Installation eines Frontend-Servers

Geändert am Fr, 17 Apr um 3:41 NACHMITTAGS

Ein Frontend-Server ist optional und verantwortlich für das Ausliefern und Entgegennehmen von Formularen. Es gibt verschiedene Gründe, einen Frontend-Server einzusetzen, unter anderem:

Zur Isolation des Internets vom internen Intranets mit dem Backend von formcycle
Zur Lastenverteilung. Hier muss aber beachtet werden, dass die gesamte Verarbeitung von Formulardaten weiterhin auf dem Master-Server geschieht.

Inhalt

Voraussetzung

Bevor ein Frontend-Server installiert wird, sollte geprüft werden, dass

ein Master-Server installiert und über eine Lizenz verfügt, die Frontend-Server erlaubt.
der Master-Server über das Netzwerk auf den Frontend-Server zugreifen kann und auch der entsprechende Port freigegeben ist (Standardport ist 4753).

Schritt 1: Installation des Frontend-Servers

Falls noch nicht geschehen, sollten die Einstellungen vom Tomcat entsprechend konfiguriert werden. Insbesondere sollte der Zeichensatz auf UTF-8 eingestellt werden. Weitere Informationen hierzu sind im Abschnitt Tomcat-Einstellungen zu finden.

Nachfolgend wird die Installation beispielhaft für den Web-Container Apache Tomcat beschrieben. Erfolgt die Installation auf einem anderen Java Web-Container/Applikationsserver, sind die Installationsschritte der zugehörigen Dokumentation zu entnehmen.

Installation über Apache Tomcat-Manager

Starten Sie Apache Tomcat.
Rufen Sie den Tomcat-Manager auf und melden Sie sich bei Bedarf an.
In der Oberfläche des Tomcat-Managers finden Sie den Bereich Lokale War Datei zur Installation hochladen. Wählen Sie über den Button Durchsuchen… die Installationsdatei frontend-server.war auf Ihrem lokalen System. Bestätigen Sie anschließend die Auswahl über den Button Installieren unterhalb des Eingabefeldes.
Nach der erfolgreichen Installation erscheint in der Tabelle Anwendungen der Eintrag xima formcycle Frontend-Server sowie eine Meldung ähnlich der folgenden:

OK - Deployed application at context path /frontend-server

Sollte eine Fehlermeldung des Typs SizeLimitExceededException erscheinen, so muss die maximale Uploadgröße des

Managers in dessen web.xml entsprechend der Größe der frontend-server.war angepasst werden. Siehe hierzu die Tomcat-Dokumentation und den Bereich Tomcat-Einstellungen.

Manuelle Installation der war-Datei

Die Installation erfolgt durch Kopieren der Datei frontend-server.war in die vorgegebene Verzeichnisstruktur des Tomcat-Webcontainers.

Kopieren Sie die mitgelieferte Datei frontend-server.war in das Verzeichnis webapps des Tomcat-Webcontainers
Starten Sie den Apache-Tomcat Applikationsserver bzw. den Context ggf. neu.
Die Installation ist abgeschlossen.

Testen der Installation

Entweder ist der logical_status NOT_CONNECTED oder WAIT_FOR_CONNECTION

Rufen Sie die URL http://meinServer/frontend-server/status.jsp auf. Es sollte eine HTML Seite mit dem aktuellen Status der Verbindung angezeigt werden.

Schritt 2: Verbindung herstellen zwischen Frontend- und Master-Server

Einrichten einer Verbindung zum Frontend-Servers.

In diesem Schritt verbinden Sie den installierten Frontend-Server mit dem Master-Server. Die Verbindung besteht aus zwei Komponenten:

Authentifizierung: Ein Schlüssel (authKey) stellt sicher, dass nur berechtigte Server sich verbinden können
Verschlüsselung: Ein SSL/TLS-Zertifikat schützt die übertragenen Daten

Die Konfiguration erfolgt in drei Schritten:

Verbindung auf dem Master-Server anlegen (dabei wird ein Schlüssel generiert)
Schlüssel auf dem Frontend-Server eintragen
Verbindung testen

Vorbereitung: Was wurde bei der Installation erstellt?

