<div dir="ltr">Thanks Matthew for you response but, as Peter said I'm using Jetty, not Tomcat.<div><br></div><div>Peter, you are right I should use Ubuntu 18 but I didn't know the 4.0 shibboleth is already released, good news.</div><div><br></div><div>I'm going to try remove Apache and let Jetty working alone. </div><div><br></div><div>Thanks</div></div><br><div class="gmail_quote"><div dir="ltr" class="gmail_attr">El mié., 11 mar. 2020 a las 12:46, Peter Schober (<<a href="mailto:peter.schober@univie.ac.at">peter.schober@univie.ac.at</a>>) escribió:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">* Matthew Slowe <<a href="mailto:Matthew.Slowe@jisc.ac.uk" target="_blank">Matthew.Slowe@jisc.ac.uk</a>> [2020-03-11 16:38]:<br>
> As luck would have it, I ran into the same problem this morning. For<br>
> me, this was due to Tomcat not understanding that the real HTTP<br>
> traffic (being terminated by Apache httpd) was done over https.<br>
> <br>
> My fix was to amend the <Connector> block and add a “Valve” to the<br>
> Tomcat server.xml’s <Engine> block:<br>
<br>
Only that the OP is using Jetty, not Tomcat.<br>
<br>
>     <Valve className="org.apache.catalina.valves.RemoteIpValve"<br>
>            internalProxies=“<a href="http://10.1.2.0/16" rel="noreferrer" target="_blank">10.1.2.0/16</a>"<br>
>            remoteIpHeader="x-forwarded-for"<br>
>            remoteIpProxiesHeader="x-forwarded-by"<br>
>            protocolHeader="x-forwarded-proto"<br>
>     /><br>
> <br>
> Connector might now look like:<br>
> <br>
> <Connector address=“..." port=“8080" protocol="HTTP/1.1" proxyPort="443" scheme="https" secure="true" /><br>
<br>
For httpd+Tomcat you shouldn't be HTTP proxying at all, IMO, but use<br>
AJP between them. Then all that's needed is virtualising the scheme<br>
and proxyPort (as shown above), if even that's still needed.<br>
Or drop Apache httpd completely and only use Tomcat, really.<br>
<br>
That last suggestion (drop Apache httpd and use the servlet container<br>
as TLS-enabled webserver, too) would also apply to the OP and Jetty,<br>
of course.<br>
<br>
Personally I wouldn't set up a new system on Ubuntu 16 LTS (when 18<br>
LTS exists), I wouldn't use httpd anymore and I wouldn't be installing<br>
IDPv3 when IDPv4 was released *today*.<br>
<br>
-peter<br>
-- <br>
For Consortium Member technical support, see <a href="https://wiki.shibboleth.net/confluence/x/coFAAg" rel="noreferrer" target="_blank">https://wiki.shibboleth.net/confluence/x/coFAAg</a><br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net" target="_blank">users-unsubscribe@shibboleth.net</a></blockquote></div>