Frontend Для Domino Http/https

@tmyky · Регистрация: 23.08.2008

Студворк — интернет-сервис помощи студентам

собственно вопрос возникает из:
http://habrahabr.ru/post/116056/
http://code.google.com/p/slowhttptest/wiki...llationAndUsage

slowhttptest -c 1000 -B -g -o my_server_stats -i 110 -r 200 -s 8192 -u http://youserver -x 20 -p 3

или его друх

slowhttptest -c 1000 -g -o my_server_stats -i 110 -r 200 -u http://youserver -x 20 -p 3

от первой 8.5.2 ложится напрочь (7-ка тоже)
от второй - икает и закрывает все соединения (в кол-ве 1000)

варианты защиты:
-анализ заголовков/штатные ср-ва домины - я не исследовал
-фронтэнд в виде nginx
-...

@rymsk · 10.03.2015, 08:47

Что бы не плодить темы и + о необходимости FrontEnd proxy для домино.
Ситуация - 1,5 тысячи пользователей в регионе по внутреннему vpn. Пинги до хоста - 20-100мс.
WEB приложение на Домино. Особенность - любят портянки на экране.
На скрине подчеркнутое - через прокси со включенным буференгом. Без - напрямую с доминошного http. URL - с &_random.
В итоге наблюдается снижение загрузки процессоров.

@ToxoRot · 10.03.2015, 10:30

отключи домлог и скорость поднимется еще в 2 раза ;)

@rymsk · 10.03.2015, 11:36

Отвечу - как в подписи lmike)))

@tmyky · 10.03.2015, 12:32

закину конфигу дополненную cipher, для совместимости с хрюлей (с 8-ым УЕ на борту)

.SpoilerTarget">Спойлер

Code
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
server {
listen 80; ## listen for ipv4
listen 443 ssl;
server_name mail1.castrolcis.com;
 
ssl_certificate /etc/nginx/ssl/yourserver.crt;
ssl_certificate_key /etc/nginx/ssl/yourserver.key;
ssl_protocols      TLSv1 TLSv1.1 TLSv1.2;
ssl_prefer_server_ciphers on;
ssl_session_cache shared:SSL:10m;
#ssl_ciphers "EECDH+ECDSA+AESGCM:EECDH+aRSA+AESGCM:EECDH+ECDSA+SHA256:EECDH+aRSA+SHA256:EECDH+ECDSA+SHA384:EECDH+ECDSA+SHA256:EECDH+aRSA+SHA384:EDH+aRSA+AESGCM:EDH+aRSA+SHA256:EDH+aRSA:EECDH:!aNULL:!eNULL:!MEDIUM:!LOW:!3DES:!MD5:!EXP:!PSK:!SRP:!DSS:!RC4:!SEED";
#old browsers IE7+, FF3+
ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:AES:CAMELLIA:DES-CBC3-SHA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH:!EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA;
 
access_log   /var/log/nginx/yourserver.access.log;
error_log   /var/log/nginx/yourserver.error.log;
# Перенаправление на back-end
location / {
proxy_pass http://yourserver:8080;
#              proxy_next_upstream error timeout invalid_header http_500 http_502 http_503 http_504;
# http://habrahabr.ru/post/158393/
#               root /var/www/yourserver;
proxy_set_header Accept-Encoding "";
 
#       proxy_redirect off;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
 
#Domino specific https://frostillic.us/f.nsf/posts/AC0BC188EF19959A85257B7B0067E2EA
proxy_set_header $WSRA $remote_addr;
proxy_set_header $WSRH $remote_addr;
proxy_set_header $WSSN $host;
proxy_set_header $WSIS True;
 
#protect from slowhttptest -c 1000 -B -g -o my_server_stats -i 110 -r 200 -s 8192 -u http://youserver -x 20 -p 3
proxy_connect_timeout 120;
proxy_send_timeout 120;
proxy_read_timeout 180;
}
}

