Re: Apache + SSL = Error 403!!

02/01/2006, 12h31

Attention: X-Post & FU2

Jérémie wrote:
> Bonjour
>
> Je souhaite sécuriser un virtual host avec SSL.
> J'ai créé ma clé et mon propre certificat.

Tu "sécurises" surtout une IP.
La négociation SSL s'établissant avant tout traitement des VirtualHosts.
Pour être propre (éviter les warnings dans le navigateur du visiteur),
il faut une IP par FQDN qu'on veut "SSLiser".

> Le problème, c'est qu'en ayant écrit une règle pour le VHost,
> lorsque je me connecte au site via HTTPS, j'obtiens une erreur 403
> (autorisation requise) alors que sans SSL tout est OK.
>
> Voyez vous de quoi il peut s'agir ?
>
> Voici mon fichier vhosts :
>
> NameVirtualHost *:443
>
> <IfDefine SSL>
> <VirtualHost *:443>
> DocumentRoot "/www/thor"
> ServerName thor.benevolat.org
> ServerAdmin jeremie@benevolat.org
> ErrorLog logs/error_ssl_log
> SSLEngine on
> SSLOptions +StdEnvVars
> SSLCipherSuite ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM
> +LOW:+SSLv2:+EXP:+eNULL
> SSLCertificateFile /etc/httpd/conf/ssl/thor.benevolat.org.crt
> SSLCertificateKeyFile /etc/httpd/conf/ssl/thor.benevolat.org.key
> SSLEnable
> </VirtualHost>
> </IfDefine>

Que disent les logs d'erreur ?

--
@+
Calimero

02/01/2006, 13h09

Calimero wrote:

> Attention: X-Post & FU2
>
> Jérémie wrote:
>> Bonjour
>>
>> Je souhaite sécuriser un virtual host avec SSL.
>> J'ai créé ma clé et mon propre certificat.
>
> Tu "sécurises" surtout une IP.
> La négociation SSL s'établissant avant tout traitement des VirtualHosts.
> Pour être propre (éviter les warnings dans le navigateur du visiteur),
> il faut une IP par FQDN qu'on veut "SSLiser".
>
>> Le problème, c'est qu'en ayant écrit une règle pour le VHost,
>> lorsque je me connecte au site via HTTPS, j'obtiens une erreur 403
>> (autorisation requise) alors que sans SSL tout est OK.
>>
>> Voyez vous de quoi il peut s'agir ?
>>
>> Voici mon fichier vhosts :
>>
>> NameVirtualHost *:443
>>
>> <IfDefine SSL>
>> <VirtualHost *:443>
>> DocumentRoot "/www/thor"
>> ServerName thor.benevolat.org
>> ServerAdmin jeremie@benevolat.org
>> ErrorLog logs/error_ssl_log
>> SSLEngine on
>> SSLOptions +StdEnvVars
>> SSLCipherSuite ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM
>> +LOW:+SSLv2:+EXP:+eNULL
>> SSLCertificateFile /etc/httpd/conf/ssl/thor.benevolat.org.crt
>> SSLCertificateKeyFile /etc/httpd/conf/ssl/thor.benevolat.org.key
>> SSLEnable
>> </VirtualHost>
>> </IfDefine>
>
> Que disent les logs d'erreur ?
>

[Mon Jan 02 14:07:01 2006] [error] [client 127.0.0.1] client denied by
server configuration: /var/www/html/
[Mon Jan 02 14:07:01 2006] [error] [client 127.0.0.1] client denied by
server configuration: /var/www/html/favicon.ico

Et ce que je ne comprends pas, c'est qu'on dirait que SSL n'utilise pas le
bon certificat (celui que j'ai généré), mais utilise un autre à la place
(un certificat de test advx.org... ??)

02/01/2006, 16h44

>> Que disent les logs d'erreur ?

