Habilitar HTTPS/SSL

[mfortes]

Ola caros,

Trabalho com Zabbix em minha empresa, e estou tendo uma certa dificuldade no quesito SSL/HTTPS.

O ambiente antigo usava o zabbix 3.2 que não foi eu quem criei e foi migrado inteiramente para o novo ambiente zabbix 4.0 que foi implementado por mim.

O antigo tinha acesso https, porem mesmo seguindo a documentação, não consigo ao certo configurar meu Zabbix para usar conexão segura.

Para acesso HTTPS, o mesmo precisa do SSL habilitado? (desculpe se for uma pergunta "burra")

Alguns tutoriais indicam alterar o arquivo /etc/httpd/conf.d/zabbix.conf, outros o arquivo /etc/httpd/conf/httpd.conf.
Se eu sigo a documentação e adiciono as linhas abaixo ao arquivo /etc/httpd/conf.d/ssl.conf, o serviço não restarta...

#DocumentRoot "/usr/share/zabbix"
#ServerName noc.telesul.com.br
#SSLCertificateFile /etc/httpd/ssl/apache-selfsigned.crt
#SSLCertificateKeyFile /etc/httpd/ssl/private/apache-selfsigned.key

Alguem pode me dar uma luz?

[Hernandes Martins]

Olá meu caro,

Ainda tem acesso ao ambiente antigo ou ao certificados ?

Qual distribuição está usando?

Qual os passos efetuados para tal configuração do https? se possível informe o passo-a-passo que executou

Quais as mensagens de erros que aparecem?

[mfortes]

Bom dia Hernandes

Em ambos os ambientes eu utilizo o CentOS 7, e sim, tenho acesso ao antigo ainda (mas não sei o diretório de certificados e etc...).

Primeiramente tentei seguir a documentação de boas praticas para segurança do Zabbix, porem ao editar o arquivo /etc/httpd/conf.d/ssl.conf e adicionar as linhas abaixo, o serviço de httpd não consegue mais se restartar.

DocumentRoot "/usr/share/zabbix"
ServerName example.com:443
SSLCertificateFile /etc/httpd/ssl/apache-selfsigned.crt
SSLCertificateKeyFile /etc/httpd/ssl/private/apache-selfsigned.key

Ja na parte de HTTPS, caso eu adicione as linhas abaixo no arquivo /etc/httpd/conf/httpd.conf, como diz a documentação, eu paro de ter acesso ao Zabbix, nem por http nem https.

<VirtualHost *:443>
Header set Strict-Transport-Security "max-age=31536000"
</VirtualHost>

Por ultimo, tentei utilizar a ferramenta do https://certbot.eff.org, o que gera o certificado ssl e na teoria deveria funcionar corretamente, porem creio que deve ser feito alguma alteraçao em algum dos arquivos referentes ao httpd para habilitar o https...

[Hernandes Martins]

quando não consegue acessar , qual mensagem de erro que aparece no log do apache ?

[mfortes]

Esses são os únicos warnings que vejo nos logs do apache.

[Tue Oct 29 10:00:33.306180 2019] [ssl:warn] [pid 28984] AH02292: Init: Name-based SSL virtual hosts only work for clients with TLS server name indication support (RFC 4366)
[Tue Oct 29 10:01:50.548723 2019] [ssl:warn] [pid 29033] AH01909: RSA certificate configured for noc.telesul.com.br:443 does NOT include an ID which matches the server name

No meu server name. esta como example.com.br... Na documentação indica colocar example.com.br:443 porem dessa maneira também não resolve...

Minha duvida é, quais arquivos realmente estão sendo lidos para isso... Pois na documentação ele fala sobre o /etc/httpd/conf.d/ssl.conf, /etc/httpd/conf/httpd.conf e /etc/httpd/conf.d/zabbix.conf...

Hoje, após ter instalado o certbot, que teoricamente habilitaria o SSL, ele editou esses arquivos, porem só estou conseguindo acessar meu zabbix pelo IP (http), e não pelo domínio.

[mfortes]

Hernandes Martins Obrigado pela ajuda mas consegui solucionar o caso seguindo um tutorial referente ao CertBot.
Alguns parâmetros deviam ser comentados e outros adicionados.

[Hernandes Martins]

Excelente Obrigado pelo report