Bei der Installation des Frontend-Servers wurde automatisch eine Konfigurationsdatei erstellt:

Die Konfigurationsdatei: application.properties

Diese Datei enthält die Verbindungseinstellungen des Frontend-Servers.

Initialer Inhalt nach der Installation:

fs.settings.authKey=
fs.settings.port=4753
fs.settings.ssl.use=true
fs.settings.ssl.keystore.pass=[AUTOMATISCH-GENERIERTES-PASSWORT]

Wichtig: Der authKey ist nach der Installation noch leer. Dieser wird erst im nächsten Schritt generiert und muss dann hier eingetragen werden.

Verbindung auf dem Master-Server anlegen

Legen Sie zuerst die Verbindung zum Frontend-Server auf dem Master-Server an. Dabei wird automatisch ein Authentifizierungsschlüssel generiert.

Automatisch generierter Schlüssel beim Anlegen eines Frontend-Server

Merke: Ohne den korrekten Schlüssel kann keine Verbindung hergestellt werden - auch wenn das SSL/TLS-Zertifikat bereits bestätigt wurde.

Schlüssel auf dem Frontend-Server eintragen

Tragen Sie nun den im vorherigen Schritt kopierten Schlüssel in die Konfigurationsdatei des Frontend-Servers ein.

Anleitung zum Eintragen:

Öffnen Sie die Datei application.properties
Fügen Sie den kopierten Schlüssel in die Zeile ''fs.settings.authKey='' ein
Speichern Sie die Datei
Starten Sie den Frontend-Server neu

Vorher / Nachher Vergleich:

Vorher (nach Installation):

fs.settings.authKey=
fs.settings.port=4753
fs.settings.ssl.use=true
fs.settings.ssl.keystore.pass=abc123xyz

Nachher (nach Eintragen des Schlüssels):

fs.settings.authKey=65369835-3fc5-45b7-8417-77e24d38db0d
fs.settings.port=4753
fs.settings.ssl.use=true
fs.settings.ssl.keystore.pass=abc123xyz

Verbindung testen

Nachdem der Schlüssel eingetragen und der Frontend-Server neu gestartet wurde, können Sie die Verbindung testen.

Gehen Sie zurück zu den Frontend-Server-Einstellungen auf dem Master-Server
Klicken Sie auf "Verbindung testen"
Bei aktivierter SSL-Verschlüsselung erscheint der Trust-Prompt-Dialog
Nach erfolgreicher Bestätigung wechselt der Status zu "verbunden"

Verbindungsinformationen nach erfolgreicher Konfiguration

In diesem Schritt wurde die technische Verbindung hergestellt. Das bedeutet, dass der Master-Server und der Frontend-Server nun miteinander kommunizieren können. Im nächsten Schritt wird die Bereitstellung dieser Verbindung für den jeweiligen Mandanten konfiguriert.

Schritt 3: Freigeben des Frontend-Servers für einen Mandanten

Freigeben eines Frontend-Servers für einen bestimmten Mandanten.

Nun muss der Frontend-Server noch für den Mandanten freigegeben werden. Melden Sie sich hierzu als Mandantadministrator an. Wechseln Sie im Navigationsmenü zum Punkt Frontend-Server und konfigurieren Sie die Frontend-Server-Verbindung entsprechend der Anleitung unter Frontend-Server.

Kommunikation zwischen Master- und Frontend-Server verschlüsseln

Die Verschlüsselung der Kommunikation zwischen Master-Server und Frontend-Server erfolgt über SSL/TLS-Zertifikate. Dieser Abschnitt erklärt die Funktionsweise, den Trust-Prompt-Dialog und die Konfigurationsmöglichkeiten.

8.5.0 Automatisches Zertifikat

Bei der Installation des Frontend-Servers wird automatisch ein selbstsigniertes SSL/TLS-Zertifikat generiert:

Speicherort: .../config/ssl-keystore-generated.jks
Passwort: Wird automatisch generiert und in application.properties unter fs.settings.ssl.keystore.pass hinterlegt

Hinweis: Das automatisch generierte Zertifikat ist für die meisten Anwendungsfälle ausreichend. Ein eigenes Zertifikat bietet nur dann einen Vorteil, wenn es von einer offiziellen Zertifizierungsstelle (CA) signiert wurde.

