Netzwerkzugriff und TLS einrichten

Der Hostname in einer Wiedergabeliste und die lokale Listen-Adresse lösen unterschiedliche Aufgaben. <hostname> beschreibt den Server gegenüber Clients und Verzeichnissen. <bind-address> im Socket wählt eine lokale Schnittstelle. Keine dieser Angaben richtet DNS, Routing, Firewall oder Zertifikate ein.

Mit einem lokalen Ausgangspunkt beginnen

Verwenden Sie für einen lokalen Test zunächst 127.0.0.1. Wählen Sie für Fernzugriffe die beabsichtigte Schnittstelle und betrachten Sie IPv4 und IPv6 getrennt. Ohne Bind-Adresse kann der Prozess mehr Schnittstellen erreichen als erwartet. Ein richtiger A-Eintrag belegt keinen funktionierenden AAAA-Zugriff. Ein Aufruf auf dem Server selbst beweist keine Erreichbarkeit von außen.

Dies ist ein Ausschnitt für 2.5.0 innerhalb von <icecast> und keine vollständige Datei. Ergänzen beziehungsweise ändern Sie einen Socket und führen Sie den TLS-Kontext mit dem vorhandenen Security-Block zusammen:

<listen-socket>
  <port>8443</port>
  <tls>auto_no_plain</tls>
</listen-socket>
<security>
  <tls-context>
    <tls-certificate>/ABSOLUTE/PATH/fullchain.pem</tls-certificate>
    <tls-key>/ABSOLUTE/PATH/private-key.pem</tls-key>
  </tls-context>
</security>

Ersetzen Sie die Pfade. Das Prozesskonto benötigt Zugriff auf Zertifikat und privaten Schlüssel. Andere Benutzer dürfen den Schlüssel nicht lesen. TLS setzt außerdem einen passenden Build voraus. Das Beispiel von 2.5.0 nutzt einen TLS-Kontext im Security-Block; ältere Anleitungen legen Zertifikatspfade unter <paths> ab. Vermischen Sie diese Formen nicht ungeprüft.

Die öffentliche Identität prüfen

curl --head --show-error https://stream.example.org:8443/status.xsl

Ersetzen Sie die Beispieldomain durch Ihren eigenen Testserver. Prüfen Sie Zertifikatsname, Gültigkeit, Zertifikatskette und HTTP-Antwort. Ein Zertifikatsfehler muss behoben werden und rechtfertigt kein dauerhaftes Abschalten der Prüfung. Für eine bewusst verwendete private Test-CA können Sie deren vertrauenswürdige CA-Datei mit curl und --cacert angeben.

Kompatibilitätsports getrennt behandeln

Ein Shoutcast-kompatibler Source-Socket belegt den angegebenen Basisport und den Folgeport. Das ist keine allgemeine Vorgabe für eine gewöhnliche Icecast-Quelle. Prüfen Sie das tatsächliche Encoder-Protokoll vor einer zusätzlichen Portfreigabe. Begrenzen Sie die Erreichbarkeit der Verwaltung ausdrücklich und verschlüsseln Sie Verbindungen, über die Zugangsdaten das Netzwerk durchlaufen.