2. 程式人生 > >製作SSL自簽證書及Apache配置

製作SSL自簽證書及Apache配置

阿新 • • 發佈：2018-11-15

一. 安裝OpenSSL

tar zxvf openssl-0.9.7g.tar.gz
cd openssl-0.9.7g
./config
make
make install

二. 安裝Apache 

tar zxvf httpd-2.2.8.tar.gz 
./configure --prefix=/opt/apache2 --enable-ssl=static --with-ssl=/usr/local/ssl
make 
make install

三、 配置ca伺服器（注意：為了安全起見，不讓密碼混淆，所有密碼全部都是用123456）

1、配置ca伺服器，生成ca自己的公鑰，私鑰ca對自己進行證書自簽名

vi /etc/pki/tls/openssl.cnf
178行
註釋basicConstraints=CA:FALSE
basicConstraints=CA:TRUE        //自簽署證書可以使用

2、製作CA證書 

cd /etc/pki/CA/
 /etc/pki/tls/misc/CA -newca 
CA certificate filename (or enter to create)//按確定鍵
Making CA certificate ...
Generating a 1024 bit RSA private key
..............++++++
............
 
................................++++++
writing new private key to '../../CA/private/./cakey.pem'   //私鑰
Enter PEM pass phrase:123456    //鍵入密碼
Verifying - Enter PEM pass phrase:123456    //鍵入密碼

You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to
 
 enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [GB]:cn    //身份資訊
State or Province Name (full name) [Berkshire]:bj
Locality Name (eg, city) [Newbury]:bj
Organization Name (eg, company) [My Company Ltd]:abcd
Organizational Unit Name (eg, section) []:it
Common Name (eg, your name or your server's hostname) []:abcd.com
Email Address []:[email protected]
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:123456
An optional company name []:123456
Using configuration from /etc/pki/tls/openssl.cnf
Enter pass phrase for ../../CA/private/./cakey.pem: //使用私鑰自簽名
Check that the request matches the signature
Signature ok
Certificate Details:
Serial Number: 0 (0x0)
Validity
Not Before: Aug 26 09:34:27 2013 GMT
Not After : Aug 25 09:34:27 2016 GMT
Subject:
countryName               = cn
stateOrProvinceName       = bj
organizationName          = abcd
organizationalUnitName    = it
commonName                = abcd.com
emailAddress              = [email protected]
X509v3 extensions:
X509v3 Basic Constraints:
CA:TRUE
Netscape Comment:
OpenSSL Generated Certificate
X509v3 Subject Key Identifier:
3B:E9:78:DC:EB:CB:4A:41:EB:6B:40:CE:E0:D6:10:63:2D:D5:C5:C8
X509v3 Authority Key Identifier:
keyid:3B:E9:78:DC:EB:CB:4A:41:EB:6B:40:CE:E0:D6:10:63:2D:D5:C5:C8
Certificate is to be certified until Aug 25 09:34:27 2016 GMT (1095 days)
Write out database with 1 new entries
Data Base Updated

3、製作完成，可以獲得以下證書：

         /etc/CA/private/cakey.pem      //私鑰
        /etc/CA/cacert.pem      //根證書
        /etc/CA/careq.pem       //證書請求

四、 配置web伺服器
1、web伺服器生成自己的私鑰

 cd /opt/apache2/conf/
openssl genrsa -des3 -out server.key
Generating RSA private key, 512 bit long modulus
...............++++++++++++
...............++++++++++++
e is 65537 (0x10001)
Enter pass phrase for server.key:123456  //鍵入密碼
Verifying - Enter pass phrase for server.key:123456  //鍵入密碼
(執行完此命令之後會在當前目錄下生成server.key，此檔案是web伺服器的私鑰。)

2、生成伺服器證書請求檔案

 openssl req -new -key server.key > server.csr
Enter pass phrase for server.key:123456
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
--------------------------------------------------------------------
Country Name (2 letter code) [GB]:cn
State or Province Name (full name) [Berkshire]:bj
Locality Name (eg, city) [Newbury]:bj       //這部分資訊要求與ca一致
Organization Name (eg, company) [My Company Ltd]:abcd
Organizational Unit Name (eg, section) []:it
Common Name (eg, your name or your server's hostname) []:abcd.com
Email Address []:[email protected]
----------------------------------------------------------------------
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:123456

