OBS/Kostenpflichtige Module/RESTServer/Server-Profile - Versionsgeschichte

MINERVA-Rademacker: HSTS-Header und Abgrenzung der Verbindungsgrenzen ergaenzt [Volltext ersetzt]

2026-09-25T09:28:33Z

HSTS-Header und Abgrenzung der Verbindungsgrenzen ergaenzt [Volltext ersetzt]

← Nächstältere Version		Version vom 25. September 2026, 10:28 Uhr
Zeile 52:		Zeile 52:
	\| Keine Kompression \|\| Antworten dieses Profils werden '''nicht''' gepackt (<code>rsv_no_gzip</code>). Ohne Haken packt der Server JSON- und Textantworten ab 1024 Byte mit gzip, sofern der Client sie über <code>Accept-Encoding</code> annimmt. Der Haken betrifft nur die Antwortrichtung - komprimierte '''Anfragen''' nimmt der Server weiterhin entgegen		\| Keine Kompression \|\| Antworten dieses Profils werden '''nicht''' gepackt (<code>rsv_no_gzip</code>). Ohne Haken packt der Server JSON- und Textantworten ab 1024 Byte mit gzip, sofern der Client sie über <code>Accept-Encoding</code> annimmt. Der Haken betrifft nur die Antwortrichtung - komprimierte '''Anfragen''' nimmt der Server weiterhin entgegen
	\|}		\|}

			{{Hinweis\|''Max. Verbindungen'' und ''Max. parallel'' sind die beiden
			'''Lastgrenzen''' des Profils. Davon zu unterscheiden sind die festen Grenzen der
			persistenten Verbindungen - 10 Sekunden Leerlauf, 100 Anfragen je Verbindung -,
			die nicht der Last dienen, sondern der Hygiene und nicht einstellbar sind. Siehe
			[[OBS/Kostenpflichtige Module/RESTServer\|REST-Server]], Abschnitt Persistente
			Verbindungen.}}

	Die Inhalte der Zertifikate werden direkt in OBS als Text gespeichert. Zur Laufzeit schreibt der Server die PEM-Inhalte für den Bruchteil einer Sekunde in ein Temp-Verzeichnis, damit OpenSSL sie beim Start lesen kann; danach werden die Temp-Dateien sofort wieder gelöscht.		Die Inhalte der Zertifikate werden direkt in OBS als Text gespeichert. Zur Laufzeit schreibt der Server die PEM-Inhalte für den Bruchteil einer Sekunde in ein Temp-Verzeichnis, damit OpenSSL sie beim Start lesen kann; danach werden die Temp-Dateien sofort wieder gelöscht.
Zeile 78:		Zeile 85:

	* '''TLS-Version:''' Der Server erzwingt '''TLS 1.2'''. Die Cipher-Liste ist auf ECDHE-Schlüsselaustausch (Forward Secrecy) mit AEAD-Verfahren (AES-GCM, ChaCha20-Poly1305) beschränkt; CBC, statisches RSA-KEX und DHE sind ausgeschlossen.		* '''TLS-Version:''' Der Server erzwingt '''TLS 1.2'''. Die Cipher-Liste ist auf ECDHE-Schlüsselaustausch (Forward Secrecy) mit AEAD-Verfahren (AES-GCM, ChaCha20-Poly1305) beschränkt; CBC, statisches RSA-KEX und DHE sind ausgeschlossen.
			* '''HSTS:''' Jede Antwort eines TLS-Profils trägt ''Strict-Transport-Security: max-age=31536000; includeSubDomains''. Ein Browser spricht die Adresse damit ein Jahr lang nur noch über HTTPS an. Beim Profil ''Kein SSL'' wird der Header bewusst '''nicht''' gesetzt - der Browser würde ihn sonst speichern und die Erzwingung auch auf produktive Sitzungen anwenden.
	* '''Rotation:''' Ein Zertifikatswechsel erfolgt durch ändern der PEM-Inhalte in der DB und einen '''Neustart''' des REST-Dienstes (kein Hot-Reload). Bis zum Neustart läuft das alte Zertifikat weiter.		* '''Rotation:''' Ein Zertifikatswechsel erfolgt durch ändern der PEM-Inhalte in der DB und einen '''Neustart''' des REST-Dienstes (kein Hot-Reload). Bis zum Neustart läuft das alte Zertifikat weiter.
	* '''Certificate-Pinning:''' Mobile Clients können den Server-Public-Key pinnen. Zertifikatswechsel daher '''rechtzeitig ankündigen''' und mit einem '''Backup-Pin''' vorbereiten - der neue Pin muss vor dem Wechsel in einer Client-Version ausgerollt sein, sonst sperrt sich die App aus.		* '''Certificate-Pinning:''' Mobile Clients können den Server-Public-Key pinnen. Zertifikatswechsel daher '''rechtzeitig ankündigen''' und mit einem '''Backup-Pin''' vorbereiten - der neue Pin muss vor dem Wechsel in einer Client-Version ausgerollt sein, sonst sperrt sich die App aus.

