TOC

Ubuntu 16.04でApacheまたはNginxを使用してTomcat 8接続を暗号化する方法

前書き

Apache Tomcatは、Javaアプリケーションを提供するために設計されたWebサーバーおよびサーブレットコンテナーです。 実稼働環境での展開や小規模なアプリケーションのニーズによく使用されるTomcatは、柔軟で強力です。

このガイドでは、Ubuntu 16.04 TomcatインストールをSSLで保護する方法について説明します。 デフォルトでは、インストール時に、入力されたパスワードや機密データなど、Tomcatサーバーとクライアント間のすべての通信は暗号化されません。 TomcatのインストールにSSLを組み込む方法はいくつかあります。 このガイドでは、SSL対応プロキシサーバーをセットアップしてクライアントと安全にネゴシエートし、リクエストをTomcatに渡す方法について説明します。

これをApacheとNginxの両方で設定する方法について説明します。

なぜ逆プロキシなのか？

Tomcatインストール用にSSLをセットアップする方法はいくつかありますが、それぞれにトレードオフのセットがあります。 Tomcatに接続をネイティブに暗号化する機能があることを知った後、リバースプロキシソリューションについて説明するのは奇妙に思えるかもしれません。

Tomcatを使用したSSLには、管理が困難になる多くの欠点があります。

  • Tomcat, when run as recommended with an unprivileged user, cannot bind to restricted ports like the conventional SSL port 443：これには回避策があります。たとえば、authbindプログラムを使用して、特権のないプログラムを制限付きポートにマップしたり、ファイアウォールでポート転送を設定したりしますが、それでも複雑さが増します。

  • SSL with Tomcat is not as widely supported by other software：Let’s Encryptのようなプロジェクトは、Tomcatと対話するネイティブな方法を提供しません。 さらに、Javaキーストア形式では、使用前に従来の証明書を変換する必要があるため、自動化が複雑になります。

  • Conventional web servers release more frequently than Tomcat：これは、アプリケーションのセキュリティに重大な影響を与える可能性があります。 たとえば、サポートされているTomcat SSL暗号スイートはすぐに古くなる可能性があり、アプリケーションの保護が最適ではなくなります。 セキュリティアップデートが必要な場合は、TomcatをインストールするよりもWebサーバーを更新する方が簡単です。

リバースプロキシソリューションは、Tomcatインストールの前に強力なWebサーバーを配置するだけで、これらの問題の多くを回避します。 Webサーバーは、SSLを使用してクライアント要求を処理できます。SSLは、処理するように特別に設計された機能です。 その後、通常の非特権構成で実行されているTomcatにリクエストをプロキシできます。

この懸念の分離は、追加のソフトウェアを実行することを意味する場合でも、構成を簡素化します。

前提条件

このガイドを完了するには、サーバーにTomcatが既にセットアップされている必要があります。 このガイドでは、Tomcat 8 on Ubuntu 16.04 installation guideの手順を使用して設定したことを前提としています。

Tomcatを起動して実行したら、希望するWebサーバーのセクションに進んでください。 Apacheは真下から始まりますが、Nginxの構成は少し先にスキップすることで見つけることができます。

（オプション1）Apache Webサーバーのmod_jkを使用したプロキシ

Apache Webサーバーには、Apache JServプロトコルを使用してTomcatと直接通信できるmod_jkというモジュールがあります。 このプロトコルのコネクタはデフォルトでTomcat内で有効になっているため、Tomcatはこれらのリクエストを処理する準備がすでに整っています。

セクションの前提条件

Apache Webサーバー接続をTomcatにプロキシする方法を説明する前に、Apache Webサーバーをインストールして保護する必要があります。

this guideのステップ1に従って、ApacheWebサーバーをインストールできます。 MySQLまたはPHPをインストールしないでください。

その後、サーバーでSSLをセットアップする必要があります。 これを行う方法は、ドメイン名を持っているかどうかによって異なります。

  • If you have a domain name…サーバーを保護する最も簡単な方法は、無料の信頼できる証明書を提供するLet’sEncryptを使用することです。 これを設定するには、Let’s Encrypt guide for Apacheに従ってください。

  • If you do not have a domain…で、この構成をテストまたは個人的な使用に使用している場合は、代わりに自己署名証明書を使用できます。 これにより、同じタイプの暗号化が提供されますが、ドメイン検証は行われません。 self-signed SSL guide for Apacheに従ってセットアップします。

