nav[aria-label="Primary Navigation"] { padding: 0; & ul { list-style: none; width: 100%; display: flex; flex-direction: row; justify-content: start; align-items: start; gap: 30px; padding: 0; & li { margin: 0; } & ul li { list-style: none; } } }

As we transition to the new Hyland Community, some post links may be temporarily disrupted as we finalize redirects. We apologize for the inconvenience and are working to resolve this as quickly as possible. Details.

Alfresco sobre SSL (Apache+Tomcat+SSL+mod_jk)

vlopez

Saludos.

Estoy haciendo pruebas para colocar Alfresco (3.2) en un servidor que atienda peticiones desde Internet. He optado por conectar Tomcat (5.5.28) con Apache (2.2) a través de mod_jk y hacer que Apache atienda estas peticiones a través de conexión segura SSL (puerto 443).
Con esta configuración montada y en funcionamiento me surgen algunas cuestiones al respecto:
1.- He montado reglas de cortafuegos para que no se realicen peticiones por el puerto 8080, pero ¿sería posible también hacer que Tomcat no responda a las peticiones realizadas por este puerto, o lo que es lo mismo, forzarlo a que escuche por el puerto 8009?
2.- Mediante el cliente web no es posible acceder a Alfresco como no sea mediante una conexión segura (Apache sobre SSL y regla de cortafuegos cerrando el 8080), pero resulta que si puedo conectarme mediante CIFS. He anulado esta conexión poniendo a false esta conexión en file-servers.properties, también he inabilitado la autenticación CIFS en alfresco-authentication.properties. Con esto ya no accedo a través de CIFS, pero la pregunta es ¿es necesario adoptar alguna medida adicional, ya sean en la configuración de Alfresco o en la del cortafuegos?.
3.- ¿Sabría alguién decirme como habilitar el acceso mediante WebDav sobre SSL teniendo en cuenta que estoy usando mod_jk?

Find more posts tagged with

Comments

cesarista

Hola tini:

Ahi van mis respuestas, espero que te ayuden:

1. A nivel de servidor Tomcat, siempre puedes definir modificar el conf/server.xml, comentar el conector http en el 8080 y activar el conector ajp13 en 8009, de modo que en el mod_jk defines la redirección en el workers del apache hacia el 8009. Con esto no serían necesarias las reglas de cortafuegos, aunque habría que ver como tira Alfresco (porque es la config al reves de por defecto).

2. Podrías securizar el Tomcat en vez del Apache, comentando el conector http en el 8080 y definiendo un conector SSL en el 8443 del Tomcat por ejemplo (y con esto tendrías conexiones seguras para webdav en el punto 3). Por otro lado, con respecto al CIFS, creo que no hace falta que modifiques el file-server.properties, con cif.enabled=false en alfresco-authentication.properties vale. De hecho, es mejor que sólo modifiques el alfresco-authentication.properties (modificar solo en el directorio de extensiones).

3. Puedes obviar el apache + mod_jk por delante, securizado el Tomcat, o en una config con un apache delante hacer un proxy http al 8443 seguro. Por otro lado el webdav es al fin y al cabo un servlet y debería funcionar con el ajp13. Nota que uso el condicional.

vlopez

Saludos cesarista.

Muchas gracias por tu respuesta.
Probé lo de anular el conector al puerto 8080 del Tomcat (server.xml), activando el ajp13. Pero Tomcat no tiraba.
Sobre lo de securizar Tomcat te comento que al final me decidí por utilizar Apache en función de todos los fors que visité, ya que dan tanto razones de rendimiento como de seguridad. No obstante me servirán tus indicaciones sobre la anulación de la interfaz CIFS, puesto que la habilitación de la misma aparece en varios ficheros y me tenía confundido.

De nuevo gracias.

cesarista

Saludos cesarista.

Muchas gracias por tu respuesta.
Probé lo de anular el conector al puerto 8080 del Tomcat (server.xml), activando el ajp13. Pero Tomcat no tiraba.
De nuevo gracias.

No me queda claro de tu mensaje si el servidor Tomcat del Alfresco no arrancaba al cambiarle los conectores, o es la configuración del apache posterior con mod_jk. Es decir, ademas hay que mapear desde el apache con el mod_jk, al 8009 de alfresco. Y conectarse a la url configurada del apache.

