构建安全的 RedHat Apache 服务器 HOWTO: 配置您的 Apache 服务器

4. 配置您的 Apache 服务器

Apache 服务器必须配置额外的 API 模块才能支持 SSL。有很多可用的 SSL 软件包。我的示例基于配置了 ModSSL 和 OpenSSL 的 Apache。有无数的邮件列表和新闻组支持这些产品。您可能会发现这些说明对一些基于 Apache Web 服务器的商业 SSL 软件包也有帮助。

关于虚拟主机需要记住几点：您可以在同一台服务器上拥有多个虚拟主机。您可以在同一个 IP 地址上拥有多个基于名称的虚拟主机。您还可以在同一个 IP 上拥有多个基于名称的虚拟主机和一个 (1) 安全虚拟主机。但是 - 您不能在同一个 IP 上拥有多个安全虚拟主机。很多人会问：为什么？答案是：SSL 在应用层之下工作。基于名称的主机在应用层才被定义。

具体来说，您不能在同一个 SOCKET（IP 地址 + 端口）上拥有多个安全虚拟主机。默认情况下，安全主机将使用端口 443。您可以配置您的虚拟主机使用同一个 IP 的不同端口号，从而创建另一个套接字。这种方法有很多缺点。最明显的缺点是，如果您不使用默认端口，您的 URL 也必须包含端口号才能访问安全站点。

示例

使用默认端口的站点 - www.something.com - 将通过 https://www.something.com 访问
使用端口 8888 的站点将通过 https://www.something.com:8888 访问

另一个缺点是，如果您引入更多端口，您将为端口嗅探黑客提供更多机会。最后，如果您选择的端口被其他程序使用，您将创建冲突问题。

4.1 定义安全虚拟主机

设置虚拟主机非常简单。我将介绍设置安全虚拟主机的基本知识。

在这些示例中，我使用 .crt 和 .key 文件扩展名。这是我个人避免与各种文件混淆的方式。使用 Apache，您可以选择使用任何扩展名 - 或者根本不使用扩展名。

您的所有安全虚拟主机都应包含在 <IfDefine SSL> 和 </IfDefine SSL> 中，通常位于 httpd.conf 文件的末尾。

安全虚拟主机的示例


<VirtualHost 172.18.116.42:443>
DocumentRoot /etc/httpd/htdocs
ServerName www.somewhere.com
ServerAdmin someone@somewhere.com
ErrorLog /etc/httpd/logs/error_log
TransferLog /etc/httpd/logs/access_log
SSLEngine on
SSLCertificateFile /etc/httpd/conf/ssl.crt/server.crt
SSLCertificateKeyFile /etc/httpd/conf/ssl.key/server.key
SSLCACertificateFile /etc/httpd/conf/ssl.crt/ca-bundle.crt
<Files ~ "\.(cgi|shtml)$">
      SSLOptions +StdEnvVars
</Files>
<Directory "/etc/httpd/cgi-bin">
      SSLOptions +StdEnvVars
</Directory>
SetEnvIf User-Agent ".*MSIE.*" nokeepalive ssl-unclean-shutdown
CustomLog /etc/httpd/logs/ssl_request_log \
          "%t %h %{SSL_PROTOCOL}x %{SSL_CIPHER}x \"%r\" %b"
</VirtualHost>

对于 SSL 最重要的指令是 SSLEngine on、SSLCertificateFile、SSLCertificateKeyFile 以及在许多情况下是 SSLCACertificateFile 指令。

SSL 引擎

"SSLEngine on" - 这是 ModSSL 启动 SSL 的命令。

SSLCertificateFile

SSLCertificateFile 告诉 Apache 在哪里找到证书文件以及它的名称。上面的示例显示 “server.crt” 作为证书文件名。这是您使用 Apache 配置 ModSSL 时添加的默认值。我个人不建议使用默认名称。为了避免一些挫折，请将您的证书命名为 servername.crt (domainname.crt)。您也可以决定使用默认目录 /etc/httpd/conf/ssl.crt 或 /usr/local/apache/conf/ssl.crt 以外的目录。请记住对路径进行必要的更改。

SSLCertificateKeyFile

SSLCertificateKeyFile 告诉 Apache 私钥的名称以及在哪里找到它。此处定义的目录应仅具有 root 用户的读/写权限。任何其他人都不得访问此目录。

SSLCACertificateFile

SSLCACertificateFile 指令告诉 Apache 在哪里找到中间（根）证书。此指令可能是必需的，也可能不是必需的，具体取决于您使用的 CA。此证书本质上是一个信任环。

