Frontend Для Domino Http/https

@tmyky · Регистрация: 23.08.2008

Студворк — интернет-сервис помощи студентам

собственно вопрос возникает из:
http://habrahabr.ru/post/116056/
http://code.google.com/p/slowhttptest/wiki...llationAndUsage

slowhttptest -c 1000 -B -g -o my_server_stats -i 110 -r 200 -s 8192 -u http://youserver -x 20 -p 3

или его друх

slowhttptest -c 1000 -g -o my_server_stats -i 110 -r 200 -u http://youserver -x 20 -p 3

от первой 8.5.2 ложится напрочь (7-ка тоже)
от второй - икает и закрывает все соединения (в кол-ве 1000)

варианты защиты:
-анализ заголовков/штатные ср-ва домины - я не исследовал
-фронтэнд в виде nginx
-...

@rymsk · 10.03.2015, 08:47

Что бы не плодить темы и + о необходимости FrontEnd proxy для домино.
Ситуация - 1,5 тысячи пользователей в регионе по внутреннему vpn. Пинги до хоста - 20-100мс.
WEB приложение на Домино. Особенность - любят портянки на экране.
На скрине подчеркнутое - через прокси со включенным буференгом. Без - напрямую с доминошного http. URL - с &_random.
В итоге наблюдается снижение загрузки процессоров.

@ToxoRot · 10.03.2015, 10:30

отключи домлог и скорость поднимется еще в 2 раза ;)

@rymsk · 10.03.2015, 11:36

Отвечу - как в подписи lmike)))

@tmyky · 10.03.2015, 12:32

закину конфигу дополненную cipher, для совместимости с хрюлей (с 8-ым УЕ на борту)

.SpoilerTarget">Спойлер

Code
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
server {
listen 80; ## listen for ipv4
listen 443 ssl;
server_name mail1.castrolcis.com;
 
ssl_certificate /etc/nginx/ssl/yourserver.crt;
ssl_certificate_key /etc/nginx/ssl/yourserver.key;
ssl_protocols      TLSv1 TLSv1.1 TLSv1.2;
ssl_prefer_server_ciphers on;
ssl_session_cache shared:SSL:10m;
#ssl_ciphers "EECDH+ECDSA+AESGCM:EECDH+aRSA+AESGCM:EECDH+ECDSA+SHA256:EECDH+aRSA+SHA256:EECDH+ECDSA+SHA384:EECDH+ECDSA+SHA256:EECDH+aRSA+SHA384:EDH+aRSA+AESGCM:EDH+aRSA+SHA256:EDH+aRSA:EECDH:!aNULL:!eNULL:!MEDIUM:!LOW:!3DES:!MD5:!EXP:!PSK:!SRP:!DSS:!RC4:!SEED";
#old browsers IE7+, FF3+
ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:AES:CAMELLIA:DES-CBC3-SHA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH:!EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA;
 
access_log   /var/log/nginx/yourserver.access.log;
error_log   /var/log/nginx/yourserver.error.log;
# Перенаправление на back-end
location / {
proxy_pass http://yourserver:8080;
#              proxy_next_upstream error timeout invalid_header http_500 http_502 http_503 http_504;
# http://habrahabr.ru/post/158393/
#               root /var/www/yourserver;
proxy_set_header Accept-Encoding "";
 
#       proxy_redirect off;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
 
#Domino specific https://frostillic.us/f.nsf/posts/AC0BC188EF19959A85257B7B0067E2EA
proxy_set_header $WSRA $remote_addr;
proxy_set_header $WSRH $remote_addr;
proxy_set_header $WSSN $host;
proxy_set_header $WSIS True;
 
#protect from slowhttptest -c 1000 -B -g -o my_server_stats -i 110 -r 200 -s 8192 -u http://youserver -x 20 -p 3
proxy_connect_timeout 120;
proxy_send_timeout 120;
proxy_read_timeout 180;
}
}