Sobre lo de securizar Tomcat te comento que al final me decidí por utilizar Apache en función de todos los fors que visité, ya que dan tanto razones de rendimiento como de seguridad.

Bueno, lo normal es poner un apache delante en una estructura en 3 capas, porque la capa de la aplicación no esta expuesta directamente al usuario web. Ademas puedes poner un firewall entre la capa web (la del apache) y el contenedor de servlets/servidor de aplicaciones (capa aplicación). Eso si, securizas sólo la conexión con el apache, no la conexión desde la capa web a la capa de la aplicación. En cuanto a lo del rendimiento, puede ser sobre todo si usas conexiones seguras en un caso en el apache y otro caso en el tomcat, pero poner un apache por delante suele ser mas lento que no ponerlo.

vlopez

Saludos Cesarista.

Previo al cambio de conectores, podía acceder a Alfresco tanto a través del puerto 80 como del 8080. Al cambiar los conectores no arrancaba Tomcat.
No se si sobre lo de mapear te refieres a la configuración necesaria con el archivo workers.properties y las directivas a incluir en el hhtp.conf.

Sobre lo de la estructura en tres capas, es la solución ideal, no obstante para las funciones a desempeñar por el servidor objetivo no utilizaré esta estructura, todos se ejecutará en una misma máquina, intentando securizar la misma mediante enjaulamientos, reglas de cortafuegos en la propia máquina, etc.

cesarista

Hola tini:

Saludos Cesarista.

Previo al cambio de conectores, podía acceder a Alfresco tanto a través del puerto 80 como del 8080. Al cambiar los conectores no arrancaba Tomcat.
No se si sobre lo de mapear te refieres a la configuración necesaria con el archivo workers.properties y las directivas a incluir en el hhtp.conf.

Si, hay que configurar los saltos en los workers del mod_jk.

Aqui hay una guía en inglés con los archivos de configuración:

http://forums.alfresco.com/en/viewtopic.php?f=9&t=20310

Lo puedes hacer con mod_jk o incluso con mod_proxy (con un proxy ajp13).

Por otro lado, si hay partes de Alfresco o scripts donde se hardcodea la url con el puerto 8080 y lo has desactivado en el Tomcat puede que vaya mal sólo por ajp13.

Un saludo.

–C.

vlopez

Por otro lado, si hay partes de Alfresco o scripts donde se hardcodea la url con el puerto 8080 y lo has desactivado en el Tomcat puede que vaya mal sólo por ajp13.

En los ficheros de configuración de Alfresco (por ejemplo file-server.xml), aparece el puerto 8080, pero el problema no es que vaya mal por ajp13, sino que no arranca.
Pero ahora que me dices esto, probaré a cambiar los puertos en este fichero a ver que pasa.

Y ya que estamos…

, me permito una pregunta en referencia a esto:

Lo puedes hacer con mod_jk o incluso con mod_proxy (con un proxy ajp13).

Yo lo he montado con mod_jk, ¿Qué ventaja habría en el caso de usar mod_proxy?…

cesarista

Hola tini:

En los ficheros de configuración de Alfresco (por ejemplo file-server.xml), aparece el puerto 8080, pero el problema no es que vaya mal por ajp13, sino que no arranca.
Pero ahora que me dices esto, probaré a cambiar los puertos en este fichero a ver que pasa.

No me refería a eso exactamente, las urls en ese fichero son para el CIFS, pero está claro que si desactivas el conector en el 8080, todo lo que tira del las url al 8080 no va. De hecho no se tiene que levantar el puerto. Prueba a poner de nuevo el conector en el 8080 y seguir el enlace anterior.

Yo lo he montado con mod_jk, ¿Qué ventaja habría en el caso de usar mod_proxy?…

No demasiadas, con mod_jk defines los puntos de salto entre el apache y el tomcat, y en la url que le llega al apache tienes siempre el contexto de la aplicación, en este caso alfresco. Es decir, siempre tienes algo del estilo http://miservidor/alfresco pero con mod_proxy_ajp puedes hacer que sea otro nombre http://miservidor/ecm o incluso que atienda a http://miservidor. De rendimiento, parecidos.

vlopez

Gracias Cesarista.
Una vez lo tenga montado completo, con SSL y certificados, comentaré aquí mismo.

vlopez

Para impedir el acceso por el puerto 8080, creo que he encontrado la solución, por lo menos a mi me funciona:
Hay que realizar los siguientes pasos:

