Umleitung von https:// auf http://

Technik Gluon
1

Hallo zusammen,

wie kann man ermöglichen das die Konfig Seite auch per https erreichbar ist.

meine bisherigen Versuche diesen Pfad erreichbar zu machen, haben nicht geklappt:
/lib/gluon/config-mode/www

/etc/config/uhttpd
list listen_http ‚[::]:443‘

/etc/config/firewall
config rule
option src wan
option dest_port 443
option target ACCEPT
option proto tcp

2

Naja, du brauchst halt vermutlich noch ein Zertifikat.

Wenn es dann noch keine Warnung im Browser geben soll braucht es natürlich ebenfalls noch einen FQDN (lösen wir hier so).
Bei Let’s Encrypt gibt es aber halt leider Limits welche die schöne Idee ein valides Zertifikat pro Knoten zu haben etwas kaputt machen. Da müsste man dann also vermutlich mal die Erhöhung des Limits anfragen.

3

Aktuell ist der Port noch geschlossen, daher liegt eine Fehlkonfiguration vor.
daher bekomme ich kein Zertifikatsfehler sondern ein Verbindungsaufbau abgelehnt.
ich dachte ich kann das Zertifikat umgehen durch die 301 Umleitung.

4

Ich habe das immer getrennt gelassen:

    list listen_http '0.0.0.0:80'
    list listen_http '[::]:80'
    list listen_https '0.0.0.0:443'
    list listen_https '[::]:443'

bei der firewall sieht’s plausibel aus.

config rule
    option name 'https'
    list proto 'tcp'
    option dest_port '443'
    option target 'ACCEPT'

Also nochmal in Kurzform (was aber zumindest Dir ja klar ist, aber falls noch andere drüber stolpern sollten)

  1. den Firewall-Port freischalten
  2. dem Webserver sagen, dass er auch auf tls/443 antwortet
  3. überhaupt irgendeine form von tls auf den Router bringen
  4. überlegen wie man das mit dem Zertifikat machen möchte und
  5. schauen ob das Flash des Routers überhaupt reicht dafür

automatische/erzwungene Umleitung von http auf https ist übrigens ein zweischneidiges Schwert, weil evtl. andere Gerät im Netz kein TLS können und bei so einem redirekt nicht hinterkommen. z.B. wenn andere Gluon-Nodes von diesem Router per Script Infos abfragen. Oder irgendwelche ESPs (ja, soll Leute geben, die soetwas basteln. Ist aber natürlich kein Standard. Aber da wir uns hier in einem Szenario bewegen „wo Menschen im Freifunk auch mal basteln“, da sei das sicherheitshalber erwähnt.)