中间证书 - 证书颁发机构 (CA) 获取证书的方式与您大致相同。这被称为中间证书。它基本上说明了中间证书的持有者是他们所声称的人，并且被授权向客户颁发证书。Web 浏览器有一个“受信任”证书颁发机构列表，该列表会随着每个版本更新。如果证书颁发机构 (CA) 相当新，则其中间证书可能不在浏览器的受信任 CA 列表中。再加上大多数人不经常更新浏览器这一事实；CA 可能需要数年才能被自动识别为受信任。解决方案是使用 SSLCACertificateFile 指令在服务器上安装中间证书。通常，“受信任”的 CA 会颁发中间证书。如果不是，那么您可能需要使用 SSLCertificateChainFile 指令，尽管这种情况不太可能发生。

4.2 证书示例

服务器证书文件

证书文件内容


Certificate:
   Data:
     Version: 3 (0x2)
     Serial Number: 1516 (0x5ec)
     Signature Algorithm: md5WithRSAEncryption
     Issuer: C=US, O=Equifax Secure Inc, CN=Equifax Secure E-Business CA
     Validity
       Not Before: Jul 12 15:21:01 2000 GMT
       Not After : Jun  2 22:42:34 2001 GMT
     Subject: C=us, ST=ga, L=atlanta, O=Equifax, OU=Rick, CN=172.18.116.44/Email=richard.sigle@equifax.com
     Subject Public Key Info:
       Public Key Algorithm: rsaEncryption
       RSA Public Key: (1024 bit)
           Modulus (1024 bit):
             00:c8:eb:93:26:97:ca:00:ce:4c:e4:f3:fd:43:31:
             cd:53:ed:b4:8a:ad:93:84:dc:7a:48:39:b5:28:57:
             03:7f:a9:ac:3e:58:6a:7a:e3:52:3e:1e:52:58:a2:
             6f:23:ad:bb:84:d8:88:ed:6d:a5:da:08:6b:c8:6c:
             a5:4c:34:67:d8:46:1c:ca:20:50:b0:e8:54:7f:ca:
             5e:ef:09:ff:6e:8d:a6:2b:02:f5:54:0f:c2:d0:45:
             12:ad:66:e7:8b:dd:68:be:64:a4:9b:69:bd:a4:1a:
             5e:ef:09:ff:6e:8d:a6:2b:02:f5:54:0f:c2:d0:45:
             12:ad:66:e7:8b:dd:68:be:64:a4:9b:69:bd:a4:1a:
             5a:2f:3b:6e:73:84:d8:d6:17:bd:12:39:34:fa:3d:
             d8:a9:e8:59:3c:c2:61:c5:b3
           Exponent: 65537 (0x10001)
     X509v3 extensions:
       X509v3 Key Usage: critical
          Digital Signature, Non Repudiation, Key Encipherment, Data Encipherment
       Netscape Cert Type:
          SSL Server
       X509v3 Authority Key Identifier:
          keyid:5B:E0:A8:75:1C:78:02:47:71:AB:CE:27:32:E7:24:88:42:28:48:56
   Signature Algorithm: md5WithRSAEncryption
     87:53:74:e9:e1:a6:10:56:8c:fa:63:0e:7b:72:ff:76:4b:79:
     0e:49:2a:58:ed:71:7a:bf:77:61:fa:e8:74:04:37:8c:d3:6a:
     9a:3d:80:76:7a:c3:64:30:e7:1b:40:25:4e:2a:81:8b:e5:ac:
     76:a4:38:67:cc:3f:93:43:e1:1d:c3:8d:ba:ed:cc:d7:aa:a4:
     ab:d3:84:77:7c:8f:26:f6:dd:ba:3b:6a:99:81:e1:9e:7e:0f:
     ca:a6:ff:c0:c3:59:6e:dc:a6:03:23:bf:8f:24:ff:15:ad:ac:
     0d:85:fc:38:bf:d1:24:2d:1a:d3:72:55:12:95:5f:65:f0:60:
     df:b1