> [Mon Jan 02 14:07:01 2006] [error] [client 127.0.0.1] client denied by
> server configuration: /var/www/html/
> [Mon Jan 02 14:07:01 2006] [error] [client 127.0.0.1] client denied by
> server configuration: /var/www/html/favicon.ico

"denied by server configuration", ça veut dire que ton serveur est
configuré pour refuser ce "client".
Ton serveur est mal configuré, ça n'a rien à voir avec la configuration de
Linux. Avec la même configuration de ton serveur sous un autre système
d'exploitation, tu aurais les mêmes soucis.

> Et ce que je ne comprends pas,

Moi, ce que je ne comprends pas c'est que Calimero a positionné le suivi
du message dans le groupe qui convient (fr.comp.infosystemes.www.serveurs)
et que tu persisite à le continuer ici.
Je repositionne le suivi la bas....

--
Telephone portable "intelligent" (SmartPhone) GSM, GPRS,...
Il est sous Linux, ne coute pas trop cher,...
http://www.it2l.com/product_info.php...roducts_id=456

02/01/2006, 16h44

>> Que disent les logs d'erreur ?

> [Mon Jan 02 14:07:01 2006] [error] [client 127.0.0.1] client denied by
> server configuration: /var/www/html/
> [Mon Jan 02 14:07:01 2006] [error] [client 127.0.0.1] client denied by
> server configuration: /var/www/html/favicon.ico

"denied by server configuration", ça veut dire que ton serveur est
configuré pour refuser ce "client".
Ton serveur est mal configuré, ça n'a rien à voir avec la configuration de
Linux. Avec la même configuration de ton serveur sous un autre système
d'exploitation, tu aurais les mêmes soucis.

> Et ce que je ne comprends pas,

Moi, ce que je ne comprends pas c'est que Calimero a positionné le suivi
du message dans le groupe qui convient (fr.comp.infosystemes.www.serveurs)
et que tu persisite à le continuer ici.
Je repositionne le suivi la bas....

--
Telephone portable "intelligent" (SmartPhone) GSM, GPRS,...
Il est sous Linux, ne coute pas trop cher,...
http://www.it2l.com/product_info.php...roducts_id=456

02/01/2006, 17h31

Jérémie wrote:

> [Mon Jan 02 14:07:01 2006] [error] [client 127.0.0.1] client denied by
> server configuration: /var/www/html/
> [Mon Jan 02 14:07:01 2006] [error] [client 127.0.0.1] client denied by
> server configuration: /var/www/html/favicon.ico

Je verrais plutôt un problème de négociation des algorithmes de
chiffrement.

Peut-être pourrais-tu tenter avec des options un peu moins "tuning".

Pour ma part, j'avais rapidement testé le SSL sous apache2 pour me
faire une petite howto (à partir d'une doc en anglais) et j'utilisais
les options suivante:

SSLEngine On
SSLCipherSuite HIGH:MEDIUM
SSLProtocol all -SSLv2
SSLCertificateFile /etc/apache2/ssl/www.truc.com.crt
SSLCertificateKeyFile /etc/apache2/ssl/www.truc.com.pem

> Et ce que je ne comprends pas, c'est qu'on dirait que SSL n'utilise pas le
> bon certificat (celui que j'ai généré), mais utilise un autre à la place
> (un certificat de test advx.org... ??)

J'aurais tendance à dire que c'est pas très grave (il y aurait juste
un message d'alerte, en générale, dans le navigateur indiquant que le
hostname et le nom du certificat matchent pas).

--
@+
Calimero

02/01/2006, 17h31

Jérémie wrote:

> [Mon Jan 02 14:07:01 2006] [error] [client 127.0.0.1] client denied by
> server configuration: /var/www/html/
> [Mon Jan 02 14:07:01 2006] [error] [client 127.0.0.1] client denied by
> server configuration: /var/www/html/favicon.ico

Je verrais plutôt un problème de négociation des algorithmes de
chiffrement.

Peut-être pourrais-tu tenter avec des options un peu moins "tuning".