1.- En el archivo server.xml de tomcat:
Comentamos las siguientes líneas:

<!–
    <Connector port="8080" maxHttpHeaderSize="8192"
               maxThreads="150" minSpareThreads="25" maxSpareThreads="75"
               enableLookups="false" redirectPort="8443" acceptCount="100"
               connectionTimeout="20000" disableUploadTimeout="true" />
    –>‍‍‍‍‍‍

Las líneas siguientes deben estar descomentadas si ya nos funcionó Alfresco con acceso a través de Apache:

<!– Define an AJP 1.3 Connector on port 8009 –>
    <Connector port="8009" 
               enableLookups="false" redirectPort="8443" protocol="AJP/1.3" />‍‍‍

2.- Buscamos los siguientes archivos en la ruta:/usr/local/tomcat/webapps/alfresco/WEB-INF/classes
(YA ya se que aquí no hay que tocar, pero si alguién sabe como sustutir el tocar en esta ruta que lo
apunte en este post)

En los archivos que menciono a continuación buscaremos cualquier línea donde ponga 8080. En principio
serán dos líneas por cada archivo, y sustituimos el 8080 por 8009.
Los archivos son:
- repository.properties
- file-servers.xml

Y listo, al arrancar Alfresco no es posible acceder a él a través del 8080, solo a través del 80, y sin
necesidad de habilitar reglas de cortafuegos. No obstante, el cortafuegos siempre es bueno.

venzia

Hola tini .. esas modificaciones las puedes meter en tomcat\shared..\extension en los ficheros :
-file-servers-custom.xml (copiando del otro los cambios y quitando lo que no necesites sobreescribir)
-custom-repository.properties (igual).
Con esto ya tienes el post completito.
Saludos,

vlopez

Bien ya voy avanzando. jejejeje…
Peroooo…..ahora que tengo montado Apache+mod_jk+SSL+Alfresco con bloqueos de puertos 8080 y 80, sin emplear un cortafuegos (que emplearé para cuando lo ponga en explotación), tengo un problema para acceder a Alfresco por webDav a través de Apache.
Aquí mi archivo de configuración de Apache 2.2 para WebDav:

#
# Distributed authoring and versioning (WebDAV)
#
# Required modules: mod_dav, mod_dav_fs, mod_setenvif, mod_alias
#                   mod_auth_digest, mod_authn_file
#

# The following example gives DAV write access to a directory called
# "uploads" under the ServerRoot directory.
#
# The User/Group specified in httpd.conf needs to have write permissions
# on the directory where the DavLockDB is placed and on any directory where
# "Dav On" is specified.

DavLockDB "/usr/local/httpd/logs/DavLock"
JkMount /alfresco default
JkMount /alfresco/* default
#JkMount /alfresco/webdav default
#JkMount /alfresco/webdav/* default
#Alias /webdav "/usr/local/tomcat/webapps/webdav"

#<Directory "/usr/local/tomcat/webapps/webdav">
<Directory "/usr/local/tomcat/webapps/alfresco/WEB-INF">
Options Indexes FollowSymLinks
DirectoryIndex index.jsp index.html index.htm
    Dav On
    AllowOverride None
    Order Allow,Deny
    Allow from all
    Require valid-user
    DavDepthInfinity on
    #AuthType Basic
    AuthName www.secure.samtek.es
</Directory>
# Deny direct access to WEB-INF and META-INF
#
<Location "/webdav/WEB-INF/*">
#AllowOverride None
deny from all
</Location>

<Location "/webdav/META-INF/*">
#AllowOverride None
deny from all
</Location>
#
# The following directives disable redirects on non-GET requests for
# a directory that does not include the trailing slash.  This fixes a 
# problem with several clients that do not appropriately handle 
# redirects for folders with DAV methods.
#
BrowserMatch "Microsoft Data Access Internet Publishing Provider" redirect-carefully
BrowserMatch "MS FrontPage" redirect-carefully
BrowserMatch "^WebDrive" redirect-carefully
BrowserMatch "^WebDAVFS/1.[0123]" redirect-carefully
BrowserMatch "^gnome-vfs/1.0" redirect-carefully
BrowserMatch "^XML Spy" redirect-carefully
BrowserMatch "^Dreamweaver-WebDAV-SCM1" redirect-carefully
‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍

