<div dir="ltr"><div class="gmail_default" style="font-family:trebuchet ms,sans-serif">Thanks Peter. May be I hit the send button too soon!</div><div class="gmail_default" style="font-family:trebuchet ms,sans-serif"><br></div><div class="gmail_default" style="font-family:trebuchet ms,sans-serif">I will give httpd tunneling to tomcat a try.</div></div><div class="gmail_extra"><br><div class="gmail_quote">On 24 March 2016 at 23:52, Peter Schober <span dir="ltr"><<a href="mailto:peter.schober@univie.ac.at" target="_blank">peter.schober@univie.ac.at</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">* Prashant Bapat <<a href="mailto:prashant@apigee.com">prashant@apigee.com</a>> [2016-03-24 17:22]:<br>
<span class="">> - Each server with 2 NICs and separate IPs for each.<br>
> - IdP will be bound to 1 NIC and Apache httpd to another NIC.<br>
> - Shibbolet SP for Apache httpd configured to authenticate against IdP.<br>
<br>
</span>It's not a question of interface cards (a single NIC can certainly<br>
severl IP addresses) or even IP addresses (you can do name-based<br>
vhosting just the same):<br>
<br>
If you want both the IDP and the SP to be reachable on the IDP's<br>
existing hostname (and I don't see why you wouldn't), and reachable on<br>
HTTPS (which is a given), then you can't have two web servers, one<br>
handling the SP and the other the IDP -- DNS doesn't know whether to<br>
give you the IP address of the IDP or SP if they share the same name<br>
in DNS.<br>
<br>
What works is what I previously explained, having Apache httpd handle<br>
all HTTPS (and maybe HTTP for the SP only, and only for the initial<br>
redirect to HTTPS) and tunneling requests to /idp to Tomcat.<br>
Tomcat is not reachable from the outside world in this case.<br>
Many people run their IDP that way anyway, for other reasons.<br>
(E.g. SWITCHaai fully documents such a setup for their members.)<br>
<div class="HOEnZb"><div class="h5">-peter<br>
--<br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net">users-unsubscribe@shibboleth.net</a><br>
</div></div></blockquote></div><br></div>