocumentRoot /var/cache/munin/www
    SSLEngine on
    SSLCertificateFile /etc/letsencrypt/live/munin.firma.de/fullchain.pem
    SSLCertificateKeyFile /etc/letsencrypt/live/munin.firma.de/privkey.pem

    <Directory /var/cache/munin/www>
        Options FollowSymLinks
        AllowOverride None
        Require all granted
    </Directory>
</VirtualHost>

Alles anzeigen