Kein SSL immer zurück auf http

[Holger_F]

Hallo zusammen,

ich habe das Update auf 19.1 gemacht und bin erstmal zufrieden. Bei der Nutzung unseren globalen Reverse Proxy kam es dann allerdings zu Problemen mit der https Weiterleitung, bis uns ein Verhalten aufgefallen ist.

Primär habe ich aktuell eher das Problem, dass er von der https Aufruf eigenständig auf die http Verbindung wechselt. Bei Force SSL wird die Loginseite nicht komplett geladen. Ich habe den Verdacht, dass dort ein mixed Mode zwischen http/https durchgeführt wird.
Weil intern zwischen Lokalen reverse Proxy und Docker Container kann es ruhig mit http anlaufen. Ist ja lokal auf dem Server. Aber ich verstehe nicht, warum er die Apacheverbindung von https auf http wechselt.

[Holger_F]

Hallo,

ich habe in einem Folgebeitrag die Lösung gefunden. Es war der letzte Rewrite der in der Default einstellung unter

/etc/egroupware-docker/apache2.conf

gesetzt wird

EGroupware/build.opensuse.org/blob/master/server:eGroupWare/egroupware-docker-19.1/egroupware-docker/apache.conf#L25

RequestHeader set X-Forwarded-Proto "https" env=HTTPS
ProxyPass /egroupware http://127.0.0.1:8080/egroupware timeout=4000 connectiontimeout=600 acquire=3000 retry=6
ProxyPassReverse /egroupware http://127.0.0.1:8080/egroupware

ProxyPass /Microsoft-Server-ActiveSync http://127.0.0.1:8080/Microsoft-Server-ActiveSync timeout=4000 connectiontimeout=600 acquire=3000 retry=6
ProxyPassReverse /Microsoft-Server-ActiveSync http://127.0.0.1:8080/Microsoft-Server-ActiveSync

RedirectMatch ^/.well-known/(caldav|carddav)$ /egroupware/groupdav.php/
RedirectMatch ^(/principals/users/.*)$ /egroupware/groupdav.php$1
#>>>>>>>RedirectMatch ^/$ /egroupware/index.php**

Hier bei der Weiterleitung die letzte Zeile auskommentieren.

[Holger_F]

Klappt aber aktuell nur von intern.

Bei der Anmeldung von Extern bekomme ich falsches Passwort. Da muss ich mal weiter suchen, wo da eine Nachricht verloren geht.

Hier habe ich noch den Fehlerlog:

Er mag die Domain im Cookie nicht?!

egroupware-nginx | 2019/10/01 10:19:44 [error] 7#7: *955 FastCGI sent in stderr: "PHP message: PHP Warning: Cookie domains cannot contain any of the following ',; \t\r\n\013\014' in /usr/share/egroupware/api/src/Session.php on line 1636PHP message: #1 /usr/share/egroupware/api/src/Session.php(1636): setcookie('sessionid', '06ajiii8u2rqn49...', 0, '/', 'egroupware.ib-e...', false, true)PHP message: #2 /usr/share/egroupware/api/src/Session.php(646): EGroupware\Api\Session::egw_setcookie('sessionid', '06ajiii8u2rqn49...')PHP message: #3 /usr/share/egroupware/login.php(251): EGroupware\Api\Session->create('Holger@default', 'XXXXXXX', 'text', false, true, true, '', NULL)PHP message: #4 {main}PHP message: # Instance=default, User=Holger, Request=POST http://vpn.ib-eXXXXXXX.de:4432/egroupware/login.php?phpgw_forward=%252Findex.php%253Fcd%253Dyes, User-agent=Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:69.0) Gecko/20100101 Firefox/69.0PHP message: PHP Warning: Cookie domains cannot contain any of the following ',; \t\r\n\013\014' in /usr/share/egroupware/api/src/Session.php on line 1636PHP message: #1 /usr/share/egroupware/api/src/Session.php(1636): setcookie('kp3', 'I47DpDJJHU0kQTL...', 0, '/', 'egroupware.ib-e...', false, true)PHP message: #2 /usr/share/egroupware/api/src/Session.php(647): EGroupware\Api\Session::egw_setcookie('kp3', 'I47DpDJJHU0kQTL...')PHP message: #3 /usr/share/egroupware/login.php(251): EGroupware\Api\Session->create('Holger@default', 'XXXXXXXX', 'text', false, true, true, '', NULL)PHP message: #4 {main}PHP message: # Instance=default, User=Holger, Request=POST http://vpn.ib-emXXXXX.de:4432/egroupware/login.php?phpgw_forward=%252Findex.php%253Fcd%253Dyes, User-agent=Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:69.0) Gecko/20100101 Firefox/69.0PHP message: PHP Warning: Cookie domains cannot contain any of the following ',; \t\r\n\013\014' in /usr/share/egroupware/api/src/Session.php on line 1636PHP message: #1 /usr/share/egroupware/api/src/Session.php(1636): setcookie('domain', 'default', 0, '/', 'egroupware.ib-e