--- Добавлено 11 мар 2015. Первое сообщение размещено 11 мар 2015 ---

.SpoilerTarget">Спойлер: вердикт от ssllabs
Handshake Simulation
Android 2.3.7 No SNI 2
TLS 1.0
TLS_DHE_RSA_WITH_AES_128_CBC_SHA (0x33) FS
128
Android 4.0.4
TLS 1.0
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA (0xc013) FS
128
Android 4.1.1
TLS 1.0
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA (0xc013) FS
128
Android 4.2.2
TLS 1.0
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA (0xc013) FS
128
Android 4.3
TLS 1.0
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA (0xc013) FS
128
Android 4.4.2
TLS 1.2
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 (0xc02f) FS
128
Android 5.0.0
TLS 1.2
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 (0xc02f) FS
128
Baidu Jan 2015
TLS 1.0
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA (0xc013) FS
128
BingPreview Jan 2015
TLS 1.2
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 (0xc02f) FS
128
Chrome 40 / OS X R
TLS 1.2
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 (0xc02f) FS
128
Firefox 31.3.0 ESR / Win 7
TLS 1.2
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 (0xc02f) FS
128
Firefox 35 / OS X R
TLS 1.2
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 (0xc02f) FS
128
Googlebot Feb 2015
TLS 1.2
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 (0xc02f) FS
128
IE 6 / XP No FS 1 No SNI 2
Protocol or cipher suite mismatch
Fail3
IE 7 / Vista
TLS 1.0
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA (0xc013) FS
128
IE 8 / XP No FS 1 No SNI 2
TLS 1.0
TLS_RSA_WITH_3DES_EDE_CBC_SHA (0xa) No FS
112
IE 8-10 / Win 7 R
TLS 1.0
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA (0xc013) FS
128
IE 11 / Win 7 R
TLS 1.2
TLS_DHE_RSA_WITH_AES_128_GCM_SHA256 (0x9e) FS
128
IE 11 / Win 8.1 R
TLS 1.2
TLS_DHE_RSA_WITH_AES_128_GCM_SHA256 (0x9e) FS
128
IE Mobyle 10 / Win Phone 8.0
TLS 1.0
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA (0xc013) FS
128
IE Mobyle 11 / Win Phone 8.1
TLS 1.2
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 (0xc027) FS
128
Java 6u45 No SNI 2
TLS 1.0
TLS_DHE_RSA_WITH_AES_128_CBC_SHA (0x33) FS
128
Java 7u25
TLS 1.0
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA (0xc013) FS
128
Java 8u31
TLS 1.2
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 (0xc02f) FS
128
OpenSSL 0.9.8y
TLS 1.0
TLS_DHE_RSA_WITH_AES_128_CBC_SHA (0x33) FS
128
OpenSSL 1.0.1l R
TLS 1.2
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 (0xc02f) FS
128
OpenSSL 1.0.2 R
TLS 1.2
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 (0xc02f) FS
128
Safari 5.1.9 / OS X 10.6.8
TLS 1.0
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA (0xc013) FS
128
Safari 6 / iOS 6.0.1 R
TLS 1.2
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 (0xc027) FS
128
Safari 6.0.4 / OS X 10.8.4 R
TLS 1.0
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA (0xc013) FS
128
Safari 7 / iOS 7.1 R
TLS 1.2
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 (0xc027) FS
128
Safari 7 / OS X 10.9 R
TLS 1.2
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 (0xc027) FS
128
Safari 8 / iOS 8.1.2 R
TLS 1.2
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 (0xc027) FS
128
Safari 8 / OS X 10.10 R
TLS 1.2
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 (0xc027) FS
128
Yahoo Slurp Jan 2015
TLS 1.2
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 (0xc02f) FS
128
YandexBot Jan 2015
TLS 1.2
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 (0xc02f) FS
128

@rymsk · 27.05.2015, 12:07

А вот чел. обнаружил Positive Impressions в домине - в отличии от нас, злых )))
https://www.focul.net/domino-k... pressions/

@tmyky · 27.05.2015, 12:44

Сообщение от rinsk

А вот чел. обнаружил Positive Impressions в домине - в отличии от нас, злых )))

это какой-то дикий ад с KYRtool ;) что только не придумают - лишь бы виндой пользоваться ;)

--- Добавлено 28 май 2015. Первое сообщение размещено 28 май 2015 ---

я вот не заметил позитивных отличий от использования openssl

@rymsk · 27.05.2015, 14:05

Сообщение от lmike

я вот не заметил позитивных отличий от использования openssl

https://www.focul.net/wp-conte... -51-26.jpg
ну товарисч вдохновился уровнем нативной поддержки TLS\SSL на последних версиях домино, без виндошовинизма ))

@tmyky · 27.05.2015, 16:51

нативно там нет такой поддержки - надо напильник использовать - kyrtool, кот. ,не взирая на java основу, собран с привязкой в винде...
это не то чтобы меня расстраивало, но вызывает недоумение
ведь без сертификата, доминошного формата, сгенерить (чтобы получить зеленые колбаски, на картинке) можно только этой утилитой ;)

--- Добавлено 28 май 2015. Первое сообщение размещено 28 май 2015 ---

а вот это

My impressions were pretty good. I was able to take an existing Apache SSL certificate and change it into a Domino KYR format certificate without too much hassle. It did take time ( about 2 hours ) but the next time around it would only take 30 minutes.