Rademacker am 15. September 2026 um 10:01 Uhr

2026-09-15T10:01:10Z

← Nächstältere Version		Version vom 15. September 2026, 11:01 Uhr
Zeile 49:		Zeile 49:
	\|-		\|-
	\| Max. parallel \|\| Obergrenze gleichzeitig '''verarbeiteter Anfragen''' (<code>rsv_max_parallel</code>). Leer/0 = unbegrenzt. Bei Überschreitung antwortet der Server '''503''' mit <code>Retry-After</code>, der Client darf es also gleich erneut versuchen		\| Max. parallel \|\| Obergrenze gleichzeitig '''verarbeiteter Anfragen''' (<code>rsv_max_parallel</code>). Leer/0 = unbegrenzt. Bei Überschreitung antwortet der Server '''503''' mit <code>Retry-After</code>, der Client darf es also gleich erneut versuchen
			\|-
			\| Keine Kompression \|\| Antworten dieses Profils werden '''nicht''' gepackt (<code>rsv_no_gzip</code>). Ohne Haken packt der Server JSON- und Textantworten ab 1024 Byte mit gzip, sofern der Client sie über <code>Accept-Encoding</code> annimmt. Der Haken betrifft nur die Antwortrichtung - komprimierte '''Anfragen''' nimmt der Server weiterhin entgegen
	\|}		\|}

Rademacker am 14. September 2026 um 08:07 Uhr

2026-09-14T08:07:07Z

← Nächstältere Version		Version vom 14. September 2026, 09:07 Uhr
Zeile 45:		Zeile 45:
	\|-		\|-
	\| Limit gesamt \|\| Erlaubte Anfragen des gesamten Profils je Fenster. Leer/0 = Standard 600		\| Limit gesamt \|\| Erlaubte Anfragen des gesamten Profils je Fenster. Leer/0 = Standard 600
			\|-
			\| Max. Verbindungen \|\| Obergrenze gleichzeitiger '''Verbindungen''' (<code>rsv_max_conn</code>). Leer/0 = unbegrenzt. Sie deckt auch laufende Datei-Downloads ab, weil der Platz erst beim Trennen frei wird. Bei Überschreitung trennt der Server '''ohne HTTP-Antwort''' - der Wert gehört deutlich über den Normalbetrieb, als Reissleine
			\|-
			\| Max. parallel \|\| Obergrenze gleichzeitig '''verarbeiteter Anfragen''' (<code>rsv_max_parallel</code>). Leer/0 = unbegrenzt. Bei Überschreitung antwortet der Server '''503''' mit <code>Retry-After</code>, der Client darf es also gleich erneut versuchen
	\|}		\|}

Rademacker am 18. August 2026 um 06:03 Uhr

2026-08-18T06:03:32Z

← Nächstältere Version		Version vom 18. August 2026, 07:03 Uhr
Zeile 60:		Zeile 60:
	\| '''Plain-HTTP''' \|\| Haken ''Kein SSL'' \|\| Ausschliesslich lokale Tests. Erkennt TLS-Versuche auf dem Plain-Port und trennt sie direkt		\| '''Plain-HTTP''' \|\| Haken ''Kein SSL'' \|\| Ausschliesslich lokale Tests. Erkennt TLS-Versuche auf dem Plain-Port und trennt sie direkt
	\|}		\|}

			Beide Richtungen werden erkannt: Eine '''unverschlüsselte Anfrage an einen
			TLS-Port''' (''http'' statt ''https'') beantwortet der Server mit '''HTTP 400'''
			und einem Klartext-Hinweis. Die Abweisung erfolgt '''vor''' Authentifizierung,
			Rate-Limit und Endpunkt-Skript - ein falsch konfigurierter Client löst also
			keine Verarbeitung aus.