PS: Die Passwörter stehen im Log in Plaintext.

[Holger_F]

Dieser Fehler wurde auch gelöst. Der ist nun aber etwas schwieriger gewesen. Es war aber in der Tat ein Bug.

Ursache war unser global Proxy, der in der Session.cpp nicht richtig behandelt wurde.

egroupware-nginx | 2019/10/14 21:29:33 [error] 7#7: *19240 FastCGI sent in stderr: "PHP message: PHP Warning: Cookie domains cannot contain any of the following ‘,; \t\r\n\013\014’ in /usr/share/egroupware/api/src/Session.php on line 1636

Nachdem ich etwas mehr Debugging eingebaut hatte,habe ich den Fehler gefunden.

egroupware-nginx | 2019/10/14 22:29:34 [error] 7#7: *1 FastCGI sent in stderr: "PHP message: Holger Debugging give Domain: egroupware.XXX.de, internalHost.XXXX.dePHP message: PHP Warning: Cookie domains cannot contain any of the following ‘,; \t\r\n\013\014’ in /usr/share/egroupware/api/src/Session.php on line 1639

Durch 2 Reverse-Proxies werden die Domains aneinander gehängt und mit einem Leerzeichen versehen. Das wird in der Session.php nicht korrekt behandelt.

Änderungen Session.php Line 1630:

if(!headers_sent())     // gives only a warning, but can not send the cookie anyway
                {
                        //Fix Begin holger debugging code
                        self::$cookie_domain = str_replace(" ", "", self::$cookie_domain);
                        //error_log("Holger Debugging give Domain: ".self::$cookie_domain);
                        //Fix End 
                        setcookie($cookiename, $cookievalue,
                                !$cookietime && $is_iOS ? time()+self::IOS_SESSION_COOKIE_LIFETIME : $cookietime,
                                is_null($cookiepath) ? self::$cookie_path : $cookiepath.self::$cookie_domain,
                                // if called via HTTPS, only send cookie for https and only allow cookie access via HTTP (true)
                                empty($GLOBALS['egw_info']['server']['insecure_cookies']) && !empty($_SERVER['HTTPS']) && $_SERVER['HTTPS'] !== 'off', true);
                }

Änderungen Session.php Line 1664:

// remove port from HTTP_HOST
                $arr = null;
                if (preg_match("/^(.*):(.*)$/",self::$cookie_domain,$arr))
                {
                        self::$cookie_domain = $arr[1];
                }
                // Fix Begin Holger remove spaces
                self::$cookie_domain = str_replace(" ", "", self::$cookie_domain);
                // Fix End 
                if (count(explode('.',self::$cookie_domain)) <= 1)
                {
                        // setcookie dont likes domains without dots, leaving it empty, gets setcookie to fill the domain in
                        self::$cookie_domain = '';
                }