私钥文件

私钥内容


read RSA key
Enter PEM pass phrase:
Private-Key: (1024 bit)
modulus:
    00:c8:eb:93:26:97:ca:00:ce:4c:e4:f3:fd:43:31:
    cd:53:ed:b4:8a:ad:93:84:dc:7a:48:39:b5:28:57:
    03:7f:a9:ac:3e:58:6a:7a:e3:52:3e:1e:52:58:a2:
    6f:23:ad:bb:84:d8:88:ed:6d:a5:da:08:6b:c8:6c:
    a5:4c:34:67:d8:46:1c:ca:20:50:b0:e8:54:7f:ca:
    5e:ef:09:ff:6e:8d:a6:2b:02:f5:54:0f:c2:d0:45:
    12:ad:66:e7:8b:dd:68:be:64:a4:9b:69:bd:a4:1a:
    5a:2f:3b:6e:73:84:d8:d6:17:bd:12:39:34:fa:3d:
    d8:a9:e8:59:3c:c2:61:c5:b3
publicExponent: 65537 (0x10001)
privateExponent:
    00:b6:57:7d:3b:58:24:1e:a9:1b:85:e9:9c:9e:5f:
    d3:3d:69:0c:21:93:37:bf:2b:2c:da:e1:6c:74:48:
    cb:c7:0f:60:5f:50:74:8a:44:45:be:54:5c:5d:4e:
    45:58:f6:f1:a8:b5:af:46:f2:ec:c2:bc:43:bd:28:
    44:b7:ad:13:d3:ca:de:59:24:e8:fa:f8:e5:5f:45:
    38:2c:a0:a3:de:98:13:d8:80:38:e1:47:53:4c:ea:
    e4:66:c3:82:93:89:c3:90:83:44:e1:13:4f:74:76:
    e2:c0:89:97:77:5f:33:d8:7d:27:21:52:55:c2:d7:
    dc:01:f9:bc:21:8d:a3:f5:c1
prime1:
    00:e3:2d:6b:5e:05:6b:e1:46:e6:ab:ae:f3:8b:d0:
    5f:94:5c:6f:f5:47:46:1d:4e:66:d3:7e:98:18:e0:
    2c:0d:08:ca:b7:29:72:af:53:62:30:ec:be:26:1f:
    cc:5a:ed:65:62:65:70:1e:18:19:61:e3:77:00:a7:
    3a:9e:4e:12:93
prime2:
    00:e2:69:56:78:e8:39:ff:17:db:cc:39:d7:7f:70:
    41:dc:c5:59:43:16:c1:84:4c:ae:e7:5d:8a:c5:4b:
    da:88:8e:03:99:7c:88:f2:8a:13:31:57:44:e0:b5:
    c8:0a:60:b0:05:de:f6:9e:f2:00:ec:37:21:8d:3b:
    dc:8e:c9:d4:61
exponent1:
    1a:ad:6a:be:4f:c4:ab:5f:b8:16:d1:24:a8:76:7f:
    c2:dc:58:09:65:a5:46:2b:be:c7:77:46:45:25:8e:
    06:b9:d1:94:50:b9:b6:fd:03:ba:db:12:39:47:e2:
    a7:8a:d9:2d:04:dc:75:ac:3e:ce:cf:f7:59:8c:49:
    c5:ed:45:21
exponent2:
    2d:4e:fd:32:06:ef:0c:40:7f:08:d8:8e:6a:7f:51:
    7e:d7:b3:6c:3c:92:8f:62:35:22:31:d3:02:76:92:
    8d:ff:35:73:32:bb:c9:25:9e:7f:a2:42:33:61:cd:
    5d:5e:49:fb:72:ca:11:b6:c6:3e:7f:2d:e4:b0:95:
    0b:b2:12:21
coefficient:
    50:52:09:22:cb:fb:b2:b8:58:85:ab:1d:82:b9:6e:
    d0:f6:dc:e8:ce:a6:5d:a1:ff:c8:4d:3b:2b:1c:19:
    64:f0:c4:4a:bc:b2:1d:2b:2d:09:59:83:a3:9a:89:
    f8:db:2c:2c:8a:bd:fd:a3:16:51:76:aa:ce:ea:85:
    6b:1c:9f:f7

4.3 重启 Web 服务器

重启 Web 服务器的脚本可能位于 /usr/local/sbin、/usr/sbin（脚本名为 httpd）或 /usr/local/apache/bin（脚本名为 apachectl）中。如果您没有启用 SSL 运行服务器，则需要停止并启动服务器。您也可以编写自己的自定义脚本来启动、重启和停止服务器。只要它启动 SSL 引擎，您就应该没问题。

命令是


httpd stop
httpd startssl
httpd restart

或


apachectl stop
apachectl startssl
apachectl restart

下一步上一步目录