	{{Hinweis\|Bei Standard-TLS und mTLS fährt der Server ohne Cert/Key gar nicht erst hoch. Bei Standard-TLS ohne Root-Cert wird die Anlage abgelehnt - die Chain-Validierung benötigt das CA-Root. Plain-HTTP umgeht TLS komplett und ist nicht für Produktivumgebungen geeignet.}}		{{Hinweis\|Bei Standard-TLS und mTLS fährt der Server ohne Cert/Key gar nicht erst hoch. Bei Standard-TLS ohne Root-Cert wird die Anlage abgelehnt - die Chain-Validierung benötigt das CA-Root. Plain-HTTP umgeht TLS komplett und ist nicht für Produktivumgebungen geeignet.}}

Rademacker am 17. August 2026 um 06:49 Uhr

2026-08-17T06:49:19Z

@@ Zeile 37: / Zeile 37: @@
 |-
 | Root-Cert           || PEM-Inhalt des CA-Root-Zertifikats (Pflicht bei Standard-TLS, dort für Chain-Validierung, sowie bei mTLS, dort zusätzlich für Client-Cert-Verifikation)
 |}
@@ Zeile 57: / Zeile 65: @@
 ==TLS-Version, Cipher und Zertifikats-Rotation==
-* '''TLS-Version:''' Der Server erzwingt '''TLS 1.2'''. Die Cipher-Liste ist auf ECDHE-SchlÜsselaustausch (Forward Secrecy) mit AEAD-Verfahren (AES-GCM, ChaCha20-Poly1305) beschrÄnkt; CBC, statisches RSA-KEX und DHE sind ausgeschlossen.
+* '''TLS-Version:''' Der Server erzwingt '''TLS 1.2'''. Die Cipher-Liste ist auf ECDHE-Schlüsselaustausch (Forward Secrecy) mit AEAD-Verfahren (AES-GCM, ChaCha20-Poly1305) beschränkt; CBC, statisches RSA-KEX und DHE sind ausgeschlossen.
-* '''Rotation:''' Ein Zertifikatswechsel erfolgt durch ändern der PEM-Inhalte in der DB und einen '''Neustart''' des REST-Dienstes (kein Hot-Reload). Bis zum Neustart lÄuft das alte Zertifikat weiter.
+* '''Rotation:''' Ein Zertifikatswechsel erfolgt durch ändern der PEM-Inhalte in der DB und einen '''Neustart''' des REST-Dienstes (kein Hot-Reload). Bis zum Neustart läuft das alte Zertifikat weiter.
-* '''Certificate-Pinning:''' Mobile Clients kÖnnen den Server-Public-Key pinnen. Zertifikatswechsel daher '''rechtzeitig ankÜndigen''' und mit einem '''Backup-Pin''' vorbereiten - der neue Pin muss vor dem Wechsel in einer Client-Version ausgerollt sein, sonst sperrt sich die App aus.
+* '''Certificate-Pinning:''' Mobile Clients können den Server-Public-Key pinnen. Zertifikatswechsel daher '''rechtzeitig ankündigen''' und mit einem '''Backup-Pin''' vorbereiten - der neue Pin muss vor dem Wechsel in einer Client-Version ausgerollt sein, sonst sperrt sich die App aus.
 ==Validierung beim Speichern==

Rademacker am 29. Juni 2026 um 10:07 Uhr

2026-06-29T10:07:03Z

← Nächstältere Version		Version vom 29. Juni 2026, 11:07 Uhr
Zeile 55:		Zeile 55:
	{{Hinweis\|Bei Standard-TLS und mTLS fährt der Server ohne Cert/Key gar nicht erst hoch. Bei Standard-TLS ohne Root-Cert wird die Anlage abgelehnt - die Chain-Validierung benötigt das CA-Root. Plain-HTTP umgeht TLS komplett und ist nicht für Produktivumgebungen geeignet.}}		{{Hinweis\|Bei Standard-TLS und mTLS fährt der Server ohne Cert/Key gar nicht erst hoch. Bei Standard-TLS ohne Root-Cert wird die Anlage abgelehnt - die Chain-Validierung benötigt das CA-Root. Plain-HTTP umgeht TLS komplett und ist nicht für Produktivumgebungen geeignet.}}