An optional company name []:123456

完成後當前目錄下會生成一個server.csr的檔案

3、ca伺服器對證書請求進行數字簽名

 cd /etc/pki/CA/
 openssl ca -keyfile /etc/pki/CA/private/cakey.pem -cert /etc/pki/CA/cacert.pem -in /opt/apache2/conf/server.csr -out   /opt/apache2/conf/server.crt
sing configuration from /etc/pki/tls/openssl.cnf
Enter pass phrase for /etc/CA/private/cakey.pem:
Check that the request matches the signature
Signature ok
Certificate Details:
        Serial Number: 1 (0x1)
        Validity
            Not Before: Aug 27 07:20:17 2013 GMT
            Not After : Aug 27 07:20:17 2014 GMT
        Subject:
            countryName               = cn
            stateOrProvinceName       = bj
            organizationName          = abcd
            organizationalUnitName    = it
            commonName                = abcd.com
            emailAddress              = root@root.com
        X509v3 extensions:
            X509v3 Basic Constraints: 
                CA:TRUE
            Netscape Comment: 
                OpenSSL Generated Certificate
            X509v3 Subject Key Identifier: 
                BE:FE:86:46:AA:5E:CC:54:39:5E:62:C4:99:BC:0E:34:A6:E6:01:B2
            X509v3 Authority Key Identifier: 
                keyid:96:B6:29:B1:79:0B:18:60:08:B6:08:D3:15:38:87:69:63:BA:81:CA

Certificate is to be certified until Aug 27 07:20:17 2014 GMT (365 days)
Sign the certificate? [y/n]:y
1 out of 1 certificate requests certified, commit? [y/n]y
Write out database with 1 new entries
Data Base Updated
完成後，會在/opt/apache2/conf目錄下生成server.crt檔案

若報錯openssl生成CA的時候出錯：TXT_DB error number 2 解決：
修改demoCA下 index.txt.attr
將
unique_subject = yes
改為
unique_subject = no

刪除demoCA下的index.txt,並再touch下
rm index.txt
touch index.txt

4、修改配置檔案

cp /etc/pki/CA/cacert.pem /opt/apache2/conf/
vim /opt/apache2/conf/httpd.conf
ServerName localhost:80   
Include conf/extra/httpd-ssl.conf //解註釋

vim /opt/apache2/conf/extra/httpd-ssl.conf

Listen 443 //可以改成其他埠
SSLPassPhraseDialog builtin //每次重啟Apache時需要輸入密碼
SSLSessionCache shmcb:/var/cache/mod_ssl/scache(512000)
SSLSessionCacheTimeout 300
SSLMutex default
SSLRandomSeed startup builtin
SSLRandomSeed connect builtin

<VirtualHost _default_:443>

ServerName localhost:443 
SSLEngine on
SSLCertificateFile /opt/apache2/conf/ssl.crt/server.crt          //證書檔案
SSLCertificateKeyFile /opt/apache2/conf/ssl.crt/server.key        //私鑰檔案
SSLCACertificateFile /opt/apache2/conf/ssl.crt/ca.crt           //證書鏈檔案

</VirtualHost>

可以按照如下方式重新匯入KEY檔案，則可以不用每次重啟Apache都需要輸入KEY檔案密碼

openssl rsa -in server.key -out server2.key
mv server.key server.key.originalkey
mv server2.key server.key

五、客戶端瀏覽器匯入證書

IE為例：
將伺服器中的證書到處到客戶端----開啟瀏覽器------【工具】--》【internet選項】--》【內容】--》【證書】--》【受信任的根證書頒發機構】r--》【匯入】,匯入server.crt

六、驗證

開啟瀏覽器，輸入https://IP  可以開啟與http同樣的頁面則表示SSL證書生效。

七、強制https跳轉

a) 檢查Apache有沒有編譯rewrite_module模組

ls /opt/httpd/modules

是否存在mod_rewrite.so
並且httpd.conf 是否有LoadModule …….mod_rewrite.so語句

若有一處不存在則需增加mod_rewrite模組：
1. find / -name mod_rewrite.c
//在apache的原始碼安裝目錄中尋找mod_rewrite.c檔案
2. 進入搜尋到的目錄
3. /opt/httpd/bin/apxs -c mod_rewrite.c
4. /opt/httpd/bin/apxs -i -a -n mod_rewrite mod_rewrite.la
5. vim /opt/httpd/conf/httpd.conf
修改LoadModule …….mod_rewrite.so為
LoadModule rewrite_module modules/mod_rewrite.so
儲存退出。

b) 配置 httpd.conf
對應以下位置作新增或修改：

    #   Options FileInfo AuthConfig Limit
        AllowOverride All
        Order allow,deny
        Allow from all
            RewriteEngine on
        RewriteCond %{SERVER_PORT} !^443$
        RewriteRule ^(.*)?$ https://cccb.com:443/$1 [L,R]
儲存退出

c) 驗證
在瀏覽器輸入http域名，會跳轉到https域名則配置成功。

注：
    單、向雙認證區別在http://blog.csdn.net/chenboblog/article/details/53835856有詳細介紹（在此鳴謝chenboblog的博文）