Der Trust-Prompt-Dialog

Beim ersten Verbindungstest mit aktivierter SSL-Verschlüsselung erscheint automatisch der Trust-Prompt-Dialog auf dem Master-Server.

Trust-Prompt-Dialog zur Bestätigung des SSL/TLS-Zertifikats

Zertifikat als vertrauenswürdig bestätigen

Klicken Sie auf "Zertifikat vertrauen"
Die SSL-verschlüsselte Verbindung wird hergestellt

Eigene Zertifikate verwenden

Erweitert: Eigenes Zertifikat statt automatischem Zertifikat verwenden

Standardmäßig verwendet der Frontend-Server das bei der Installation automatisch generierte SSL/TLS-Zertifikat. Für die meisten Anwendungsfälle ist dieses ausreichend.

In bestimmten Situationen möchten Sie jedoch möglicherweise ein eigenes Zertifikat verwenden:

Voraussetzungen für eigene Zertifikate

Um ein eigenes Zertifikat zu verwenden, benötigen Sie:

Ein gültiges SSL/TLS-Zertifikat im Format JKS oder PKCS#12 (.p12, .pfx)
Das dazugehörige Passwort für den Keystore
Zugriff auf die application.properties Datei des Frontend-Servers

Konfiguration in der `application.properties`

Um ein eigenes Zertifikat zu verwenden, müssen Sie drei Parameter in der application.properties des Frontend-Servers anpassen:

fs.settings.authKey=65369835-3fc5-45b7-8417-77e24d38db0d
fs.settings.port=4753
fs.settings.ssl.use=true
fs.settings.ssl.mode.auto=false
fs.settings.ssl.keystore.path=/pfad/zum/eigenen/keystore.jks
fs.settings.ssl.keystore.pass=IHR-KEYSTORE-PASSWORT

Hinweis: Durch fs.settings.ssl.mode.auto=false erscheint der Button "Zertifikat neu erstellen" nicht mehr in den Frontend-Server-Einstellungen auf dem Master-Server. Dieser Button ist nur bei Verwendung des automatisch generierten Zertifikats verfügbar.

Wichtige Hinweise zur Pfadangabe

Windows-Pfade

Unter Windows müssen Pfade mit Doppel-Backslash (\\) geschrieben werden, da der einfache Backslash (\) als Escape-Character verwendet wird:

fs.settings.ssl.keystore.path=C:\\Zertifikate\\mein-keystore.jks
fs.settings.ssl.keystore.pass=MeinPasswort123

Linux-Pfade

Unter Linux können Pfade normal mit einfachem Slash angegeben werden:

fs.settings.ssl.keystore.path=/opt/formcycle/certs/mein-keystore.jks
fs.settings.ssl.keystore.pass=MeinPasswort123

Eigenes Zertifikat einbinden

Zertifikat auf den Frontend-Server kopieren
- Kopieren Sie Ihren Keystore auf den Frontend-Server
application.properties bearbeiten
- Öffnen Sie die Datei application.properties
- Setzen Sie den Wert von fs.settings.ssl.mode.auto auf ''false''
- Ändern Sie den Wert von fs.settings.ssl.keystore.path auf den Pfad Ihres Keystores
- Überschreiben Sie den Wert von fs.settings.ssl.keystore.pass mit Ihrem Keystore-Passwort
Datei speichern und Frontend-Server neu starten
- Speichern Sie die application.properties
- Starten Sie den Frontend-Server neu
Verbindung testen
- Gehen Sie auf dem Master-Server zu System → Frontend-Server
- Klicken Sie auf "Verbindung testen"
- Der Trust-Prompt erscheint und zeigt nun Ihr eigenes Zertifikat an
- Bestätigen Sie das Zertifikat als vertrauenswürdig

Beispiel: Komplette Konfiguration mit eigenem Zertifikat

Windows-Beispiel:

fs.settings.authKey=65369835-3fc5-45b7-8417-77e24d38db0d
fs.settings.port=4753
fs.settings.ssl.use=true
fs.settings.ssl.mode.auto=false
fs.settings.ssl.keystore.path=C:\\formcycle\\certs\\firmen-zertifikat.jks
fs.settings.ssl.keystore.pass=Firma2024Sicher!