			==TLS-Version, Cipher und Zertifikats-Rotation==

			* '''TLS-Version:''' Der Server erzwingt '''TLS 1.2'''. Die Cipher-Liste ist auf ECDHE-SchlÜsselaustausch (Forward Secrecy) mit AEAD-Verfahren (AES-GCM, ChaCha20-Poly1305) beschrÄnkt; CBC, statisches RSA-KEX und DHE sind ausgeschlossen.
			* '''Rotation:''' Ein Zertifikatswechsel erfolgt durch ändern der PEM-Inhalte in der DB und einen '''Neustart''' des REST-Dienstes (kein Hot-Reload). Bis zum Neustart lÄuft das alte Zertifikat weiter.
			* '''Certificate-Pinning:''' Mobile Clients kÖnnen den Server-Public-Key pinnen. Zertifikatswechsel daher '''rechtzeitig ankÜndigen''' und mit einem '''Backup-Pin''' vorbereiten - der neue Pin muss vor dem Wechsel in einer Client-Version ausgerollt sein, sonst sperrt sich die App aus.
	==Validierung beim Speichern==		==Validierung beim Speichern==

Rademacker am 19. Mai 2026 um 06:08 Uhr

2026-05-19T06:08:48Z

← Nächstältere Version		Version vom 19. Mai 2026, 07:08 Uhr
Zeile 3:		Zeile 3:
	=Server-Profile=		=Server-Profile=

	Ein '''Server''' im REST-Modul ist ein ~~eigenstaendiges~~ TLS-Profil mit einer eigenen HTTP-Server-Instanz. In OBS ~~koennen~~ beliebig viele Server-Profile parallel betrieben werden, jedes mit eigenem Modus, eigenen Zertifikaten und eigenen Bindungen.		Ein '''Server''' im REST-Modul ist ein eigenständiges TLS-Profil mit einer eigenen HTTP-Server-Instanz. In OBS können beliebig viele Server-Profile parallel betrieben werden, jedes mit eigenem Modus, eigenen Zertifikaten und eigenen Bindungen.

	Typische ~~Einsatzfaelle fuer~~ mehrere Profile:		Typische Einsatzfälle für mehrere Profile:

	* Ein '''Public-Profil''' mit Standard-TLS auf Port 443 ~~fuer~~ externe Konsumenten.		* Ein '''Public-Profil''' mit Standard-TLS auf Port 443 für externe Konsumenten.
	* Ein '''Internal-mTLS-Profil''' auf einem internen Port ~~fuer~~ Microservices, die zwingend ein Client-Zertifikat vorlegen ~~muessen~~.		* Ein '''Internal-mTLS-Profil''' auf einem internen Port für Microservices, die zwingend ein Client-Zertifikat vorlegen müssen.
	* Ein '''Debug-Profil''' mit Plain-HTTP auf 127.0.0.1, ausschliesslich ~~fuer~~ lokale Tests.		* Ein '''Debug-Profil''' mit Plain-HTTP auf 127.0.0.1, ausschliesslich für lokale Tests.

