vdradmin per https absichern (ohne apache)

Hallo

ich würde gerne die Verbindung zum vdradmin per https absichern. Die Anleitung mit dem Apache-proxy hab ich gelesen, allerdings wollte ich eigentlich keinen kompletten apache auf meinem VDR installieren, nur um den VDR-Admin abzusichern. Der zieht ja bestimmt einiges an Resourcen ab.
Daher wäre es schönen, wenn man den Webserver vom vdr-admin auf https umstellen könnte?!?

(BTW.: ein Webmin ist auch installiert, und der nutzt auch schon https. Vielleicht kann man das ja ansonsten alternativ nutzen?)

Mit absichern meinte ich halt, die Kommunikation verschlüsseln. Da ansonsten ja jeder Plain das Passwort bei der Übertragung sniffen könnte...

Wieviel Resourcen zieht denn so der Apache? Hat da jemand Erfahrung (und evtl. ne Resourcenschonendere Variante)?

Also stunnel hab ich auf dem System schon installiert. Insofern würde sich das anbieten. Allerdings habe ich im Web keine Doku gefunden, wie man das mit stunnel einrichtet. Wenn da jemand mal nen HowTo zur Hand hätte.

Ansonsten hört sich pound auch nicht so schlecht an, allerdings steht auf der Webseite von Pound selbst ein vergleich mit stunnel:

Zitat

# stunnel: probably comes closest to my understanding of software design (does one job only and does it very well). However, it lacks the load balancing and HTTP filtering features that I considered necessary. Using stunnel in front of Pound (for HTTPS) would have made sense, except that integrating HTTPS into Pound proved to be so simple that it was not worth the trouble.

Und da ich kein LoadBalancing brauche, wäre daher wohl stunnel die geschicktere Wahl (wenn ich nur wüsste wie ich das einrichten kann).

So, mit stunnel hab ich es nicht hinbekommen. Ich hatte zwar zeitweise einen stunnel-Dienst, der auf 443 gelauscht hat und auch an Port 80 weitergereicht hat. Allerdings kam da im Webbrowser nichts brauchbares an?

Nun hab ich Pound installiert und das geht eigentlich sehr gut. Ein paar Anmerkungen sind mir dabei noch aufgefallen.

1. Ich nutze Pound 2.x aus Etch. Die Standard-Konfig-Datei, die bei Etch dabei war, hatte nen Fehler, so das Pound nicht startete (dieses HTTP 1 -value in ListenHTTP). Stand im syslog, nachdem ich den Loglevel hochgesetzt hatte und den Pound neu startete.

2. Und nun das zweite wichtigere Problem (was bei mir etwas gedauert hatte bis ich es rausgefunden hatte). "/etc/init.d/pound restart" geht nicht (um die Konfigurationsdatei neu einzulesen). Da muss irgendwo nen Fehler in dem Skript sein. Um die config neu einzulesen muss man pound erst stoppen und dann neu starten!

3.So, hier mal der wichtige Auschnist aus der "/etc/pound/pound.cfg" (hab ich selbst auf ner andere Help-Seite zu Pound gefunden, funktioniert aber soweit gut):

ListenHTTPS
  Address 0.0.0.0
  Port    443
  Cert    "/etc/pound/server.pem"
  # pass along https hint
  AddHeader "X-Forwarded-Proto: https"
  HeadRemove "X-Forwarded-Proto"


  Service
    BackEnd
      Address 127.0.0.1
      Port    8080
    End
  End


End