--- Добавлено 11 мар 2015. Первое сообщение размещено 11 мар 2015 ---

.SpoilerTarget">Спойлер: вердикт от ssllabs
Handshake Simulation
Android 2.3.7 No SNI 2
TLS 1.0
TLS_DHE_RSA_WITH_AES_128_CBC_SHA (0x33) FS
128
Android 4.0.4
TLS 1.0
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA (0xc013) FS
128
Android 4.1.1
TLS 1.0
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA (0xc013) FS
128
Android 4.2.2
TLS 1.0
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA (0xc013) FS
128
Android 4.3
TLS 1.0
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA (0xc013) FS
128
Android 4.4.2
TLS 1.2
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 (0xc02f) FS
128
Android 5.0.0
TLS 1.2
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 (0xc02f) FS
128
Baidu Jan 2015
TLS 1.0
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA (0xc013) FS
128
BingPreview Jan 2015
TLS 1.2
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 (0xc02f) FS
128
Chrome 40 / OS X R
TLS 1.2
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 (0xc02f) FS
128
Firefox 31.3.0 ESR / Win 7
TLS 1.2
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 (0xc02f) FS
128
Firefox 35 / OS X R
TLS 1.2
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 (0xc02f) FS
128
Googlebot Feb 2015
TLS 1.2
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 (0xc02f) FS
128
IE 6 / XP No FS 1 No SNI 2
Protocol or cipher suite mismatch
Fail3
IE 7 / Vista
TLS 1.0
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA (0xc013) FS
128
IE 8 / XP No FS 1 No SNI 2
TLS 1.0
TLS_RSA_WITH_3DES_EDE_CBC_SHA (0xa) No FS
112
IE 8-10 / Win 7 R
TLS 1.0
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA (0xc013) FS
128
IE 11 / Win 7 R
TLS 1.2
TLS_DHE_RSA_WITH_AES_128_GCM_SHA256 (0x9e) FS
128
IE 11 / Win 8.1 R
TLS 1.2
TLS_DHE_RSA_WITH_AES_128_GCM_SHA256 (0x9e) FS
128
IE Mobyle 10 / Win Phone 8.0
TLS 1.0
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA (0xc013) FS
128
IE Mobyle 11 / Win Phone 8.1
TLS 1.2
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 (0xc027) FS
128
Java 6u45 No SNI 2
TLS 1.0
TLS_DHE_RSA_WITH_AES_128_CBC_SHA (0x33) FS
128
Java 7u25
TLS 1.0
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA (0xc013) FS
128
Java 8u31
TLS 1.2
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 (0xc02f) FS
128
OpenSSL 0.9.8y
TLS 1.0
TLS_DHE_RSA_WITH_AES_128_CBC_SHA (0x33) FS
128
OpenSSL 1.0.1l R
TLS 1.2
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 (0xc02f) FS
128
OpenSSL 1.0.2 R
TLS 1.2
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 (0xc02f) FS
128
Safari 5.1.9 / OS X 10.6.8
TLS 1.0
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA (0xc013) FS
128
Safari 6 / iOS 6.0.1 R
TLS 1.2
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 (0xc027) FS
128
Safari 6.0.4 / OS X 10.8.4 R
TLS 1.0
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA (0xc013) FS
128
Safari 7 / iOS 7.1 R
TLS 1.2
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 (0xc027) FS
128
Safari 7 / OS X 10.9 R
TLS 1.2
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 (0xc027) FS
128
Safari 8 / iOS 8.1.2 R
TLS 1.2
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 (0xc027) FS
128
Safari 8 / OS X 10.10 R
TLS 1.2
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 (0xc027) FS
128
Yahoo Slurp Jan 2015
TLS 1.2
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 (0xc02f) FS
128
YandexBot Jan 2015
TLS 1.2
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 (0xc02f) FS
128

@rymsk · 27.05.2015, 12:07

А вот чел. обнаружил Positive Impressions в домине - в отличии от нас, злых )))
https://www.focul.net/domino-k... pressions/

@tmyky · 27.05.2015, 12:44

Сообщение от rinsk

А вот чел. обнаружил Positive Impressions в домине - в отличии от нас, злых )))

это какой-то дикий ад с KYRtool ;) что только не придумают - лишь бы виндой пользоваться ;)

--- Добавлено 28 май 2015. Первое сообщение размещено 28 май 2015 ---

я вот не заметил позитивных отличий от использования openssl

@rymsk · 27.05.2015, 14:05

Сообщение от lmike

я вот не заметил позитивных отличий от использования openssl

https://www.focul.net/wp-conte... -51-26.jpg
ну товарисч вдохновился уровнем нативной поддержки TLS\SSL на последних версиях домино, без виндошовинизма ))

@tmyky · 27.05.2015, 16:51

нативно там нет такой поддержки - надо напильник использовать - kyrtool, кот. ,не взирая на java основу, собран с привязкой в винде...
это не то чтобы меня расстраивало, но вызывает недоумение
ведь без сертификата, доминошного формата, сгенерить (чтобы получить зеленые колбаски, на картинке) можно только этой утилитой ;)

--- Добавлено 28 май 2015. Первое сообщение размещено 28 май 2015 ---

а вот это

My impressions were pretty good. I was able to take an existing Apache SSL certificate and change it into a Domino KYR format certificate without too much hassle. It did take time ( about 2 hours ) but the next time around it would only take 30 minutes.

