linux下安裝Apache(https) 伺服器憑證安裝配置指南

標籤：des   style   http   使用   strong   檔案   io   art   

一、  安裝準備

1.    安裝Openssl
要使Apache支援SSL，需要首先安裝Openssl支援。推薦下載安裝openssl-0.9.8k.tar.gz  
下載Openssl：http://www.openssl.org/source/
       tar -zxf openssl-0.9.8k.tar.gz    //解壓安裝包  
       cd openssl-0.9.8k                 //進入已經解壓的安裝包  
       ./config                          //配置安裝。推薦使用預設配置  
       make && make install              //編譯及安裝  
openssl預設將被安裝到/usr/local/ssl

2.    安裝Apache 
./configure --prefix=/usr/local/apache --enable-so --enable-ssl --with-ssl=/usr/local/ssl --enable-mods-shared=all                               //配置安裝。推薦動態編譯模組  
make && make install 
動態編譯Apache模組，便於模組的載入管理。Apache 將被安裝到/usr/local/apache  

二、  產生認證請求檔案

1.    建立私密金鑰 
在建立認證請求之前，您需要首先產生伺服器憑證私密金鑰檔案。 
cd /usr/local/ssl/bin                    //進入openssl安裝目錄 
openssl genrsa -out server.key 2048      //運行openssl命令，產生2048位長的私密金鑰server.key檔案。如果您需要對 server.key 添加保護密碼，請使用 -des3 擴充命令。Windows環境下不支援加密格式私密金鑰，Linux環境下使用加密格式私密金鑰時，每次重啟Apache都需要您輸入該私密金鑰密碼（例：openssl genrsa -des3 -out server.key 2048）。
 
2.    產生認證請求（CSR）檔案  
openssl req -new -key server.key -out certreq.csr  
Country Name：                           //您所在國家的ISO標準代號，中國為CN  
State or Province Name：                 //您單位所在地州/省  
Locality Name：                          //您單位所在地的市/縣/區  
Organization Name：                      //您單位/機構/企業合法的名稱  
Organizational Unit Name：               //部門名稱  
Common Name：                            //通用名，例如：www.itrus.com.cn。此項必須與您訪問提供SSL服務的伺服器時所應用的網域名稱完全符合。  
Email Address：                          //您的郵件地址，不必輸入，直接斷行符號跳過  
"extra"attributes                        //以下資訊不必輸入，斷行符號跳過直到命令執行完畢。
  
3.    備份私密金鑰並提交認證請求  
請將認證請求檔案certreq.csr提交給天威誠信，並備份儲存認證私密金鑰檔案server.key，等待認證的簽發。伺服器憑證金鑰組必須配對使用，私密金鑰檔案丟失將導致認證不可用。
  
三、  安裝伺服器憑證

1.    擷取伺服器憑證中級CA認證
從郵件中擷取中級CA認證：
將認證簽發郵件中的從BEGIN到 END結束的中級CA認證內容（包括“-----BEGIN CERTIFICATE-----”和“-----END CERTIFICATE-----”）粘貼到記事本文字檔中。修改副檔名，儲存為intermediate.crt檔案。  
下載中級CA認證：http://www.itrus.com.cn/verisignchina/Service/download/

2.    擷取伺服器憑證  
將認證簽發郵件中的從BEGIN到 END結束的伺服器憑證內容（包括“-----BEGIN CERTIFICATE-----”和“-----END CERTIFICATE-----”） 粘貼到記事本等文字編輯器中，儲存為server.crt檔案 

3.    Apache 2.0.63的配置  
開啟apache安裝目錄下conf目錄中的httpd.conf檔案，找到  
#LoadModule ssl_module modules/mod_ssl.so  
刪除行首的配置語句注釋符號“#”  
儲存退出。  
開啟apache安裝目錄下conf目錄中的ssl.conf檔案，找到  
在設定檔中尋找以下配置語句  
SSLCertificateFile conf/ssl.crt/server.crt             將伺服器憑證配置到該路徑下  
SSLCertificateKeyFile conf/ssl.key/server.key        將伺服器憑證私密金鑰配置到該路徑下  
#SSLCertificateChainFile conf/ssl.crt/ca.crt          刪除行首的“#”號注釋符，並將中級CA認證intermediate.crt配置到該路徑下  
儲存退出，並重啟Apache。重啟方式：  
進入Apache安裝目錄下的bin目錄，運行如下命令  
./apachectl -k -stop  
./apachectl startssl

4.    Apache 2.2.* 的配置  
開啟apache安裝目錄下conf目錄中的httpd.conf檔案，找到  
#LoadModule ssl_module modules/mod_ssl.so  
#Include conf/extra/httpd_ssl.conf  
刪除行首的配置語句注釋符號“#”  
儲存退出。  
開啟apache安裝目錄下conf/extra目錄中的httpd-ssl.conf檔案  
在設定檔中尋找以下配置語句  
SSLCertificateFile conf/ssl.crt/server.crt         將伺服器憑證配置到該路徑下  
SSLCertificateKeyFile conf/ssl.key/server.key    將伺服器憑證私密金鑰配置到該路徑下  
#SSLCertificateChainFile conf/ssl.crt/ca.crt      刪除行首的“#”號注釋符，並將中級CA認證intermediate.crt配置到該路徑下  
儲存退出，並重啟Apache。重啟方式：  
進入Apache安裝目錄下的bin目錄，運行如下命令  
./apachectl -k -stop  
./apachectl startssl
通過https方式訪問您的網站，測試網站認證的安裝配置。
 
四、  伺服器憑證的備份及恢複 

在您成功的安裝和配置了伺服器憑證之後，請務必依據下面的操作流程，備份好您的伺服器憑證，以防認證丟失給您帶來不便。

1.    伺服器憑證的備份  
備份伺服器憑證私密金鑰檔案server.key，伺服器憑證檔案server.crt，以及伺服器憑證中級CA認證檔案intermediate.crt即可完成伺服器憑證的備份操作。
  
2.    伺服器憑證的恢複  
請參照伺服器憑證配置部分，將伺服器憑證密鑰檔案恢複到您的伺服器上，並修改設定檔，恢複伺服器憑證的應用。