Contao 4 hinter SSL-Proxy - Kein CSS bei Aufruf der SSL Website

Druckbare Version

25.09.2019, 09:14
Acta

Contao 4 hinter SSL-Proxy - Kein CSS bei Aufruf der SSL Website

Hallo Jungs,

ich stecke derzeit etwas fest. Wir haben eine Contao 3.5 Version die wir auf 4.4 updaten. Alles kein Problem. Jetzt jedoch komme ich beim Umstellen auf SSL ein paar Schwierigkeiten.

Was habe ich getan:

Im Startpunkt der Website SSL aktiviert

In der vhost-Datei bzw. ssl.conf

Code:

<VirtualHost *:443> DocumentRoot "D:/htdocs/map/web" ServerName etc.domain.de:443 ServerAlias etc.domain.de DirectoryIndex index.html index.php <Directory "D:/htdocs/map/web"> Order allow,deny Allow from all AllowOverride All </Directory>

in der htaccess unter

D:htdocs/map/web

Code:

<IfModule mod_rewrite.c> RewriteEngine On # Force HTTPS RewriteCond %{HTTPS} off RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L] .....

Die Website wird geladen aber ohne CSS. Ohne SSL funktioniert die Website wie sie soll.
25.09.2019, 09:16
Acta

Was mich verwundert:

Im Quellcode steht:

Code:

<html lang="de"> <head> <meta charset="utf-8"> <title>Startseite (S) - [***]</title> <base href="http://etc.domain.de/"> <meta name="robots" content="index,follow"> <meta name="description" content=""> <meta name="generator" content="Contao Open Source CMS"> <meta name="viewport" content="width=device-width,initial-scale=1.0">
25.09.2019, 09:24
Acta

Noch eine Ergänzung:

Im Backend kann ich mich dann auch nicht mehr Anmelden. Die seite erscheint beim SSL ebenfalls ohne CSS. Nach Absenden der Logindaten lande ich wieder auf der Loginseite.
25.09.2019, 09:55
Acta

@Spooky hatte bei 3.5 Versionen auf den Eintrag von

Code:

$_SERVER['HTTPS'] = 1;

in die Initconfig verwiesen. Aber diese Datei kann ich in einer Contao 4 Version nicht finden.
25.09.2019, 10:07
tab

Hast du im Startpunkt den Haken bei "HTTPS verwenden" gesetzt?
25.09.2019, 10:08
Acta

Jop der ist gesetzt.
25.09.2019, 10:08
Spooky

https://github.com/contao/core/issue...ment-350677218
25.09.2019, 10:30
Acta

Zitat:

Zitat von Spooky

https://github.com/contao/core/issue...ment-350677218

Ich habe unter

map/web/app.php

folgendes eingetragen

//SSL
Request::setTrustedProxies(['1xx.xx.x.xx']);

Noch vor:
$request = Request::createFromGlobals();

Das hatte jedoch keine Auswirkungen. Der Basetag bleibt bestehen auf http. Auch das CSS fehlt und ein Login ist nicht möglich! Habe auch den Cache gelöscht aber auch ohne ergebnis
25.09.2019, 10:32
Spooky

Ist es in deinem Fall überhaupt ein SSL Proxy?
25.09.2019, 11:55
Acta

Ich gehe davon aus.

Wir haben hier eine Firewall für unser Unternehmen. Hinter diesem liegt der Webserver.

Für andere Anwendungen klappt das SSL extern auch (liegen auch auf dem Server)

Bei Contao ist es wie folgt: Intern erhalte ich das Website ohne CSS etc und mit dem falschen basetag

Extern erhalte ich die Meldung "to many redirections"
25.09.2019, 11:57
Spooky

Zitat:

Zitat von Acta

Extern erhalte ich die Meldung "to many redirections"

Ja, den Redirect musst du anders gestalten, da euer SSL Proxy mit eurem Webserver ohne SSL kommuniziert.
25.09.2019, 12:22
Acta

Hast du da ne Idee ???

Das Problem mit dem fehlenden CSS besteht dennoch weiterhin..
25.09.2019, 12:26
Spooky

Zitat:

Zitat von Acta

Das Problem mit dem fehlenden CSS besteht dennoch weiterhin..

Das CSS "fehlt" weil dein Base Tag falsch ist. Und dein Base Tag ist falsch, weil der SSL Proxy nicht über SSL mit dem Webserver kommuniziert und daher Contao (bzw. Symfony) auch nicht weiß, dass die Anfrage eigentlich über SSL kam.

Hast du sicher die richtige IP eingetragen?
25.09.2019, 12:26
Acta

kann man den basetag manuell auf https ändern für frontend und backend?
25.09.2019, 12:27
Acta

Zitat:

Zitat von Spooky

Das CSS "fehlt" weil dein Base Tag falsch ist. Und dein Base Tag ist falsch, weil der SSL Proxy nicht über SSL mit dem Webserver kommuniziert und daher Contao (bzw. Symfony) auch nicht weiß, dass die Anfrage eigentlich über SSL kam.

Hast du sicher die richtige IP eingetragen?

Hab die IP direkt aus den Verbindungseinstellungen des Browsers genommen. Von daher ja.. sollte der richtige sein!
25.09.2019, 12:31
Spooky

Verbindungseinstellungen des Browser? Damit meinst du deinen normalen HTTP Proxy? Ist das auch sicher der selbe Server, der als SSL Proxy für HTTPS von außen fungiert und das SSL Zertifikat zur Verfügung stellt?
25.09.2019, 14:19
Acta

Antwort vom Techniker - ja!