Pour ma part, j'avais rapidement testé le SSL sous apache2 pour me
faire une petite howto (à partir d'une doc en anglais) et j'utilisais
les options suivante:

SSLEngine On
SSLCipherSuite HIGH:MEDIUM
SSLProtocol all -SSLv2
SSLCertificateFile /etc/apache2/ssl/www.truc.com.crt
SSLCertificateKeyFile /etc/apache2/ssl/www.truc.com.pem

> Et ce que je ne comprends pas, c'est qu'on dirait que SSL n'utilise pas le
> bon certificat (celui que j'ai généré), mais utilise un autre à la place
> (un certificat de test advx.org... ??)

J'aurais tendance à dire que c'est pas très grave (il y aurait juste
un message d'alerte, en générale, dans le navigateur indiquant que le
hostname et le nom du certificat matchent pas).

--
@+
Calimero

03/01/2006, 00h48

R12y a écrit :
>
>
>>>Que disent les logs d'erreur ?
>
>
>>[Mon Jan 02 14:07:01 2006] [error] [client 127.0.0.1] client denied by
>>server configuration: /var/www/html/
>>[Mon Jan 02 14:07:01 2006] [error] [client 127.0.0.1] client denied by
>>server configuration: /var/www/html/favicon.ico
>
>
> "denied by server configuration", ça veut dire que ton serveur est
> configuré pour refuser ce "client".
> Ton serveur est mal configuré, ça n'a rien à voir avec la configuration de
> Linux. Avec la même configuration de ton serveur sous un autre système
> d'exploitation, tu aurais les mêmes soucis.
>
>
>>Et ce que je ne comprends pas,
>
>
> Moi, ce que je ne comprends pas c'est que Calimero a positionné le suivi
> du message dans le groupe qui convient (fr.comp.infosystemes.www.serveurs)
> et que tu persisite à le continuer ici.
> Je repositionne le suivi la bas....
>
Merci de me reprendre, mais ça ne me fait pas spécialement avancer. J'ai
aussi teté depuis des machines de mon Lan, et depuis chez moi, mais rien
ne change.
Y-t-il une directive que j'aurais oublié/mise en trop ?

03/01/2006, 00h48

R12y a écrit :
>
>
>>>Que disent les logs d'erreur ?
>
>
>>[Mon Jan 02 14:07:01 2006] [error] [client 127.0.0.1] client denied by
>>server configuration: /var/www/html/
>>[Mon Jan 02 14:07:01 2006] [error] [client 127.0.0.1] client denied by
>>server configuration: /var/www/html/favicon.ico
>
>
> "denied by server configuration", ça veut dire que ton serveur est
> configuré pour refuser ce "client".
> Ton serveur est mal configuré, ça n'a rien à voir avec la configuration de
> Linux. Avec la même configuration de ton serveur sous un autre système
> d'exploitation, tu aurais les mêmes soucis.
>
>
>>Et ce que je ne comprends pas,
>
>
> Moi, ce que je ne comprends pas c'est que Calimero a positionné le suivi
> du message dans le groupe qui convient (fr.comp.infosystemes.www.serveurs)
> et que tu persisite à le continuer ici.
> Je repositionne le suivi la bas....
>
Merci de me reprendre, mais ça ne me fait pas spécialement avancer. J'ai
aussi teté depuis des machines de mon Lan, et depuis chez moi, mais rien
ne change.
Y-t-il une directive que j'aurais oublié/mise en trop ?

02/01/2006, 12h31	#1
Calimero Messages: n/a Hébergeur:	Re: Apache + SSL = Error 403!! Attention: X-Post & FU2 Jérémie wrote: > Bonjour > > Je souhaite sécuriser un virtual host avec SSL. > J'ai créé ma clé et mon propre certificat. Tu "sécurises" surtout une IP. La négociation SSL s'établissant avant tout traitement des VirtualHosts. Pour être propre (éviter les warnings dans le navigateur du visiteur), il faut une IP par FQDN qu'on veut "SSLiser". > Le problème, c'est qu'en ayant écrit une règle pour le VHost, > lorsque je me connecte au site via HTTPS, j'obtiens une erreur 403 > (autorisation requise) alors que sans SSL tout est OK. > > Voyez vous de quoi il peut s'agir ? > > Voici mon fichier vhosts : > > NameVirtualHost :443 > > <IfDefine SSL> > <VirtualHost :443> > DocumentRoot "/www/thor" > ServerName thor.benevolat.org > ServerAdmin jeremie@benevolat.org > ErrorLog logs/error_ssl_log > SSLEngine on > SSLOptions +StdEnvVars > SSLCipherSuite ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM > +LOW:+SSLv2:+EXP:+eNULL > SSLCertificateFile /etc/httpd/conf/ssl/thor.benevolat.org.crt > SSLCertificateKeyFile /etc/httpd/conf/ssl/thor.benevolat.org.key > SSLEnable > </VirtualHost> > </IfDefine> Que disent les logs d'erreur ? -- @+ Calimero