Linux-Beispiel:

fs.settings.authKey=65369835-3fc5-45b7-8417-77e24d38db0d
fs.settings.port=4753
fs.settings.ssl.use=true
fs.settings.ssl.mode.auto=false
fs.settings.ssl.keystore.path=/opt/formcycle/certs/firmen-zertifikat.jks
fs.settings.ssl.keystore.pass=Firma2024Sicher!

Zertifikat erneuern

Wenn Sie ein Zertifikat über die Option "Zertifikat neu erstellen" in den Frontend-Server-Einstellungen auf dem Master-Server erneuern:

Wird ein neues Zertifikat für den Frontend-Server generiert
Der Frontend-Server muss anschließend neu gestartet werden
Das neue Zertifikat muss erneut im Trust-Prompt als vertrauenswürdig bestätigt werden

Weitere Informationen

Detaillierte Informationen zur Zertifikatsverwaltung finden Sie im Artikel Zertifikatsverwaltung.

Eine vollständige Übersicht aller verfügbaren Properties für den Frontend-Server finden Sie im Artikel Anwendungseinstellungen.

Manuelle Konfiguration (vor Version 8.5)

Die nachfolgende Methode gilt nur für formcycle-Versionen vor 8.5. Ab Version 8.5 die oben beschriebene Zertifikatsverwaltung verwenden.

Anleitung für Versionen vor 8.5 anzeigen

Einen neuen Keystore (Typ: JKS) mit einem Schlüsselpaar erzeugen. Zum Beispiel mit den Namen fs.keystore. Die Erzeugung des Keystores kann etwa mit dem frei erhältlichen Tool KeyStore Explorer erfolgen. Passwort für Schlüssel und Keystore müssen identisch sein.

Dies kann zum Beispiel mit dem in Java enthaltenen Hilfsprogramm keytoolerreicht werden. Das folgende Beispiel zeigt den Befehl, welcher mit keytool ein Schlüsselpaar erzeugt, dessen Zertifikat eine Laufzeit von 10 Jahren besitzt:
```
keytool -genkey -keyalg RSA -keysize 4096 -alias formcycle -keystore fs.jks -validity 3650
```
Zertifikatskette (auf Grundlage des erzeugten Schlüsselpaares) exportieren und in einen neuen Keystore (Typ: JKS) importieren. Zum Beispiel mit dem Namen ms.keystore.

Dies kann zum Beispiel mit dem in Java enthaltenen Hilfsprogramm "keytool" mit folgenden Befehlen erfolgen:
```
keytool -exportcert -alias formcycle -keystore fs.jks -file cert.crt
keytool -import -alias formcycle -keystore ms.jks -trustcacerts -file cert.crt
```
Den Keystore (fs.keystore) mit dem Schlüsselpaar im Konfigurationsverzeichnis des Frontend-Servers ablegen.

Anpassen der Datei application.properties (diese wird automatisch nach Installation angelegt) in dem gleichen Verzeichnis auf dem Frontend-Server:

fs.settings.authKey=...
fs.settings.port=...
fs.settings.ssl.use=true
fs.settings.ssl.keystore.path=<Pfad zum Keystore>\\fs.keystore
fs.settings.ssl.keystore.pass=<Keystore Passwort>

Zu beachten ist hier, dass der Backslash \ innerhalb der Konfigurationsdatei application.properties als Escape-Character verwendet wird. Daher müssen Pfade unter Windows mit Doppel-Backslash geschrieben werden, also zum Beispiel als:

D:\\Pfad\\zum\\Keystore\\fs.jks

Andere Zeichen haben technische Verwendungen, weshalb beim Passwort (Back-)Slashes, Klammern, = und das @-Zeichen nicht verwendet werden sollten.

Frontend-Server neu starten
Ablage des Keystores Schlüsselzertifikats ms.keystore im Konfigurationsverzeichnis vom Master-Server
Anpassung der Frontend-Server-Konfiguration auf dem Master-Server unter Systemeinstellungen > Frontend-Server
Unter Pfad zum Zertifikat-Keystore ist der Keystore mit dem Schlüsselzertifikat auf dem Master-Server einzutragen, zum Beispiel: /home/xima/tomcat/formcycle/ms.keystore
Testen der Verbindung