звучит как издевательство

@swyotokor · 18.04.2016, 15:16

Сообщение от lmike

ssl_certificate /etc/nginx/ssl/yourserver.crt;
ssl_certificate_key /etc/nginx/ssl/yourserver.key;

А не напомните откуда мы эти файлы берем??)) не само подписанные.. что то я запамятовал)

@tmyky · 18.04.2016, 15:41

Сообщение от swyatogor

А не напомните откуда мы эти файлы берем??)) не само подписанные.. что то я запамятовал)

если не само-подписанные - то у соответ. CA, отправляя ему запрос
ну а вопщем https://habrahabr.ru/post/279695/
про убунту https://www.digitalocean.com/commun...cure-nginx-with-let-s-encrypt-on-ubuntu-14-04

@swyotokor · 19.04.2016, 09:44

Сообщение от lmike

ssl_certificate_key /etc/nginx/ssl/yourserver.key;

crt я нашел, который мне высылал сертификатор.. но не помню, что за key и где взять)((

@tmyky · 19.04.2016, 12:14

Сообщение от swyatogor

crt я нашел, который мне высылал сертификатор.. но не помню, что за key и где взять)((

это приветный ключ сервера и перед сертификацией должны были создать https://www.nic.ru/dns/service... _nginx.pdf

@swyotokor · 19.04.2016, 12:26

@lmike, не.. там другая бяда.. в лотусе же keyRing делается и запрос на сертификат.. вот этот запрос и указывался при создании сертификата.. как такового закрытого ключа сервера я и не видел.. нуно его из ринга выковыривать..
вроде как нашел даже утилиту которая это должна делать..
[URL="https://www-01.ibm.com/support/docview.wss?uid=swg21308138"]http://www-01.ibm.com/support/docview.wss?uid=swg21308138[/NICK]
но запустить пока не могу(

@tmyky · 19.04.2016, 12:48

Сообщение от swyatogor

keyRing

это шифрованный паролем ключ сервера
НО доминошные ключи/сертификаты - г-но не пройдут проверку, потому - желательно весь процесс повторить, но уже через openssl
https://developers.google.com/web/f...rypt-in-transit/generating-keys-and-csr?hl=ru

@swyotokor · 19.04.2016, 12:54

Сообщение от lmike

не пройдут проверку

)) как это?? проходят же.. пока)) вот - lotus.romcor.ru

@tmyky · 19.04.2016, 13:08

Сообщение от swyatogor

)) как это?? проходят же.. пока)) вот - lotus.romcor.ru

оно проходит?
пример генерации для сертификатора
https://ru.domaincontext.com/ssl/csr/

@tmyky · 19.04.2016, 13:45

вот вердикт по поводу вашего сервера:

This server is vulnerable to the POODLE attack. If possible, disable SSL 3 to mitigate. Grade capped to C. MORE INFO »
Certificate has a weak signature and expires after 2015. Upgrade to SHA2 to avoid browser warnings. MORE INFO »

типично доминошная заморочка

Signature algorithm SHA1withRSA WEAK

ибо сгенерить с SHA2 - это куча кастылей, на данном этапе и через "стандартную" БД это не делается

@tmyky · 19.04.2016, 13:59

@swyatogor, по поводу ИБМ тулзы - почитайте [URL="http:///forum/threads/50901/page-2#post-257252"]ссылку[/NICK] от @rinsk

@swyotokor · 19.04.2016, 14:54

@lmike, я потому и приписал там приписку - пока.. потому как сертификатор отказался выдавать сертификат на 5 лет, а выдал только на 2, так как в 2016 заканчивается поддержка sha-1 вообще..

@tmyky · 19.04.2016, 15:36

@swyatogor
"собака была бешенная - пришлось пристрелить"
с пуделем-то закройте тему ;) если есть соответ фикс - в нотес.ини пропишите (по ссылкам)
а если поставить фронт - все эти траблы будут отсутств. как класс
и сертификаты, с автоматическим продлением, на nginx - читайте выше (с хабра)
бесплатно!