これらの手順を完了したら、以下に進み、Apache WebサーバーをTomcatインストールに接続する方法を学習します。

ステップ1：mod_jkをインストールして構成する

まず、mod_jkモジュールをインストールする必要があります。 Apache Webサーバーはこれを使用して、Apache JServプロトコルを使用してTomcatと通信します。

Ubuntuのデフォルトリポジトリからmod_jkをインストールできます。 次を入力して、ローカルパッケージインデックスを更新し、インストールします。 

sudo apt-get update
sudo apt-get install libapache2-mod-jk

モジュールはインストール時に自動的に有効になります。

次に、モジュールを構成する必要があります。 メインの設定ファイルは/etc/libapache2-mod-jk/workers.propertiesにあります。 テキストエディタでこのファイルを開きます。 

sudo nano /etc/libapache2-mod-jk/workers.properties

内部で、workers.tomcat_homeディレクティブを見つけます。 これをTomcatインストールホームディレクトリに設定します。 Tomcatのインストールの場合、それは/opt/tomcatになります。

/etc/libapache2-mod-jk/workers.properties

workers.tomcat_home=/opt/tomcat

完了したら、ファイルを保存して閉じます。

ステップ2：mod_jkを使用してApache仮想ホストをプロキシに調整する

次に、Apache仮想ホストを調整して、Tomcatインストールへのリクエストをプロキシする必要があります。

開く仮想ホストファイルは、SSLのセットアップに使用した方法によって異なります。

上記のリンク先のガイドを使用して自己署名SSL証明書を設定する場合は、default-ssl.confファイルを開きます。 

sudo nano /etc/apache2/sites-available/default-ssl.conf

Let's EncryptでSSLを設定した場合、ファイルの場所は、証明書プロセス中に選択したオプションによって異なります。 次のように入力して、SSL要求の処理に関係する仮想ホストを見つけることができます。 

sudo apache2ctl -S

出力はおそらく次のようなもので始まります。 

OutputVirtualHost configuration:
*:80                   example.com (/etc/apache2/sites-enabled/000-default.conf:1)
*:443                  is a NameVirtualHost
         default server example.com (/etc/apache2/sites-enabled/000-default-le-ssl.conf:2)
         port 443 namevhost example.com (/etc/apache2/sites-enabled/000-default-le-ssl.conf:2)
         port 443 namevhost www.example.com (/etc/apache2/sites-enabled/default-ssl.conf:2)

. . .

SSLポート443に関連付けられている行（この例では行3〜6）を見ると、これらのドメインの提供にどの仮想ホストファイルが関係しているかを判断できます。 ここでは、000-default-le-ssl.confファイルとdefault-ssl.confファイルの両方が関係していることがわかります。したがって、これらの両方を編集する必要があります。 結果は異なる可能性があります。 

sudo nano /etc/apache2/sites-enabled/000-default-le-ssl.conf
sudo nano /etc/apache2/sites-enabled/default-ssl.conf

どのファイルを開く必要があるかに関係なく、手順は同じです。 VirtualHostタグ内のどこかに、次のように入力する必要があります。 



    . . .

    JKMount /* ajp13_worker

    . . .

ファイルを保存して閉じます。 編集する必要があると特定した他のファイルについて、上記のプロセスを繰り返します。

終了したら、次を入力して構成を確認します。 

sudo apache2ctl configtest

出力にSyntax OKが含まれている場合は、ApacheWebサーバープロセスを再起動します。 

sudo systemctl restart apache2

これで、WebブラウザでサイトのSSLバージョンにアクセスして、Tomcatのインストールにアクセスできるはずです。 

https://example.com

次に、以下のNginx設定をスキップして、設定を完了するためにTomcatへのアクセスを制限する方法を詳述するセクションに進みます。

（オプション2）Nginxを使用したHTTPプロキシ

プロキシは、Apache Webサーバーよりも好みであれば、Nginxでも簡単です。 NginxにはApache JServプロトコルと通信できるモジュールはありませんが、堅牢なHTTPプロキシ機能を使用してTomcatと通信できます。

セクションの前提条件

TomcatへのNginx接続をプロキシする方法について説明する前に、Nginxをインストールして保護する必要があります。

our guide on installing Nginx on Ubuntu 16.04に従ってNginxをインストールできます。

その後、サーバーでSSLをセットアップする必要があります。 これを行う方法は、ドメイン名を持っているかどうかによって異なります。

  • If you have a domain name…サーバーを保護する最も簡単な方法は、無料の信頼できる証明書を提供するLet’sEncryptを使用することです。 これを設定するには、Let’s Encrypt guide for Nginxに従ってください。