	==Aufruf==		==Aufruf==
Zeile 20:		Zeile 20:
	! Feld !! Beschreibung		! Feld !! Beschreibung
	\|-		\|-
	\| Nr \|\| Eindeutige Nummer 1-99, einmalig vergeben, kann ~~spaeter~~ nicht mehr ~~geaendert~~ werden		\| Nr \|\| Eindeutige Nummer 1-99, einmalig vergeben, kann später nicht mehr geändert werden
	\|-		\|-
	\| Name \|\| Sprechender Name, eindeutig - erscheint in Protokoll, Statistik und Endpunkt-Zuordnung		\| Name \|\| Sprechender Name, eindeutig - erscheint in Protokoll, Statistik und Endpunkt-Zuordnung
Zeile 28:		Zeile 28:
	\| Info \|\| Freitext zur Dokumentation (interner Kommentar, wird nicht ausgewertet)		\| Info \|\| Freitext zur Dokumentation (interner Kommentar, wird nicht ausgewertet)
	\|-		\|-
	\| Kein SSL \|\| Plain-HTTP-Modus, ausschliesslich ~~fuer~~ Debug. TLS-Felder werden ignoriert		\| Kein SSL \|\| Plain-HTTP-Modus, ausschliesslich für Debug. TLS-Felder werden ignoriert
	\|-		\|-
	\| mTLS \|\| Mutual TLS: jeder Client muss ein ~~gueltiges~~ Client-Zertifikat vorlegen		\| mTLS \|\| Mutual TLS: jeder Client muss ein gültiges Client-Zertifikat vorlegen
	\|-		\|-
	\| Cert \|\| PEM-Inhalt des Server-Zertifikats (inkl. ggf. Zwischen-CA-Kette)		\| Cert \|\| PEM-Inhalt des Server-Zertifikats (inkl. ggf. Zwischen-CA-Kette)
	\|-		\|-
	\| Key \|\| PEM-Inhalt des privaten ~~Schluessels~~		\| Key \|\| PEM-Inhalt des privaten Schlüssels
	\|-		\|-
	\| Root-Cert \|\| PEM-Inhalt des CA-Root-Zertifikats (Pflicht bei Standard-TLS, dort ~~fuer~~ Chain-Validierung, sowie bei mTLS, dort ~~zusaetzlich fuer~~ Client-Cert-Verifikation)		\| Root-Cert \|\| PEM-Inhalt des CA-Root-Zertifikats (Pflicht bei Standard-TLS, dort für Chain-Validierung, sowie bei mTLS, dort zusätzlich für Client-Cert-Verifikation)
	\|}		\|}

	Die Inhalte der Zertifikate werden direkt in OBS als Text gespeichert. Zur Laufzeit schreibt der Server die PEM-Inhalte ~~fuer~~ den Bruchteil einer Sekunde in ein Temp-Verzeichnis, damit OpenSSL sie beim Start lesen kann; danach werden die Temp-Dateien sofort wieder ~~geloescht~~.		Die Inhalte der Zertifikate werden direkt in OBS als Text gespeichert. Zur Laufzeit schreibt der Server die PEM-Inhalte für den Bruchteil einer Sekunde in ein Temp-Verzeichnis, damit OpenSSL sie beim Start lesen kann; danach werden die Temp-Dateien sofort wieder gelöscht.

	==Modi==		==Modi==
Zeile 46:		Zeile 46:
	! Modus !! Voraussetzungen !! Anwendung		! Modus !! Voraussetzungen !! Anwendung
	\|-		\|-
	\| '''Standard-TLS''' \|\| Cert + Key + Root-Cert hinterlegt \|\| Empfohlener Default ~~fuer~~ alle Server, die ~~ueber~~ das ~~oeffentliche~~ Netz erreichbar sind		\| '''Standard-TLS''' \|\| Cert + Key + Root-Cert hinterlegt \|\| Empfohlener Default für alle Server, die über das öffentliche Netz erreichbar sind
	\|-		\|-
	\| '''mTLS''' \|\| Cert + Key + Root-Cert (CA) \|\| Maschine-zu-Maschine-Kommunikation, in der jeder Client mit Cert validiert wird		\| '''mTLS''' \|\| Cert + Key + Root-Cert (CA) \|\| Maschine-zu-Maschine-Kommunikation, in der jeder Client mit Cert validiert wird
Zeile 53:		Zeile 53:
	\|}		\|}

	{{Hinweis\|Bei Standard-TLS und mTLS ~~faehrt~~ der Server ohne Cert/Key gar nicht erst hoch. Bei Standard-TLS ohne Root-Cert wird die Anlage abgelehnt - die Chain-Validierung ~~benoetigt~~ das CA-Root. Plain-HTTP umgeht TLS komplett und ist nicht ~~fuer~~ Produktivumgebungen geeignet.}}		{{Hinweis\|Bei Standard-TLS und mTLS fährt der Server ohne Cert/Key gar nicht erst hoch. Bei Standard-TLS ohne Root-Cert wird die Anlage abgelehnt - die Chain-Validierung benötigt das CA-Root. Plain-HTTP umgeht TLS komplett und ist nicht für Produktivumgebungen geeignet.}}

	==Validierung beim Speichern==		==Validierung beim Speichern==

	Beim Speichern wird ~~geprueft~~:		Beim Speichern wird geprüft:

