Perguntas[web-server](server)

EDITADO!

Sem SSL, apenas o endereço do servidor e a porta 25 funcionam corretamente, mas quero usar SSL.

Original:

Eu uso um servidor antigo para serviço de correio e um novo servidor para páginas da web. Instalei o Roundcube no servidor web e funciona bem... Se eu apenas ler e-mails. Então o imap funciona, mas o SMTP não. Qual é o problema? Esta configuração funciona corretamente no servidor antigo.

$config['smtp_log'] = true;
$config['smtp_debug'] = true;
$config['smtp_host'] = 'ssl://mail.domain.tld:465';
$config['smtp_user'] = '%u';
$config['smtp_pass'] = '%p';

Quero separar o servidor de e-mail e as páginas da web.

No mail.log do meu servidor antigo não consigo ver tentativas de conexão smtp do novo servidor, apenas imap.

Isso está no meu erros.log (no diretório de logs do roundcube):

[2024-Aug-17 08:10:34 +0000]: <j92l4ng8> PHP Error: Connection refused (POST /?_task=mail&_unlock=loading1723882234954&_framed=1&_lang=hu&_action=send)
[2024-Aug-17 08:10:34 +0000]: <j92l4ng8> PHP Error: Failed to connect socket: Connection refused (POST /?_task=mail&_unlock=loading1723882234954&_framed=1&_lang=hu&_action=send)
[2024-Aug-17 08:10:34 +0000]: <j92l4ng8> SMTP Error: Connection failed:  (Code: -1) in /var/www/webmail/program/lib/Roundcube/rcube.php on line 1794 (POST /?_task=mail&_unlock=loading1723882234954&_framed=1&_lang=hu&_action=send)

Obrigado.

Preciso configurar um servidor Linux (provavelmente CentOS) para executar uma aplicação web online.

Elementos no fluxo:

• mywebapp , acessível no URLhttps://mywebapp.example.org
• thirdpartwebserv , acessível na URL https://thirdpartwebserv.example.orge deve ser encapsulado via VPN
• user , o usuário típico do mywebapp , ele não tem VPN em seu computador, mas apenas acesso à sua conta mywebapp
• operação A que consulta thirdpartwebserv e solicita VPN
• operação B que não requer VPN e usa apenas funções mywebapp

Fluxo típico:

1. acessos do usuáriohttps://mywebapp.example.org
2. usuário realiza a operação B
3. mywebapp processa a operação B
4. o resultado da operação B é mostrado ao usuário .
5. o usuário executa outra operação, desta vez uma operação A
6. mywebapp se comunica com o thirdpartwebserv através de uma VPN, processa a operação A e retorna um resultado
7. o resultado da operação A é mostrado ao usuário .

O que me interessa é permitir que qualquer pessoa tenha uma conta no mywebapp e, ao mesmo tempo, garantir o tunelamento para comunicações com thirdpartwebserv .

Posso usar o OpenVPN no servidor mywebapp para me comunicar com o servidor thirdpartwebserv protegido por VPN e obter uma infraestrutura semelhante?

O uso de VPN é ditado por thirdpartwebserv .

Eu uso o certificado curinga letsencrypt em www.mydomain.com e funciona bem.

Por ser um curinga, posso validar SSL em *.mydomain.com.

Agora tenho um resolvedor recursivo em execução ilimitada que gostaria de usar como servidor DNS para meus clientes DoH ... e esse resolvedor reside em doh.mydomain.com.

Veja - o resolvedor tem um nome que já está coberto pelo certificado curinga do letsencrypt ... então posso continuar usando essas chaves e certificados e NÃO regenerar novos?

A dificuldade que tenho é que o unbound procura apenas:

tls-service-key: "/unbound/domain.key"

tls-service-pem: "/unbound/domain.pem"

... enquanto meu servidor web usa a saída de acme.sh que é:

cat domain.com.key domain.com.cer >> merged.ssl.pem

Como faço para converter minha chave WWW/cer/pem para o que o unbound está procurando?

Muito obrigado.

Estamos executando um servidor Proxmox, que configurei usando IPTables para redirecionar a porta 443 para a porta proxmox 8006. Qual seria a maneira mais fácil de redirecionar qualquer pessoa que tente acessar http://proxmox.example.com para https://proxmox .example.com . É uma pena configurar um servidor web inteiro no sistema apenas para fazer um redirecionamento http.

Atualmente, estou executando um servidor Apache com HTTP/2 habilitado como proxy reverso para meu aplicativo da web. Percebi uma lentidão significativa ao solicitar um grande número de miniaturas pequenas (cada uma com aproximadamente 60 KB) por meio desta configuração. Estranhamente, essa desaceleração começou a ocorrer após a mudança de HTTP/1.1 para HTTP/2, embora o HTTP/2 deva melhorar o desempenho(especialmente neste caso, já que solicitar muitos arquivos pequenos é um ótimo caso de uso para todas as coisas sofisticadas de multiplexação HTTP/2 faz).

• Ao solicitar imagens sequencialmente não notei lentidão, mas apenas quando o cliente arquiva muitos arquivos de uma vez (cerca de 200).

• O Bakend fala apenas HTTP/1.1 e é acessível usando o proxy reverso. As miniaturas são pré-armazenadas em cache no disco.

Aqui está o gráfico em cascata do Chromium para HTTP/2: Waterfall HTTP/2

E para HTTP/1.1: Cascata HTTP 1.1

Como você pode ver nas imagens, as solicitações HTTP/2 não estão mais paralisadas, mas o tempo geral aumentou.