02/01/2006, 13h09	#2
Jérémie Messages: n/a Hébergeur:	Re: Apache + SSL = Error 403!! Calimero wrote: > Attention: X-Post & FU2 > > Jérémie wrote: >> Bonjour >> >> Je souhaite sécuriser un virtual host avec SSL. >> J'ai créé ma clé et mon propre certificat. > > Tu "sécurises" surtout une IP. > La négociation SSL s'établissant avant tout traitement des VirtualHosts. > Pour être propre (éviter les warnings dans le navigateur du visiteur), > il faut une IP par FQDN qu'on veut "SSLiser". > >> Le problème, c'est qu'en ayant écrit une règle pour le VHost, >> lorsque je me connecte au site via HTTPS, j'obtiens une erreur 403 >> (autorisation requise) alors que sans SSL tout est OK. >> >> Voyez vous de quoi il peut s'agir ? >> >> Voici mon fichier vhosts : >> >> NameVirtualHost :443 >> >> <IfDefine SSL> >> <VirtualHost :443> >> DocumentRoot "/www/thor" >> ServerName thor.benevolat.org >> ServerAdmin jeremie@benevolat.org >> ErrorLog logs/error_ssl_log >> SSLEngine on >> SSLOptions +StdEnvVars >> SSLCipherSuite ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM >> +LOW:+SSLv2:+EXP:+eNULL >> SSLCertificateFile /etc/httpd/conf/ssl/thor.benevolat.org.crt >> SSLCertificateKeyFile /etc/httpd/conf/ssl/thor.benevolat.org.key >> SSLEnable >> </VirtualHost> >> </IfDefine> > > Que disent les logs d'erreur ? > [Mon Jan 02 14:07:01 2006] [error] [client 127.0.0.1] client denied by server configuration: /var/www/html/ [Mon Jan 02 14:07:01 2006] [error] [client 127.0.0.1] client denied by server configuration: /var/www/html/favicon.ico Et ce que je ne comprends pas, c'est qu'on dirait que SSL n'utilise pas le bon certificat (celui que j'ai généré), mais utilise un autre à la place (un certificat de test advx.org... ??)

02/01/2006, 16h44	#3
R12y Messages: n/a Hébergeur:	Re: Apache + SSL = Error 403!! >> Que disent les logs d'erreur ? > [Mon Jan 02 14:07:01 2006] [error] [client 127.0.0.1] client denied by > server configuration: /var/www/html/ > [Mon Jan 02 14:07:01 2006] [error] [client 127.0.0.1] client denied by > server configuration: /var/www/html/favicon.ico "denied by server configuration", ça veut dire que ton serveur est configuré pour refuser ce "client". Ton serveur est mal configuré, ça n'a rien à voir avec la configuration de Linux. Avec la même configuration de ton serveur sous un autre système d'exploitation, tu aurais les mêmes soucis. > Et ce que je ne comprends pas, Moi, ce que je ne comprends pas c'est que Calimero a positionné le suivi du message dans le groupe qui convient (fr.comp.infosystemes.www.serveurs) et que tu persisite à le continuer ici. Je repositionne le suivi la bas.... -- Telephone portable "intelligent" (SmartPhone) GSM, GPRS,... Il est sous Linux, ne coute pas trop cher,... http://www.it2l.com/product_info.php...roducts_id=456

