Domain und Zertifikat
Der Zugriff auf eine Instanz läuft über einen mitgelieferten Reverse-Proxy. Er verteilt die Anfragen auf die Bestandteile der Anwendung und kümmert sich um das Zertifikat. Welche Zertifikatsvariante gilt, wird in der Konfiguration gewählt.
Die Instanz braucht einen DNS-Namen, der auf den Server zeigt. Welche Einträge genau zu setzen sind, nennt das Betriebshandbuch. Für die automatische Zertifikatsausstellung muss der Server aus dem Internet über die üblichen Web-Ports erreichbar sein.
Variante 1: Öffentliches Zertifikat
Abschnitt betitelt „Variante 1: Öffentliches Zertifikat“Der Normalfall für einen Server mit öffentlicher Adresse. Der Reverse-Proxy holt und erneuert das Zertifikat selbstständig über Let’s Encrypt. Voraussetzung ist öffentlich auflösender DNS. In einem abgeschotteten Netz funktioniert diese Variante nicht.
Variante 2: Interne CA im LAN
Abschnitt betitelt „Variante 2: Interne CA im LAN“Für Server ohne öffentliche Erreichbarkeit. Der Reverse-Proxy stellt die Zertifikate aus einer eigenen, lokalen Zertifizierungsstelle aus. Die Geräte brauchen dafür einen internen DNS-Eintrag, und die Wurzel-Zertifizierungsstelle muss auf jedem Gerät als vertrauenswürdig hinterlegt werden. Sonst erscheint eine Zertifikatswarnung.
Der spätere Wechsel auf ein öffentliches Zertifikat ist einfach: Hostname, Links und Redirect-URIs bleiben gleich.
Variante 3: Hinter einer bestehenden WAF
Abschnitt betitelt „Variante 3: Hinter einer bestehenden WAF“Wenn eine vorgelagerte Appliance wie Sophos, F5, HAProxy oder nginx bereits HTTPS terminiert, soll der mitgelieferte Proxy kein zweites Zertifikat holen. In dieser Variante übernimmt er allein die Verteilung, die Terminierung bleibt bei der Appliance.
Damit die Zuordnung greift, muss die Appliance den Host-Header durchreichen. In der Konfiguration der Anwendung wird die öffentliche Adresse so hinterlegt, wie Ihre Nutzenden sie aufrufen. Sonst entstehen etwa Einladungslinks, die ins Leere führen.