Gibt es denn irgendwie die möglich den base tag auf ssl zu forcen?

Nur um mal zu testen obs dann geht?
25.09.2019, 14:23
Spooky

Du kannst es in deinem fe_page Template hardcoden.
25.09.2019, 14:54
Acta

Zitat:

Zitat von Spooky

Du kannst es in deinem fe_page Template hardcoden.

So lässt sich das Frontend intern per CSS bedienen. Backend ginge aber nach wie vor nicht.

Extern habe ich nach wie for das Problem mit zu vielen Redirects.
25.09.2019, 14:56
Spooky

Zitat:

Zitat von Acta

Extern habe ich nach wie for das Problem mit zu vielen Redirects.

Ja, wie gesagt, da musst du andere RewriteRules benutzen, da euer SSL Proxy nicht über SSL mit eurem Webserver kommuniziert. Dadurch ist natürlichauch die "HTTPS" Variable nicht auf "on".
26.09.2019, 07:23
Acta

Zitat:

Zitat von Spooky

Du kannst es in deinem fe_page Template hardcoden.

Gibt es alternativ noch eine Möglichkeit (htaccess z.b.) der kompletten Website einschließlich backend zu sagen ..."ich habe den basetag" https?
26.09.2019, 07:26
Spooky

Contao muss einfach erkennen können, dass die Seite über HTTPS ausgeliefert wird.

Mehr Infos zu Symfony hinter Reverse Proxies: https://symfony.com/doc/current/deployment/proxies.html
26.09.2019, 08:10
Acta

So. mit dem Eintragung in der APP-PHP funktioniert das ganze von Extern.

Intern wird der request scheinbar noch einmal anders behandelt. Denn dort greift dann der eingetragene Proxy nicht.
26.09.2019, 08:44
Spooky

Wie greift ihr intern auf den Web Server zu?
26.09.2019, 10:25
Acta

Der Aufruf heißt intern und extern https://etc.domain.de.
Von Extern landet man auf der Firewall - der leidet die Anfrage dann auf den Server weiter und dort habe ich dann den vhost-Eintrag der ans Contao weiterleitet. Das Funktioniert so auch.

Von Intern ist es der gleiche Aufruf nur wird dieser scheinbar nicht erst an die Firewall gegeben. Die HTTP Variante funktioniert intern ohne Probleme... die HTTPS Variante erkennt intern den base-tag nicht.
26.09.2019, 12:14
Spooky

Von welchem Server wird dann intern das SSL Zertifikat geliefert?
30.09.2019, 14:13
Acta

Hey Spooky,

ich konnte das Problem jetzt sowohl für intern und extern lösen.

Für intern haben wir das SSL-Zertifikat noch einmal explizit im Vhost angegeben und für extern war ja der Eintragung in der APP.php notwendig.

Vielen Dank schonmal für deine Hilfe.

Jetz zwei Fragen: Das forcen auf SSL via vhost bzw. HTaccess führt jetzt, wie von dir bereits beschrieben, zu einem redirect Problem.
Hast du eine Idee wie ich denoch die HTTP-Variante verbannen kann?

Und zweitens: die Eintragungen in der app.php werden ja bei einem Update von Contao ggf. gelöscht. Gibt es eine Möglichkeit die Eintragung irgendwo auszulagern?
30.09.2019, 14:18
Spooky

Zitat:

Zitat von Acta

Jetz zwei Fragen: Das forcen auf SSL via vhost bzw. HTaccess führt jetzt, wie von dir bereits beschrieben, zu einem redirect Problem.
Hast du eine Idee wie ich denoch die HTTP-Variante verbannen kann?

zB:

Code:

RewriteCond %{HTTP:X-Forwarded-Proto} !https RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

Vorausgesetzt euer Reverse Proxy schickt das so mit.

Zitat:

Zitat von Acta

Und zweitens: die Eintragen in der app.php werden ja bei einem Update von Contao ggf. gelöscht. Gibt es eine Möglichkeit die Eintragung irgendwo auszulagern?

Du könntest, wie auch im GitHub Ticket erwähnt, einen eigenen Einstiegspunkt machen (und die .htaccess / Server Konfiguration dementsprechend anpassen).
30.09.2019, 14:26
Acta

[QUOTE=Spooky;511782]zB:

Code:

RewriteCond %{HTTP:X-Forwarded-Proto} !https RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

Vorausgesetzt euer Reverse Proxy schickt das so mit.

Erstaunliches Ergebnis:
extern funktioniert das, intern erhalte ich "too many redirects." Also genau andersrum zum bisherigen Standard :-)
30.09.2019, 14:43
Spooky

Ja, ist logisch. Jetzt musst du halt beide Fälle abdecken ;). Eigentlich sollte dir da euer Server Administrator helfen...
30.09.2019, 14:54
Spooky

Ich denke es reicht, wenn deine Anweisung insgesamt

Code:

RewriteCond %{HTTP:X-Forwarded-Proto} !https RewriteCond %{HTTPS} off RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

lautet.
30.09.2019, 14:56
Acta

Zitat:

Zitat von Spooky

Ja, ist logisch. Jetzt musst du halt beide Fälle abdecken ;). Eigentlich sollte dir da euer Server Administrator helfen...

Code:

RewriteEngine On RewriteCond %{HTTP:X-Forwarded-Proto} !https RewriteCond %{HTTPS} off RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

Funktioniert bei mir jetzt.

Alle Zeitangaben in WEZ +1. Es ist jetzt 17:22 Uhr.