El caso es que llego al servidor al crear la unidad de red desde Windows Vista con el último SP, me pide el certificado y después nombre de usuario y contraseña, pero cuando los incluyo, me los vuelve a pedir, pero en el nombre de usuario ha incluido el nombre del usuario seguido de "/" nombre del servidor.
Me da que esto es lo que le manda a Alfresco y por eso no puedo entrar.
He probado a activar el NMTL, y el caso es que llegué a entrar, pero no podía subitr archivos. Aunque ahora cuando activo el NMTL en Subsystems tampoco entro.
¿Sabe alguien como configurar correctamente WebDav para que el logueado lo realice Alfresco?, ¿hay que tocar algo en los ficheros de configuración de Alfresco?
Ustoy probando con Alfresco 3.2, Apache 2.2.x

venzia

El caso es que llego al servidor al crear la unidad de red desde Windows Vista con el último SP, me pide el certificado y después nombre de usuario y contraseña, pero cuando los incluyo, me los vuelve a pedir, pero en el nombre de usuario ha incluido el nombre del usuario seguido de "/" nombre del servidor.
Me da que esto es lo que le manda a Alfresco y por eso no puedo entrar.

Este es el procedimiento típico de acceso por CIFS (Samba) .. para ello, entre otras cosas, tendrás que configurar el acceso a través de sus correspondientes puertos.
El caso es que para webdav si deberías tenerlo permitido, pero el proceso de conexión mediante el asistente del SO es diferente (te lo dice uno que dijo "Vista? hasta la Vista!"). Supongo que será similar al XP .. a traves de Mis sitios de red .. nuevo sitio .. le metes la url del servidor (p.e. https:\\servidor

uerto\alfresco\webdav) y cuando te pida login le pasas el correspondiente (este no añadirá al login el nombre del servidor).
Ya me dices.
Saludos,

vlopez

Que tal Javier??

Vamos por partes (como dijo Jack el descuartizador…jejejeje)
-El acceso con Vista, tiene prácticamente el mismo asistente que con Windows XP, y efectivamente es como lo estoy haciendo. Pero cuando incluyo el nombre del usuario y contraseña (después de haber picado en el asistente en "conectarse a un sitio web para usarlo como almacén etc…"), me pone el nombre de usuario con el nombre del servidor por delante. Si le borro el nombre del servidor y vuelvo a introducir la clave me devuelve un mensaje de error que dice:

El nombre de la carpeta que escribió no parece válido.Elija otro

-Con Windows XP me pasa exactamente lo mismo.
Podría ser algo del windows y no del apache o del alfresco???

venzia

Hola Tini, pues en mis años de venturas y desventuras con Alfresco nunca he tenido ese problema mediante el "Asistente para agregar sitio de red" (en cambio si muchas veces desde el "conectar a unidad de red").
¿Que url añades en el paso donde pide "Direccion de red o internet"?
Saludos,

cesarista

Hola tini:

No entiendo que pretendes con la configuración de mod_dav en el apache, en mi opinión no necesitas nada de eso, pero no estoy seguro si te sigo. Creo que te pide una doble autenticación por eso, una es del apache y otra del alfresco.

El webdav de Alfresco está implementado en el Tomcat como un servlet. Lo que pasa es que en tu configuración has cerrado las conexiones al puerto 8080 (via http) y sólo has dejado las de ajp13 (puerto 8009). La url del webdav para la unidad de red compartida que entiendo que deberías utilizar es directamente http://miservidor/alfresco/webdav/ (la del apache si mod_jk hace el salto 80 => 8009)

Un saludo.

–C.

vlopez

Hola a todos, y gracias por las respuestas que estoy obteniendo.
Voy a ir contestando por orden.

Javier.
Como siempre rápido en tu ayuda.
La url que introduzco es la dirección completa del servidor https://www.miservidor.es/alfresco, también lo he intentado con https://www.miservidor.es/alfresco/webdav
En ambos casos me pasa lo mismo. Y el agregar unidad de red lo realizo con el asistente para agregar sitio de internet, no el conectar a unidad de red.
Creo que es un problema con la configuración de Apache, aunque por lo que he visto en los muchos foros que he visitado también puede ser un problema del propio Windows.
En este caso mi pregunta para ti Javier, ¿es si el acceso a webdav lo haces directamente con Tomcat o con mod_jk y Apache? que es lo que pretendo, si lo haces con Apache, te agradecería me dijeras si ves algo incorrecto en el fichero de configuración que posteé anteriormente.