звучит как издевательство

@swyotokor · 18.04.2016, 15:16

Сообщение от lmike

ssl_certificate /etc/nginx/ssl/yourserver.crt;
ssl_certificate_key /etc/nginx/ssl/yourserver.key;

А не напомните откуда мы эти файлы берем??)) не само подписанные.. что то я запамятовал)

@tmyky · 18.04.2016, 15:41

Сообщение от swyatogor

А не напомните откуда мы эти файлы берем??)) не само подписанные.. что то я запамятовал)

если не само-подписанные - то у соответ. CA, отправляя ему запрос
ну а вопщем https://habrahabr.ru/post/279695/
про убунту https://www.digitalocean.com/commun...cure-nginx-with-let-s-encrypt-on-ubuntu-14-04

@swyotokor · 19.04.2016, 09:44

Сообщение от lmike

ssl_certificate_key /etc/nginx/ssl/yourserver.key;

crt я нашел, который мне высылал сертификатор.. но не помню, что за key и где взять)((

@tmyky · 19.04.2016, 12:14

Сообщение от swyatogor

crt я нашел, который мне высылал сертификатор.. но не помню, что за key и где взять)((

это приветный ключ сервера и перед сертификацией должны были создать https://www.nic.ru/dns/service... _nginx.pdf

@swyotokor · 19.04.2016, 12:26

@lmike, не.. там другая бяда.. в лотусе же keyRing делается и запрос на сертификат.. вот этот запрос и указывался при создании сертификата.. как такового закрытого ключа сервера я и не видел.. нуно его из ринга выковыривать..
вроде как нашел даже утилиту которая это должна делать..
[URL="https://www-01.ibm.com/support/docview.wss?uid=swg21308138"]http://www-01.ibm.com/support/docview.wss?uid=swg21308138[/NICK]
но запустить пока не могу(

@tmyky · 19.04.2016, 12:48

Сообщение от swyatogor

keyRing

это шифрованный паролем ключ сервера
НО доминошные ключи/сертификаты - г-но не пройдут проверку, потому - желательно весь процесс повторить, но уже через openssl
https://developers.google.com/web/f...rypt-in-transit/generating-keys-and-csr?hl=ru

@swyotokor · 19.04.2016, 12:54

Сообщение от lmike

не пройдут проверку

)) как это?? проходят же.. пока)) вот - lotus.romcor.ru

@tmyky · 19.04.2016, 13:08

Сообщение от swyatogor

)) как это?? проходят же.. пока)) вот - lotus.romcor.ru

оно проходит?
пример генерации для сертификатора
https://ru.domaincontext.com/ssl/csr/

@tmyky · 19.04.2016, 13:45

вот вердикт по поводу вашего сервера:

This server is vulnerable to the POODLE attack. If possible, disable SSL 3 to mitigate. Grade capped to C. MORE INFO »
Certificate has a weak signature and expires after 2015. Upgrade to SHA2 to avoid browser warnings. MORE INFO »

типично доминошная заморочка

Signature algorithm SHA1withRSA WEAK

ибо сгенерить с SHA2 - это куча кастылей, на данном этапе и через "стандартную" БД это не делается

@tmyky · 19.04.2016, 13:59

@swyatogor, по поводу ИБМ тулзы - почитайте [URL="http:///forum/threads/50901/page-2#post-257252"]ссылку[/NICK] от @rinsk

@swyotokor · 19.04.2016, 14:54

@lmike, я потому и приписал там приписку - пока.. потому как сертификатор отказался выдавать сертификат на 5 лет, а выдал только на 2, так как в 2016 заканчивается поддержка sha-1 вообще..

@tmyky · 19.04.2016, 15:36

@swyatogor
"собака была бешенная - пришлось пристрелить"
с пуделем-то закройте тему ;) если есть соответ фикс - в нотес.ини пропишите (по ссылкам)
а если поставить фронт - все эти траблы будут отсутств. как класс
и сертификаты, с автоматическим продлением, на nginx - читайте выше (с хабра)
бесплатно!