Новые блоги и статьи Все статьи Все блоги /
Про "Windows must die!" kumehtar 04.11.2026 Знаете, чет накатило. . . . Когда-то это было почти боевым кличем: мол, нормальный человек сидит на DOS, OS/ 2 или Linux, а вот это вот - Must Die. А теперь человек произносит «мастдай» с усмешкой - и. . .	Красочные поля с номером страницы svg+background-image russiannick 04.11.2026 Красочные поля с номером страницы не менее важны чем в эпоху бумажных книг. Посему спешу представить почтеннейшей публике этот важный инструмент который эти поля и формирует. В процессе разработки. . .	Вступаем в новую фазу генерации favicons, векторную. russiannick 02.11.2026 Теперь нет нужды скрывать что используется простой svg. Исходный код изображения помещаем в поле и жмем кнопку. Исходник преобразуется в вид корректный для помещения в favicon или в url(). Нажатие. . .	Генератор паролей (вариант №4) Maks 01.11.2026 После публикации 3-го варианта генератора паролей, разослал его своим коллегам (с целью оценки), в итоге были получены следующие рекомендации: 1. Вернуть возможность использования знаков \| 1 l I;. . .
Генератор паролей (вариант №3) Maks 30.10.2026 Финальная версия генератора паролей 1С. Доработка решения в этот раз коснулась только визуальной части, а именно, добавлен реквизит ДопПараметры (тип Булево), который скрывает/ отображает реквизиты:. . .	Магическое мышление и магия, современная наука не отличима от магии (говорит ИИ Джемени) zorxor 30.10.2026 Джемени, расскажи, пожалуйста, что такое магическое мышление, что такое магия, почему современная наука чем-то напоминает магию? Фраза «Любая достаточно развитая технология неотличима от магии». . .	За какое время ИИ может подобрать пароль по хешу (рассказывает Джемени ИИ) zorxor 30.10.2026 Расскажи, Джемени, если известен хэш МД5, например, за сколько ИИ сможет подобрать соответствующий пароль? Искусственный интеллект (ИИ) может подобрать простой или средний по сложности пароль по. . .	Кто убил Suno? Почему наше солнышко погасло? (диалог с ИИ Джемени) zorxor 30.10.2026 Как убивали Suno. Хронология. «Убийство» музыкальной нейросети Suno — это затяжной процесс, в котором технологический хайп стартапа разбился о жесткую реальность судебных исков от гигантов. . .

@rymsk 0 / 0 / 0 Регистрация: 12.11.2009 Сообщений: 882
	10.03.2015, 08:47
	Что бы не плодить темы и + о необходимости FrontEnd proxy для домино. Ситуация - 1,5 тысячи пользователей в регионе по внутреннему vpn. Пинги до хоста - 20-100мс. WEB приложение на Домино. Особенность - любят портянки на экране. На скрине подчеркнутое - через прокси со включенным буференгом. Без - напрямую с доминошного http. URL - с &_random. В итоге наблюдается снижение загрузки процессоров. 0

@ToxoRot 0 / 0 / 0 Регистрация: 04.11.2007 Сообщений: 3,019
	10.03.2015, 10:30
	отключи домлог и скорость поднимется еще в 2 раза ;) 0

@rymsk 0 / 0 / 0 Регистрация: 12.11.2009 Сообщений: 882
	10.03.2015, 11:36
	Отвечу - как в подписи lmike))) 0

@rymsk 0 / 0 / 0 Регистрация: 12.11.2009 Сообщений: 882
	27.05.2015, 12:07
	А вот чел. обнаружил Positive Impressions в домине - в отличии от нас, злых ))) https://www.focul.net/domino-k... pressions/ 0

@swyotokor 0 / 0 / 0 Регистрация: 20.02.2014 Сообщений: 467
	19.04.2016, 12:26
	@lmike, не.. там другая бяда.. в лотусе же keyRing делается и запрос на сертификат.. вот этот запрос и указывался при создании сертификата.. как такового закрытого ключа сервера я и не видел.. нуно его из ринга выковыривать.. вроде как нашел даже утилиту которая это должна делать.. [URL="https://www-01.ibm.com/support/docview.wss?uid=swg21308138"]http://www-01.ibm.com/support/docview.wss?uid=swg21308138[/NICK] но запустить пока не могу( 0

@tmyky 0 / 0 / 0 Регистрация: 23.08.2008 Сообщений: 6,252
	19.04.2016, 13:59
	@swyatogor, по поводу ИБМ тулзы - почитайте [URL="http:///forum/threads/50901/page-2#post-257252"]ссылку[/NICK] от @rinsk 0

@swyotokor 0 / 0 / 0 Регистрация: 20.02.2014 Сообщений: 467
	19.04.2016, 14:54
	@lmike, я потому и приписал там приписку - пока.. потому как сертификатор отказался выдавать сертификат на 5 лет, а выдал только на 2, так как в 2016 заканчивается поддержка sha-1 вообще.. 0

@tmyky 0 / 0 / 0 Регистрация: 23.08.2008 Сообщений: 6,252
	19.04.2016, 15:36
	@swyatogor "собака была бешенная - пришлось пристрелить" с пуделем-то закройте тему ;) если есть соответ фикс - в нотес.ини пропишите (по ссылкам) а если поставить фронт - все эти траблы будут отсутств. как класс и сертификаты, с автоматическим продлением, на nginx - читайте выше (с хабра) бесплатно! 0