八、補充

以上為SSL雙向驗證的配置方法，服務端與客戶端都需要證書驗證，
如果使用單向驗證就不必這麼繁瑣，只需要在服務端配置證書即可，客戶端無需匯入證書。
單向驗證證書配置方法：

進入apache安裝目錄，將所有證書生成在此目錄下cd /opt/apache2/conf/
    1）  生成金鑰：openssl genrsa 1024 > server.key
            說明：這是用128位rsa演算法生成金鑰，得到server.key檔案
    2）  生成證書請求檔案：openssl req -new -key server.key > server.csr  
            說明：這是用步驟1的金鑰生成證書請求檔案server.csr, 

    3）  生成證書：openssl req -x509 -days 365 -key server.key -in server.csr > server.crt
        說明：這是用步驟1,2的的金鑰和證書請求生成證書server.crt，-days引數指明證書有效期，單位為天

然後修改相應配置檔案證書路徑（此處生成的單向認證證書名與雙向認證證書檔名一致，所以只需從起httpd即會生效）

相關推薦

製作SSL自簽證書及Apache配置

一. 安裝OpenSSL tar zxvf openssl-0.9.7g.tar.gz cd openssl-0.9.7g ./config make make install 二. 安裝Apache tar zxvf httpd-2.2.8.tar.gz ./confi

HTTPS過程以及詳細案例 OPENSSL生成SSL自簽證書

1.HTTPS的過程 　　   1.客戶端向服務端傳送請求，客戶端主要向伺服器提供以下資訊：  支援的協議版本，比如TLS 1.0版。 一個客戶端生成的隨機數，稍後用於生成"對話金鑰"。 支援的加密方法，比如RSA公鑰加密。  支援的壓縮方法。 2

Nginx 配置生成自簽證書

serve 公鑰加密 verify 十年 des can art rpe cat 1.創建服務器證書密鑰文件 server.key[root@3-107 ~]# openssl genrsa -des3 -out server.key 2048 Generating RS

openssl 自簽發證書及ssl 原理簡介（一）

提綱： 1、使用openssl自簽發證書 2、配置apache 3、配置客戶端 4、使用自簽發證書訪問apache 一、使用Openssl自簽發證書 首先裝openssl 。編輯配置檔案/etc/ssl/openssl.conf ，配置TSA root dir 等以下配置

創建CA自簽證書

ech data- city lease ber after .cn cal match 創建CA自簽證書 1，創建CA服務器的私鑰： (umask 0077;openssl genrsa -out cakey.pem 2048) 註意：將私鑰放在目錄下 /etc/pki/

Tomcat 及Apache 配置

Tomcat 及Apache 配置TOMCAT_HOME /conf/server.xml中做如下配置：<Host name="www.xxx.xxx" appBase="D:\web"><Context path="/otdr"

使用Openssl生成自簽證書

原文出自：http://www.joyios.com/?p=47 引言 使用HTTP（超文字傳輸）協議訪問網際網路上的資料是沒有經過加密的。也就是說，任何人都可以通過適當的工具攔截或者監聽到在網路上傳輸的資料流。但是有時候，我們需要在網路上傳輸一些安全性或者私祕性的資料，譬如：包含信

Nginx搭建HTTPS服務的自簽證書

SSL證書 證書型別簡介 要設定安全伺服器，使用公共鑰建立一對公私鑰對。大多數情況下，傳送證書請求（包括自己的公鑰），你的公司證明材料以及費用到一個證書頒發機構(CA)。CA驗證證書請求及您的身份，然後將證書返回給您的安全伺服器。 但是內網實現一個伺服器端和客戶端傳輸內容的加密，可以

OpenSSL Cookbook 4——自簽證書

簽署你自己的證書 如果你正在安裝一個TLS伺服器供你自己使用，你可能不想去CA的公開信任的證書。使用一個自簽名證書很容易。假設你已經閱讀前幾篇關於OpenSSL Cookbook的內容並已經生成了自己的CSR，那麼用下面的方法就可以簽署自己的證書了。