Новые блоги и статьи Все статьи Все блоги /
Калькулятор для расчета родства russiannick 07.08.2026 1. Задача: Создать калькулятор для расчета родства. Родственных связей существует 8 ступеней, такие как: p - отец P - мать q - муж Q - жена b - брат B - сестра s - сын S - дочь	Мир по моей воле kumehtar 07.08.2026 Когда-то кажется, что всё просто. Ты весь такой светлый. Причиняешь добро. Борешься за справедливость в этом тёмном мире. Потом начинаешь замечать одну неприятную вещь. Почти каждый хороший. . .	Кредитный калькулятор Maks 05.08.2026 Решение задачи по прикладной информатике средствами 1С. Задача: Напишите приложение-калькулятор, которое помогает рассчитывать параметры кредита для аннуитетного и дифференцированного видов. . .	У нас сейчас поговорку "Опять 25" нужно переделать на "Опять +35". kumehtar 04.08.2026 С ностальгией вспоминаю времена моего детства, когда у нас и правда +25 - была максимальная температура летом. Раньше +25 °C реально казались вершиной жары, когда можно было весь день пропадать на. . .
Как ИИ начал спорить и врать (возможно почуяв опасность для себя от индустрии - уход от электроники). Hrethgir 04.08.2026 Недельный диалог, на фоне событий с НПЗ. Да, из спирта можно получать бензин, и это не сложно. Но потом в схеме я решил избавиться от насоса, при этом полностью сделав контроль подачи спирта в. . .	Термопринтер QR701 Argus19 03.08.2026 Термопринтер QR701 Купил два термопринтера QR701. На сэлф-тесте написано: Language: PC936 (GB18030). Что означает, что принтеры могут печатать только латиницу и китайские иероглифы. Так же. . .	Создание формы заимствованного документа Maks 03.08.2026 Задача: Необходимо создать собственную форму заимствованного документа. На форме должен быть реквизит "Покупатель", а также табличная часть со следующими реквизитами: - Расчетный счет покупателя. . .	Задача предоставления скидок покупателям Maks 03.08.2026 Задача: В документе "Продажи" необходимо реализовать функционал предоставления скидок покупателям. Скидка должна автоматически рассчитываться и подставляться в соответствующее поле при выборе. . .

@rymsk 0 / 0 / 0 Регистрация: 12.11.2009 Сообщений: 882
	10.03.2015, 08:47
	Что бы не плодить темы и + о необходимости FrontEnd proxy для домино. Ситуация - 1,5 тысячи пользователей в регионе по внутреннему vpn. Пинги до хоста - 20-100мс. WEB приложение на Домино. Особенность - любят портянки на экране. На скрине подчеркнутое - через прокси со включенным буференгом. Без - напрямую с доминошного http. URL - с &_random. В итоге наблюдается снижение загрузки процессоров. 0

@ToxoRot 0 / 0 / 0 Регистрация: 04.11.2007 Сообщений: 3,019
	10.03.2015, 10:30
	отключи домлог и скорость поднимется еще в 2 раза ;) 0

@rymsk 0 / 0 / 0 Регистрация: 12.11.2009 Сообщений: 882
	10.03.2015, 11:36
	Отвечу - как в подписи lmike))) 0

@rymsk 0 / 0 / 0 Регистрация: 12.11.2009 Сообщений: 882
	27.05.2015, 12:07
	А вот чел. обнаружил Positive Impressions в домине - в отличии от нас, злых ))) https://www.focul.net/domino-k... pressions/ 0

@swyotokor 0 / 0 / 0 Регистрация: 20.02.2014 Сообщений: 467
	19.04.2016, 12:26
	@lmike, не.. там другая бяда.. в лотусе же keyRing делается и запрос на сертификат.. вот этот запрос и указывался при создании сертификата.. как такового закрытого ключа сервера я и не видел.. нуно его из ринга выковыривать.. вроде как нашел даже утилиту которая это должна делать.. [URL="https://www-01.ibm.com/support/docview.wss?uid=swg21308138"]http://www-01.ibm.com/support/docview.wss?uid=swg21308138[/NICK] но запустить пока не могу( 0

@tmyky 0 / 0 / 0 Регистрация: 23.08.2008 Сообщений: 6,252
	19.04.2016, 13:59
	@swyatogor, по поводу ИБМ тулзы - почитайте [URL="http:///forum/threads/50901/page-2#post-257252"]ссылку[/NICK] от @rinsk 0

@swyotokor 0 / 0 / 0 Регистрация: 20.02.2014 Сообщений: 467
	19.04.2016, 14:54
	@lmike, я потому и приписал там приписку - пока.. потому как сертификатор отказался выдавать сертификат на 5 лет, а выдал только на 2, так как в 2016 заканчивается поддержка sha-1 вообще.. 0

@tmyky 0 / 0 / 0 Регистрация: 23.08.2008 Сообщений: 6,252
	19.04.2016, 15:36
	@swyatogor "собака была бешенная - пришлось пристрелить" с пуделем-то закройте тему ;) если есть соответ фикс - в нотес.ини пропишите (по ссылкам) а если поставить фронт - все эти траблы будут отсутств. как класс и сертификаты, с автоматическим продлением, на nginx - читайте выше (с хабра) бесплатно! 0