  • If you do not have a domain…で、この構成をテストまたは個人的な使用に使用している場合は、代わりに自己署名証明書を使用できます。 これにより、同じタイプの暗号化が提供されますが、ドメイン検証は行われません。 self-signed SSL guide for Nginxに従ってセットアップします。

これらの手順が完了したら、以下に進み、Nginx WebサーバーをTomcatインストールに接続する方法を学習します。

ステップ1：Nginxサーバーブロック構成の調整

TomcatにプロキシするようにNginxを設定するのは非常に簡単です。

まず、サイトに関連付けられているサーバーブロックファイルを開きます。 このガイドでは、デフォルトのサーバーブロックファイルを使用していると仮定します。 

sudo nano /etc/nginx/sites-available/default

内部では、ファイルの先頭に向かって、upstreamブロックを追加する必要があります。 これにより、Tomcatサーバーがリッスンしている場所をNginxが把握できるように、接続の詳細が概説されます。 これを、ファイル内で定義されているserverブロックの外側に配置します。

/etc/nginx/sites-available/default

upstream tomcat {
    server 127.0.0.1:8080 fail_timeout=0;
}

server {

    . . .

次に、ポート443用に定義されたserverブロック内で、location /ブロックを変更します。 定義したばかりのupstreamブロックにすべてのリクエストを直接渡したいと思います。 現在の内容をコメントアウトし、proxy_passディレクティブを使用して、定義したばかりのアップストリームの「tomcat」に渡します。

また、このブロック内にproxy_params構成を含める必要があります。 このファイルは、Nginxが接続をプロキシする方法の詳細の多くを定義します。

/etc/nginx/sites-available/default

upstream tomcat {
    server 127.0.0.1:8080 fail_timeout=0;
}

server {
    . . .

    location / {
        #try_files $uri $uri/ =404;
        include proxy_params;
        proxy_pass http://tomcat/;
    }

    . . .
}

終了したら、ファイルを保存して閉じます。

ステップ2：Nginxをテストして再起動する

次に、構成の変更によって構文エラーが発生していないことを確認するためにテストします。 

sudo nginx -t

エラーが報告されていない場合は、Nginxを再起動して変更を実装します。 

sudo systemctl restart nginx

これで、WebブラウザでサイトのSSLバージョンにアクセスして、Tomcatのインストールにアクセスできるはずです。 

https://example.com

Tomcatインストールへのアクセスを制限する

これで、TomcatインストールへのSSL暗号化アクセスができました。Tomcatインストールをもう少しロックダウンできます。

Tomcatへのすべてのリクエストがプロキシを経由するようにするため、ローカルループバックインターフェイスでの接続のみをリッスンするようにTomcatを構成できます。 これにより、外部の関係者がTomcatから直接リクエストを試みることができなくなります。

Tomcat構成ディレクトリ内のserver.xmlファイルを開いて、次の設定を変更します。 

sudo nano /opt/tomcat/conf/server.xml

このファイル内で、Connector定義を変更する必要があります。 現在、構成内で2つのコネクタが有効になっています。 1つはポート8080で通常のHTTP要求を処理し、もう1つはポート8009でApache JServプロトコル要求を処理します。 設定は次のようになります。

/opt/tomcat/conf/server.xml

. . .

    
. . .

ローカルループバックインターフェイスへのアクセスを制限するには、これらの各コネクタ定義で「address」属性セットを127.0.0.1に追加する必要があります。 最終結果は次のようになります。

/opt/tomcat/conf/server.xml

. . .

    
. . .

これらの2つの変更を行った後、ファイルを保存して閉じます。

これらの変更を実装するには、Tomcatプロセスを再起動する必要があります。 

sudo systemctl restart tomcat

Tomcatインストールガイドに従っている場合は、インストールでufwファイアウォールが有効になっています。 Tomcatへのすべてのリクエストはローカルループバックインターフェイスに制限されているため、Tomcatへの外部リクエストを許可するルールをファイアウォールから削除できます。 

sudo ufw delete allow 8080

Tomcatインストールは、Webサーバープロキシを介してのみアクセスできるようになります。

結論

この時点で、Tomcatインスタンスへの接続は、Webサーバープロキシを使用してSSLで暗号化する必要があります。 個別のWebサーバープロセスを構成すると、アプリケーションの提供に関連するソフトウェアが増加する可能性がありますが、トラフィックを大幅に保護するプロセスが簡素化されます。

Related