YTKNetWork原始碼解析——針對SSL自產證書認證如何隨心所欲的遊走在IP和域名之間並開啟想要的驗證

YTKNetWork原始碼解析—— 針對SSL自產證書認證如何隨心所欲的遊走在IP和域名之間並開啟想要的驗證 最近在進行遇到個比較奇葩棘手的問題，下面進行場景介紹： 1、  只有測試環境：ip地址，之後用 地址A替換 2、  生產環境：域名，之後使用地址B替換 3、  不

SSL阿里免費證書及IIS環境安裝

一、申請證書 登入：阿里雲控制檯，選擇：產品與服務，選擇：證書服務，點選右上角：購買證書。 購買：證書型別選擇 免費型DV SSL，然後完成購買。 補全：完成購買後在我的證書–控制檯，找到購買的證書，在操作欄裡選擇補全。填寫證書相關資訊。 域名驗證：可以選擇

（xampp）lampp 下配置https（ssl）自簽雙向認證以後 apache無法啟動解決方案

art blog xtra 場景 問題 .com 客戶端瀏覽器 php https 自簽CA一般是沒有應用場景的，因為需要客戶端瀏覽器導入證書才能訪問 但是在某些需要內部使用的場景下，確實是一個解決方案 但是在lampp配置了雙向認證以後發現 原來自帶的管理命令 lampp

小程式https域名免費SSL證書申請及Apache安裝配置

背景        小程式介面開發使用https協議，要申請SSL證書。現分享免費申請SSL證書和Apache安裝證書的方法。申請SSL證書        經檢索，現在大部分證書提供商要收費，只有騰訊雲還在免費申請中。        開啟騰訊雲的／證書種類選擇“域名型免費版(

【HTTPS】自簽CA證書 && nginx配置https服務

什麽 serve 其中 keepalive 構建 root openss nginx配置 {} 　　首先，搭建https服務肯定需要一個https證書。這個證書可以看做是一個應用層面的證書。之所以這麽說是因為https證書是基於CA證書生成的。對於正式的網站，CA證書需要到

phpstudy整合環境Apache配置SSL證書支援https訪問

本文作者使用的整合環境為PHPstudy2018，具SSL證書獲得方法用多種這裡就贅述。只針對本文作者在阿里雲申請的免費SSL證書，做講解。 第一步：登入你的阿里雲帳號找到購買SSL證書，找不到的可以直接在阿里帳號上搜索。 如圖購買就行，無費用。 第二步：新增TXT域名解釋記錄值.

JDK自帶工具keytool生成ssl證書（https自生成證書並配置到jboss和tomcat中）

1:什麼是HTTPS？ HTTPS其實是有兩部分組成：HTTP + SSL / TLS， 也就是在HTTP上又加了一層處理加密資訊的模組，並且會進行身份的驗證。 問題： Firebug和postman之類的瀏覽器除錯工具，為什麼獲取到的是明文？ 解答： SSL

debian 下 openssl自建證書SSL+apache [fix CA bug]

本文的主要目的是如何使用openssl生成伺服器和客戶端證書，並使用apache來搭建https伺服器，本文的內容主要來源於網上的其他的帖子，不過假如了一些修正： 1： 概念         A: SSL所使用的證書可以是自己建的生成的，也可以通過一個商業性CA如Ver

nginx配置免費SSL證書及證書定時更新

環境 contos 6,證書發行Let's Encrypt 證書生成前提是域名是可用的，即已經備案通過並且有DNS解析到了具體IP 1、安裝epel, >yum install epel-release 2、下載certbot證書生成工具certbot-auto &g

https證書申請及nginx配置，unknown directive "ssl"

阿里雲的免費ca證書已經沒有了，筆者建議騰訊雲 登入控制檯，找到SSL證書。進入購買頁面，找到域名型免費性（DV），點選“免費申請” 進入域名驗證環節，需要注意：通用域名必須是指定的一個明確的域名地址，不能是通配域名，其次私鑰密碼在申請的過程中是選填。 選在驗證方式，筆

SSL證書自簽名使用及監控

前言 證書簡介 資訊保安越來越受重視，HTTPS已經相當普及，要讓我們的HTTP介面支援HTPPS，只需要一個SSL證書就可以啦 全稱公鑰證書（Public-Key Certificate, PKC）,裡面儲存著歸屬者的基本資訊，以及證書過期時間、歸屬者的公鑰，並由認證機構（Certification Au