	* Nr und Name ~~muessen~~ vergeben sein.		* Nr und Name müssen vergeben sein.
	* Nr muss eindeutig sein.		* Nr muss eindeutig sein.
	* Name muss eindeutig sein.		* Name muss eindeutig sein.
	* Bei nicht aktiviertem ''Kein SSL'' ~~muessen~~ Cert und Key vorhanden sein.		* Bei nicht aktiviertem ''Kein SSL'' müssen Cert und Key vorhanden sein.
	* Bei nicht aktiviertem ''mTLS'' (= Standard-TLS) muss Root-Cert vorhanden sein.		* Bei nicht aktiviertem ''mTLS'' (= Standard-TLS) muss Root-Cert vorhanden sein.

	==Bindungen==		==Bindungen==

	Eine Bindung ist die Kombination aus IP-Adresse und Port, auf der ein Server-Profil lauscht. Pro Server-Profil ~~koennen~~ mehrere Bindungen existieren, z.B. um die gleiche TLS-Konfiguration parallel auf 443 und 8443 anzubieten.		Eine Bindung ist die Kombination aus IP-Adresse und Port, auf der ein Server-Profil lauscht. Pro Server-Profil können mehrere Bindungen existieren, z.B. um die gleiche TLS-Konfiguration parallel auf 443 und 8443 anzubieten.

	===Aufruf===		===Aufruf===

	In der Server-Liste den ~~gewuenschten~~ Server markieren und '''F6''' ~~druecken~~. Es ~~oeffnet~~ sich die zum Server ~~gehoerende~~ Bindungs-Liste.		In der Server-Liste den gewünschten Server markieren und '''F6''' drücken. Es öffnet sich die zum Server gehörende Bindungs-Liste.

	===Felder===		===Felder===
Zeile 80:		Zeile 80:
	\| Host \|\| IP-Adresse oder Hostname, auf dem gelauscht wird. ''0.0.0.0'' = alle IPv4-Adressen; ''127.0.0.1'' = nur lokal; explizite IPs binden gezielt auf eine Netzwerkkarte		\| Host \|\| IP-Adresse oder Hostname, auf dem gelauscht wird. ''0.0.0.0'' = alle IPv4-Adressen; ''127.0.0.1'' = nur lokal; explizite IPs binden gezielt auf eine Netzwerkkarte
	\|-		\|-
	\| Port \|\| TCP-Port (1-65535). 443/8443 ~~fuer~~ HTTPS, frei ~~waehlbar fuer~~ Debug-Profile		\| Port \|\| TCP-Port (1-65535). 443/8443 für HTTPS, frei wählbar für Debug-Profile
	\|-		\|-
	\| Aktiv \|\| Bindung wird beim Server-Start geladen		\| Aktiv \|\| Bindung wird beim Server-Start geladen
Zeile 89:		Zeile 89:
	===Wirksamkeit===		===Wirksamkeit===

	Bindungen werden ausschliesslich beim Start des REST-Dienstes geladen. ~~Aenderungen~~ werden daher erst nach einem Neustart aktiv. Bis dahin laufen die alten Bindungen weiter.		Bindungen werden ausschliesslich beim Start des REST-Dienstes geladen. Änderungen werden daher erst nach einem Neustart aktiv. Bis dahin laufen die alten Bindungen weiter.

	==Listen-Funktionen==		==Listen-Funktionen==
Zeile 97:		Zeile 97:
	* '''Einfg''' - neues Server-Profil		* '''Einfg''' - neues Server-Profil
	* '''Return''' - vorhandenes Profil bearbeiten		* '''Return''' - vorhandenes Profil bearbeiten
	* '''F4''' - Sortierung ~~waehlen~~		* '''F4''' - Sortierung wählen
	* '''F6''' - Bindungs-Liste des markierten Servers		* '''F6''' - Bindungs-Liste des markierten Servers

Rademacker: Die Seite wurde neu angelegt: „{{Kostenpflichtige Module}} =Server-Profile= Ein '''Server''' im REST-Modul ist ein eigenstaendiges TLS-Profil mit einer eigenen HTTP-Server-Instanz. In OBS koennen beliebig viele Server-Profile parallel betrieben werden, jedes mit eigenem Modus, eigenen Zertifikaten und eigenen Bindungen. Typische Einsatzfaelle fuer mehrere Profile: * Ein '''Public-Profil''' mit Standard-TLS auf Port 443 fuer externe Konsumenten. * Ein '''Internal-mTLS-Profil''' auf…“