Cesarista.
Como ves aquí seguimos en la pelea.
Veamos, lo primero explicar lo que pretendo. Quiero acceder a un Alfresco remoto mediante una carpeta de red que cree en el equipo cliente. Vamos que lo que pretendo es lo mismo que el acceso a Alfresco mediante CIFS pero con Webdav, ya que el primero es por naturaleza inseguro, mientras que WebDav al implementarse en Apache me permite emplear SSL. Así facilito el asunto a usuarios que no sepan usar Alfresco.
Efectivamente he anulado el 8080, e incluso el 80, todo pasa por el 443 de apache que lo redirige al 8009 (ajp).
estoy de acuerdo contigo en que me está pidiendo doble logueado, porque cuando creo la unidad del sitio de internet primero pide certificado, despues nombre de usuario y contraseña, que al introducirlos me pide de nuevo certificado y logueado pero el campo de usuario Windows me lo rellena con el nombre del servidor seguido de barra y nombe de usuario. Si vuelvo a loguearme me dice que escribí incorrectamente la dirección del sitio.
También pienso como tu respecto a la URL (https://wwww.miservidor/alfresco/webdav..también lo he probado con y sin barra al final de la url …. nada). mod_jk creo que hace el salto porque el acceso a Alfresco a través del navegador funciona correctamente, es más, en el navegador veo también la interfaz gráfica de webdav, aunque ésta me sirve de poco porque solo puedo ver documentos, no subirlos.
Por tanto, me voy decantando porque el problema viene del archivo de configuración de webdav en Apache o bien, por algún problema de Windows con webdav.
Anteriormente en este hilo publiqué el contenido del fichero de configuración de WebDav.
Tampoco he observado en los ficheros de configuración de Alfresco ninguna referencia a algún puerto relacionado conWebDav.

Quisiera señalar, que el mod_jk que empleo es el binario, cuya instalación se reduce a copiarlo en el directorio apropiado (modules) y luego cargarlo en dinámico. He visto por ahí que puede ser un problema con mod_jk binario que no tenga habilitado soporte para WebDav, y que el problema se solucina compilando el código de mod_jk con soporte para WebDav. ¿qué pensáis al respecto?…en caso de que consideréis que es mejor compilar mod_jk habilitando soporte para WebDav, me gustaría me dieráis indcaciones sobre como hacerlo.
Agradezco cualquier indicación o sugerencia por vuestra parte.

cesarista

Hola tini:

Efectivamente he anulado el 8080, e incluso el 80, todo pasa por el 443 de apache que lo redirige al 8009 (ajp).
estoy de acuerdo contigo en que me está pidiendo doble logueado, porque cuando creo la unidad del sitio de internet primero pide certificado, despues nombre de usuario y contraseña, que al introducirlos me pide de nuevo certificado y logueado pero el campo de usuario Windows me lo rellena con el nombre del servidor seguido de barra y nombe de usuario. Si vuelvo a loguearme me dice que escribí incorrectamente la dirección del sitio.
También pienso como tu respecto a la URL (https://wwww.miservidor/alfresco/webdav..también lo he probado con y sin barra al final de la url …. nada). mod_jk creo que hace el salto porque el acceso a Alfresco a través del navegador funciona correctamente, es más, en el navegador veo también la interfaz gráfica de webdav, aunque ésta me sirve de poco porque solo puedo ver documentos, no subirlos.
Por tanto, me voy decantando porque el problema viene del archivo de configuración de webdav en Apache o bien, por algún problema de Windows con webdav.
Anteriormente en este hilo publiqué el contenido del fichero de configuración de WebDav.
Tampoco he observado en los ficheros de configuración de Alfresco ninguna referencia a algún puerto relacionado conWebDav.

Eso es, te debería funcionar con la url en https://wwww.miservidor/alfresco/webdav
En mi opinión, quitaría la config de mod_dav de apache, desactivando el modulo mod_dav y volveria a intentarlo con la url.

Un par de miniguias (Apache + Tomcat + mod_) , ya sea por mod_proxy o mod_jk:

http://www.zylk.net/web/guest/web-2-0/wiki/-/wiki/Main/InstalacionApacheTomcatModJk
http://www.zylk.net/web/guest/web-2-0/wiki/-/wiki/Main/InstalacionApacheTomcatModProxy

Un saludo.

–C.