Podemos ativar o SSL no OCS e forçar o uso dos do protocolo HTTPS da comunicação. Isso melhorará a segurança e a integridade dos dados.
SSL é um protocolo antigo, o novo é TLS; muita gente ainda usa o termo SSL.
Algumas Dicas Antes de Começarmos
Quando ao certificado, abaixo elenco algumas dicas:
- Não recomendo o uso de certificados autoassinados(self signed), a menos que você queira adicionar confiança manualmente ao acessar o OCS usando o navegador da web. Essa confiança se dá adicionando manualmente a CA(autoridade certificadora) que você usou para emitir o certificado autoassinado. É um pouco confuso mas já há bastante material na internet e aqui irei postar futuramente.
- Vários nomes comuns(common names)/DNS devem ser adicionados como campos DNS, não em common name. Você pode usar fqdns, bem como nomes de netbios: dns=ocsng, dns=ocsng.domain.com,dns=ocsng.anotherdomain.com etc…
- O Common Name(Nome comum) pode ser um nome de exibição, como “OCS Inventory” ou “NG Server”.
- Sempre planeje os nomes e endereços IP com antecedência!
Você pode usar diversas ferramentas para gerar o certificado, O pfSense pode ser instalado em uma Máquina Virtual. Ele tem gerenciamento de certificados e é bem fácil de ser usado. Muita gente também usa a ferramenta Microsoft PKI.
Uma outra ferramenta bem popular é o OpenSSL 🙂 Na verdade, o OpenSSL é, praticamente, a base para todas as outras ferramentas.
Veja um exemplo de informações de um certificado criado:
CN = OCS Inventory NG
OU = IT
O = Minha Empresa
S = São Paulo
C = Nomes DNS:
DNS=ocsng.domain.local
DNS=ocsng.domain.pl
DNS=ocsng
Arquivos e Pastas Relacionadas com o OCS Inventory
Nesse artigo, iremos trabalhar com os seguintes arquivos:
- /usr/share/ocsinventory-reports/ocsreports esse arquivo é ponto inicial do ocs; é como o /var/www/html para o os sites do apache. É dentro dele que fica o index.php do ocs.
- /etc/apache2/sites-enabled/000-default.conf é um arquivo do apache. Sim, o OCS usa o apache. Usamos esse arquivo para ativar a opção SSLRequireSSL.
- /etc/apache2/sites-enabled/default-ssl.conf esse arquivo tem a mesma função do 000-default.conf mas voltado para acesso ssl. Se estiver usando alguma distro baseada em Red Hat, como CentOS ou Rocky Linux
Configurando o OCS Inventory
O Arquivo que iremos configurar no OCS é: /etc/apache2/conf-enabled/ocsinventory-reports.conf
Retire o caracter # para remover o comentário da opção SSLRequireSSL. Ele está assim:
#SSLRequireSSL
Deixe-o assim:
SSLRequireSSL
Isso é tudo. Mas como o Ocs Inventory usa o apache, temos que habilitar o SSL no apache.
Ativando no Apache o SSL
Se o seu apache já usa SSL então não precisará fazer nada. Quer dizer, talvez queira configurar um vhost.
Digo que isso é tudo, pois até certificados e chaves de criptografia já há no Apache. Logicamente que o correto é você criar suas próprias chaves, mas o Apache já traz por padrão suas chaves.
Temos dois artigos falando a respeito de como ativar o SSL:
- Apache: Habilitar SSL no Debian, Ubuntu e Derivados
- Apache: Habilitar SSL no Red Hat, CentOS, Oracle Linux, Rocky Linux e Demais Derivados
Não posto aqui passo a passo porque dependeria muito da distro que está usando. Os links acima vêm em boa hora!