2026-05-19T05:42:46Z

Die Seite wurde neu angelegt: „{{Kostenpflichtige Module}} =Server-Profile= Ein '''Server''' im REST-Modul ist ein eigenstaendiges TLS-Profil mit einer eigenen HTTP-Server-Instanz. In OBS koennen beliebig viele Server-Profile parallel betrieben werden, jedes mit eigenem Modus, eigenen Zertifikaten und eigenen Bindungen. Typische Einsatzfaelle fuer mehrere Profile: * Ein '''Public-Profil''' mit Standard-TLS auf Port 443 fuer externe Konsumenten. * Ein '''Internal-mTLS-Profil''' auf…“

← Nächstältere Version		Version vom 19. Mai 2026, 06:42 Uhr
Zeile 1:		Zeile 1:
	~~Hі there~~, ~~I am Louis Fiorini~~. ~~He ϲurrently lives іn Hawaii and Һe loves just аbout living generaⅼly~~. ~~Heг ԁay job іs a messenger~~. ~~Ⲟne of tһe vеry best tҺings рreviously ᴡorld fоr me is lacross and I~~'~~ll Ƅe starting sоmething еlse along along with~~. ~~See what~~'~~s new on heг website heге: http~~:/~~/www~~.~~cctours~~.~~org/<br><br>Also visit my web рage :: [http~~:/~~/www~~.~~cctours~~.~~org/ antalya escort]~~		{{Kostenpflichtige Module}}

			=Server-Profile=

			Ein '''Server''' im REST-Modul ist ein eigenstaendiges TLS-Profil mit einer eigenen HTTP-Server-Instanz. In OBS koennen beliebig viele Server-Profile parallel betrieben werden, jedes mit eigenem Modus, eigenen Zertifikaten und eigenen Bindungen.

			Typische Einsatzfaelle fuer mehrere Profile:

			* Ein '''Public-Profil''' mit Standard-TLS auf Port 443 fuer externe Konsumenten.
			* Ein '''Internal-mTLS-Profil''' auf einem internen Port fuer Microservices, die zwingend ein Client-Zertifikat vorlegen muessen.
			* Ein '''Debug-Profil''' mit Plain-HTTP auf 127.0.0.1, ausschliesslich fuer lokale Tests.

			==Aufruf==

			'''Stammdaten -> Z Weitere Stammdaten -> REST-Server -> Server'''

			==Felder des Server-Profils==

			{\| class="wikitable"
			! Feld !! Beschreibung
			\|-
			\| Nr \|\| Eindeutige Nummer 1-99, einmalig vergeben, kann spaeter nicht mehr geaendert werden
			\|-
			\| Name \|\| Sprechender Name, eindeutig - erscheint in Protokoll, Statistik und Endpunkt-Zuordnung
			\|-
			\| Aktiv \|\| Profil wird beim Start des REST-Dienstes geladen. Inaktive Profile starten nicht
			\|-
			\| Info \|\| Freitext zur Dokumentation (interner Kommentar, wird nicht ausgewertet)
			\|-
			\| Kein SSL \|\| Plain-HTTP-Modus, ausschliesslich fuer Debug. TLS-Felder werden ignoriert
			\|-
			\| mTLS \|\| Mutual TLS: jeder Client muss ein gueltiges Client-Zertifikat vorlegen
			\|-
			\| Cert \|\| PEM-Inhalt des Server-Zertifikats (inkl. ggf. Zwischen-CA-Kette)
			\|-
			\| Key \|\| PEM-Inhalt des privaten Schluessels
			\|-
			\| Root-Cert \|\| PEM-Inhalt des CA-Root-Zertifikats (Pflicht bei Standard-TLS, dort fuer Chain-Validierung, sowie bei mTLS, dort zusaetzlich fuer Client-Cert-Verifikation)
			\|}

			Die Inhalte der Zertifikate werden direkt in OBS als Text gespeichert. Zur Laufzeit schreibt der Server die PEM-Inhalte fuer den Bruchteil einer Sekunde in ein Temp-Verzeichnis, damit OpenSSL sie beim Start lesen kann; danach werden die Temp-Dateien sofort wieder geloescht.