02/01/2006, 16h44	#4
R12y Messages: n/a Hébergeur:	Re: Apache + SSL = Error 403!! >> Que disent les logs d'erreur ? > [Mon Jan 02 14:07:01 2006] [error] [client 127.0.0.1] client denied by > server configuration: /var/www/html/ > [Mon Jan 02 14:07:01 2006] [error] [client 127.0.0.1] client denied by > server configuration: /var/www/html/favicon.ico "denied by server configuration", ça veut dire que ton serveur est configuré pour refuser ce "client". Ton serveur est mal configuré, ça n'a rien à voir avec la configuration de Linux. Avec la même configuration de ton serveur sous un autre système d'exploitation, tu aurais les mêmes soucis. > Et ce que je ne comprends pas, Moi, ce que je ne comprends pas c'est que Calimero a positionné le suivi du message dans le groupe qui convient (fr.comp.infosystemes.www.serveurs) et que tu persisite à le continuer ici. Je repositionne le suivi la bas.... -- Telephone portable "intelligent" (SmartPhone) GSM, GPRS,... Il est sous Linux, ne coute pas trop cher,... http://www.it2l.com/product_info.php...roducts_id=456

02/01/2006, 17h31	#5
Calimero Messages: n/a Hébergeur:	Re: Apache + SSL = Error 403!! Jérémie wrote: > [Mon Jan 02 14:07:01 2006] [error] [client 127.0.0.1] client denied by > server configuration: /var/www/html/ > [Mon Jan 02 14:07:01 2006] [error] [client 127.0.0.1] client denied by > server configuration: /var/www/html/favicon.ico Je verrais plutôt un problème de négociation des algorithmes de chiffrement. Peut-être pourrais-tu tenter avec des options un peu moins "tuning". Pour ma part, j'avais rapidement testé le SSL sous apache2 pour me faire une petite howto (à partir d'une doc en anglais) et j'utilisais les options suivante: SSLEngine On SSLCipherSuite HIGH:MEDIUM SSLProtocol all -SSLv2 SSLCertificateFile /etc/apache2/ssl/www.truc.com.crt SSLCertificateKeyFile /etc/apache2/ssl/www.truc.com.pem > Et ce que je ne comprends pas, c'est qu'on dirait que SSL n'utilise pas le > bon certificat (celui que j'ai généré), mais utilise un autre à la place > (un certificat de test advx.org... ??) J'aurais tendance à dire que c'est pas très grave (il y aurait juste un message d'alerte, en générale, dans le navigateur indiquant que le hostname et le nom du certificat matchent pas). -- @+ Calimero

03/01/2006, 00h48	#7
Jérémie Messages: n/a Hébergeur:	Re: Apache + SSL = Error 403!! R12y a écrit : > > >>>Que disent les logs d'erreur ? > > >>[Mon Jan 02 14:07:01 2006] [error] [client 127.0.0.1] client denied by >>server configuration: /var/www/html/ >>[Mon Jan 02 14:07:01 2006] [error] [client 127.0.0.1] client denied by >>server configuration: /var/www/html/favicon.ico > > > "denied by server configuration", ça veut dire que ton serveur est > configuré pour refuser ce "client". > Ton serveur est mal configuré, ça n'a rien à voir avec la configuration de > Linux. Avec la même configuration de ton serveur sous un autre système > d'exploitation, tu aurais les mêmes soucis. > > >>Et ce que je ne comprends pas, > > > Moi, ce que je ne comprends pas c'est que Calimero a positionné le suivi > du message dans le groupe qui convient (fr.comp.infosystemes.www.serveurs) > et que tu persisite à le continuer ici. > Je repositionne le suivi la bas.... > Merci de me reprendre, mais ça ne me fait pas spécialement avancer. J'ai aussi teté depuis des machines de mon Lan, et depuis chez moi, mais rien ne change. Y-t-il une directive que j'aurais oublié/mise en trop ?

Outils de la discussion
Afficher une version imprimable Envoyer un lien vers cette page par email