Hallo zusammen,

ich habe eine Standard eGroupware 19.1 Installation (wie in den Docs beschrieben) unter ubuntu 18 durchgeführt und nun läuft egw mit Docker und alles wurde automatisch mitinstalliert. Ich bin kein Linux Profi; finde mich gerade so zurecht.

Ich möchte gern SSL aktivieren. Normalerweise muss man das doch in der NGINX Config machen, richtig? Aber wie komme ich da jetzt ran? Wie macht man das? Gibt es eine Step-by-Step Anleitung, wie man das durchführt?

Google spuckt alles Mögliche zu Docker und NGINX aus, aber was dort beschrieben ist, passt alles nicht zu den Verzeichnissen/Dateien/Containern, die mit der eGroupware Installation gebaut wurden. Ich bin hier ehrlich gesagt komplett verloren. Könnt ihr mir bitte weiterhelfen? Vielen Dank!

Grüße
Steffen

Hi Ralf,

vielen Dank für deine Antwort! Ja, ich möchte ein simples Self-Signed-Zertifikat verwenden. Ich habe alle beide Dateien in /etc/egroupware-docker/ drin. Der Inhalt der apache.conf sieht so aus:

>#################################################
># Reverse proxy for EGroupware Docker container #
>#################################################
>
># Please note:
>#
># This proxy configuration is currently included at global level in
># /etc/apache2/conf.d/egroupware-docker.conf and used for all vhosts.
>#
># You can comment it out there and include it only in a certain vhost:
>#
># <VirtualHost *:80>
># include /etc/egroupware-docker/apache.conf
># </VirtualHost>>
>
>RequestHeader set X-Forwarded-Proto "https" env=HTTPS
>ProxyPass /egroupware/ ht*p://127.0.0.1:8080/egroupware/ timeout=4000 connectiontimeout=600 >acquire=3000 retr$
>ProxyPassReverse /egroupware/ ht*p://127.0.0.1:8080/egroupware/
>
>ProxyPass /Microsoft-Server-ActiveSync ht*p://127.0.0.1:8080/Microsoft-Server-ActiveSync timeout=4000 >connect$
>ProxyPassReverse /Microsoft-Server-ActiveSync ht*p://127.0.0.1:8080/Microsoft-Server-ActiveSync
>
>RedirectMatch ^/.well-known/(caldav|carddav)$ /egroupware/groupdav.php/
>RedirectMatch ^(/principals/users/.*)$ /egroupware/groupdav.php$1
>RedirectMatch ^/$ /egroupware/index.php
>RedirectMatch ^/egroupware$ /egroupware/index.php

Ich kann dort nirgends ein Zertifikat hinterlegen. Das im Comment erwähnte Verzeichnis /etc/apache2/conf.d gibt es bei mir nicht. In der Datei nginx.conf steht die server-Routine drin. Hier kann ich es eintragen und hab es auch gemacht:

># /etc/nginx/sites-available/egroupware.conf
># need to be symlinked to /etc/nginx/sites-enabled/ and nginx -s reload (after removing default!)
>
># stuff for http block
>client_max_body_size 1g;
>
># redirects needs to use X-Forwarded-Proto too
>map $http_x_forwarded_proto $redirectscheme {
>    default $scheme;
>    https https;
>}
>
>server {
>        listen 80 default_server;
>
>        # ssl config (enable following line plus either include or ssl_certificate* line)
>        listen 443 ssl http2 default_server;
>        #include snippets/snakeoil.conf;        # requires ssl-certs package installed!
>        # concatenate private key, certificate and intermediate certs to /etc/ssl/private/certificate.pem
>        ssl_certificate /etc/ssl/private/meincert.crt;
>        ssl_certificate_key /etc/ssl/private/meincert.key;
>        # HTTP Strict-Transport-Security header (start with a short max-age!)
>        #add_header Strict-Transport-Security max-age=31536000; # 31536000sec=1year

Ein “service apache2 restart” liest diese Infos aber nicht. Ein “ht*ps://meinhost” schägt fehlt. Auch ein /etc/nginx/sites-available/-Verzeichnis gibt es bei mir nicht. Es gibt generell kein /etc/nginx-Verzeichnis. NGINX läuft ja in dem Container?!

Also wie gesagt: Ich bin hier komplett überfragt. Hast du ne Idee, wo die Zertfikate nun hin müssen?

Grüße und schon mal wieder vielen Dank im Voraus!
Steffen

Hallo @RalfBecker und @StefanU ,

vielen Dank für eure Antworten.

Let’s Encrypt kommt für unsere Umgebung leider nicht infrage, da ich nicht alle Nase lang den Server nach außen auf Port 80/443 exposen möchte, nur damit Certbot seine Checks machen kann. Die meisten unserer Server müssen (und sollen) nicht aus dem Internet heraus erreichbar sein. Let’s Encrypt zwingt einen aber dazu - das muss einfach nicht sein. Wir denken bereits über ein öffentliches Zertifikat nach, aber momentan reicht das SSC völlig, da unsere Clients dem Aussteller bereits vertrauen (das Cert ist im Store hinterlegt). IOS-Devices haben mit dem SSC ebenfalls kein Problem (wir nutzen hier die Mail-App).

Ich habe Ubuntu 18.04 (Bionic) LTS auf dem Server laufen.

Mittlerweile hab ich es auch hinbekommen. Die Site ist ganz normal unter “/etc/apache2/sites-available” zu finden. Dort hab ich die “default-ssl.conf” dupliziert, das Zertifikat hinterlegt und die neue Site aktiviert (die alte Site habe ich deaktiviert). In beiden Files sind die Configs von egw unten schon mit eingebunden gewesen. Das ist sicher im Rahmen der Installation geschehen, richtig?!
Nun nimmt er das Zertifikat und benutzt es auf den egw-Seiten weiter. So sollte es sein.

Dennoch vielen Dank für eure Hilfe!

Grüße und ein schönes Wochenende
Steffen