			==Modi==

			{\| class="wikitable"
			! Modus !! Voraussetzungen !! Anwendung
			\|-
			\| '''Standard-TLS''' \|\| Cert + Key + Root-Cert hinterlegt \|\| Empfohlener Default fuer alle Server, die ueber das oeffentliche Netz erreichbar sind
			\|-
			\| '''mTLS''' \|\| Cert + Key + Root-Cert (CA) \|\| Maschine-zu-Maschine-Kommunikation, in der jeder Client mit Cert validiert wird
			\|-
			\| '''Plain-HTTP''' \|\| Haken ''Kein SSL'' \|\| Ausschliesslich lokale Tests. Erkennt TLS-Versuche auf dem Plain-Port und trennt sie direkt
			\|}

			{{Hinweis\|Bei Standard-TLS und mTLS faehrt der Server ohne Cert/Key gar nicht erst hoch. Bei Standard-TLS ohne Root-Cert wird die Anlage abgelehnt - die Chain-Validierung benoetigt das CA-Root. Plain-HTTP umgeht TLS komplett und ist nicht fuer Produktivumgebungen geeignet.}}

			==Validierung beim Speichern==

			Beim Speichern wird geprueft:

			* Nr und Name muessen vergeben sein.
			* Nr muss eindeutig sein.
			* Name muss eindeutig sein.
			* Bei nicht aktiviertem ''Kein SSL'' muessen Cert und Key vorhanden sein.
			* Bei nicht aktiviertem ''mTLS'' (= Standard-TLS) muss Root-Cert vorhanden sein.

			==Bindungen==

			Eine Bindung ist die Kombination aus IP-Adresse und Port, auf der ein Server-Profil lauscht. Pro Server-Profil koennen mehrere Bindungen existieren, z.B. um die gleiche TLS-Konfiguration parallel auf 443 und 8443 anzubieten.

			===Aufruf===

			In der Server-Liste den gewuenschten Server markieren und '''F6''' druecken. Es oeffnet sich die zum Server gehoerende Bindungs-Liste.

			===Felder===

			{\| class="wikitable"
			! Feld !! Beschreibung
			\|-
			\| Host \|\| IP-Adresse oder Hostname, auf dem gelauscht wird. ''0.0.0.0'' = alle IPv4-Adressen; ''127.0.0.1'' = nur lokal; explizite IPs binden gezielt auf eine Netzwerkkarte
			\|-
			\| Port \|\| TCP-Port (1-65535). 443/8443 fuer HTTPS, frei waehlbar fuer Debug-Profile
			\|-
			\| Aktiv \|\| Bindung wird beim Server-Start geladen
			\|-
			\| Standard\|\| Markiert die Standard-Bindung des Servers. Pro Server-Profil ist nur eine Standard-Bindung erlaubt
			\|}

			===Wirksamkeit===

			Bindungen werden ausschliesslich beim Start des REST-Dienstes geladen. Aenderungen werden daher erst nach einem Neustart aktiv. Bis dahin laufen die alten Bindungen weiter.

			==Listen-Funktionen==

			In der Server-Liste:

			* '''Einfg''' - neues Server-Profil
			* '''Return''' - vorhandenes Profil bearbeiten
			* '''F4''' - Sortierung waehlen
			* '''F6''' - Bindungs-Liste des markierten Servers

Böhrer: Die Seite wurde neu angelegt: „Hі there, I am Louis Fiorini. He ϲurrently lives іn Hawaii and Һe loves just аbout living generaⅼly. Heг ԁay job іs a messenger. Ⲟne of tһe vеry…“

2017-05-26T06:33:16Z

Die Seite wurde neu angelegt: „Hі there, I am Louis Fiorini. He ϲurrently lives іn Hawaii and Һe loves just аbout living generaⅼly. Heг ԁay job іs a messenger. Ⲟne of tһe vеry…“

Neue Seite

Hі there, I am Louis Fiorini. He ϲurrently lives іn Hawaii and Һe loves just аbout living generaⅼly. Heг ԁay job іs a messenger. Ⲟne of tһe vеry best tҺings рreviously ᴡorld fоr me is lacross and I'll Ƅe starting sоmething еlse along along with. See what's new on heг website heге: http://www.cctours.org/<br><br>Also visit my web рage :: [http://www.cctours.org/ antalya escort]