Quaisquer dicas ou dicas sobre como depurar ainda mais isso seria ótimo

As imagens JPEG, GIF, PNG e WEBP já estão compactadas. Existe algum motivo para atendê-los usando a compactação GZIP, independentemente de o cliente dizer que aceita ou não a compactação GZIP?

curl -H "Accept-Encoding: gzip" -I ^
 https://www.nps.gov/articles/000/images/LATP_Article_TheCalutronGirls.jpg

Essa solicitação HEAD produz os seguintes cabeçalhos:

HTTP/1.1 200 OK
Content-Type: image/jpeg
…
Date: Sat, 05 Aug 2023 04:13:29 GMT
Server: Apache
…
Last-Modified: Wed, 04 Jan 2023 21:36:01 GMT
…
Content-Encoding: gzip
…

Este servidor enviará imagens - JPEG, PNG, WEBP - como GZIP. Eu acho que não faz o menor sentido e é uma configuração incorreta do servidor, mas talvez os tempos tenham mudado e isso agora seja legítimo … e em breve o novo normal?

(O fato de o relógio do servidor estar atrasado em 58 horas parece sugerir que ele não é bem administrado.)

8/8/23: Relatado ao NPS por meio do formulário de contato .

Observe que entendo o que é "Amazon S3"; Estou perguntando apenas sobre o software que lida com a interface HTTP.

Se eu verificar os cabeçalhos HTTP para github.com , por exemplo, um dos cabeçalhos de resposta será:

server: AmazonS3

A Amazon realmente tem um servidor da web que chama de 'AmazonS3' ou eles estão apenas modificando os cabeçalhos do Apache/nginx/etc?

Estou olhando para um antigo formulário da web localizado em: http://www.teleservices.lyon.fr/etat-civil/naissance/

Claro, é obsoleto, falso, sem TLS, etc.

Mas não reconheço o servidor web que o publica. E, no entanto, me deparei com meu quinhão de software podre e esotérico! ?. O Google não encontra imediatamente nada relevante.

→ Você consegue identificar este servidor web VDL/1.0?

$ curl --head --insecure http://www.teleservices.lyon.fr/etat-civil/naissance/
HTTP/1.1 200 OK
Date: Mon, 07 Nov 2022 14:28:22 GMT
Server: VDL/1.0
Content-Length: 23727
Expires: Tue, 08 Nov 2022 00:54:02 GMT
Content-Type: text/html; charset=ISO-8859-1
Cache-Control: public, must-revalidate
Vary: Accept-Encoding
Connection: close

varredura nmap:

# nmap -A -T4 www.teleservices.lyon.fr
Starting Nmap 7.92 ( https://nmap.org ) at 2022-11-07 17:22 CET
Nmap scan report for www.teleservices.lyon.fr (185.235.8.66)
Host is up (0.013s latency).
Not shown: 997 filtered tcp ports (no-response)
PORT    STATE SERVICE    VERSION
53/tcp  open  domain     Cloudflare public DNS
80/tcp  open  http       Citrix NetScaler httpd
|_http-server-header: Apache/2.2.15 (Red Hat)
443/tcp open  ssl/https?
Warning: OSScan results may be unreliable because we could not find at least 1 open and 1 closed port
Device type: general purpose
Running: Linux 3.X|4.X
OS CPE: cpe:/o:linux:linux_kernel:3 cpe:/o:linux:linux_kernel:4
OS details: Linux 3.10 - 4.11, Linux 3.2 - 4.9
Network Distance: 13 hops
Service Info: Device: load balancer

TRACEROUTE (using port 80/tcp)
HOP RTT      ADDRESS
1   0.34 ms  routeur.localdomain (192.168.1.1)
2   1.08 ms  78.193.87.254
3   1.32 ms  78.255.60.126
4   1.59 ms  sal69-49m-1-v904.intf.nro.proxad.net (78.254.248.41)
5   1.60 ms  gui69-49m-1-v908.intf.nro.proxad.net (78.254.248.134)
6   3.40 ms  lyon-crs8-1-be1503.intf.nro.proxad.net (78.254.248.142)
7   ...
8   16.76 ms marseille-9k-1-be2001.intf.routers.proxad.net (194.149.162.154)
9   ...
10  20.82 ms be5.cr02.mar02.jaguar-network.net (78.153.231.90)
11  21.63 ms he0-0-0-21.cr03.lyo01.jaguar-network.net (78.153.231.89)
12  21.71 ms 185.235.8.250
13  21.58 ms 185.235.8.66

OS and Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 27.85 seconds

Consegui conectar e acessar remotamente um servidor Web IIS usando o serviço WMSVC instalado. No entanto, quaisquer regras adicionar/remover iniciar/parar... etc que eu precise fazer está funcionando bem, mas adicionar um novo site me impede de selecionar uma pasta de caminho. Como devo habilitar isso para poder escolher remotamente um caminho de pasta para o servidor remoto?

Digamos que eu tenha um certificado TLS para um domínio, mas não tenho certeza se todos os agentes de usuário potencialmente conectados por HTTP o aceitariam. Posso obter outro certificado, assinado por outra autoridade de certificação, e usá-lo nesses casos como um fallback, de forma transparente para o usuário? Se for possível, como procederia a comunicação cliente-servidor para estabelecer uma conexão segura? E este caso de uso é bem conhecido e suportado na configuração de servidores HTTP populares?

Eu sei que existem perguntas semelhantes, mas eles perguntam sobre a variação do certificado usado por subdomínio (possível) ou prefixo de caminho (impossível IIUC porque no momento da negociação o servidor conhece apenas a autoridade, não o URI completo da solicitação).