Apache 部署SSL数字证书及安全性设置

Apache作为最常见的一种Web服务器，其普及度、易用性及稳定性都非常高，Apache也可以部署基于HTTPS的安全Web服务器，本文介绍如何在Apache上部署签发的SSL数字证书。

一、准备材料

1. CSR证书请求文件和私钥文件

私钥通常是在准备CSR证书请求文件时生成，使用openSSL生成存在CSR文件的同级目录中 - 生成CSR证书请求文件，使用在线工具会将随机生成的私钥+CSR发送到邮箱中，使用IIS生成CSR要求在完成证书请求后提取私钥 - SSL/TLS多种证书类型的转换。将CSR提交给infiniSign申请证书，将私钥自行妥善保管。

2. 签发证书

签发证书也就是经过CA验证过域名或者企业信息后所签发的域名证书，例如Web服务器会使用 www.yourdomain.com 作为主要网站，那么该证书验证的域名就是 www.yourdomain.com ，通过CA签发的证书需要购买数字证书，最低￥39/年的Comodo PositiveSSL就是一款的入门级SSL数字证书，立即前往购买

3. 证书链

一个完整的证书链应该由证书 + 中级证书A + 中级证书B + ... +根证书构成，所以通常，由CA签发的证书压缩包中会有1个或者多个中级证书，另外多家CA的中级证书在官网上有下载，关于合并中级证书请参考：SSL证书链不完整导致浏览器不受信任

二、安装部署

1. 单主机

将第一部的私钥 server.key、证书 server.crt、证书链 server-chain.crt 三个文件放入服务器中任意目录，编辑/etc/httpd/conf.d/ssl.conf文件，配置以下代码（自行修改路径）

# 签发证书
SSLCertificateFile /etc/pki/tls/certs/server.crt
# 私钥
SSLCertificateKeyFile /etc/pki/tls/private/server.key
# 合并后的证书链
SSLCertificateChainFile /etc/pki/tls/certs/server-chain.crt

保存后重启httpd服务，使SSL配置生效

2. 多个虚拟主机

和Apache的80端口的Web虚拟主机配置类似，将三个文件放入指定目录后，编辑/etc/httpd/conf.d/ssl.conf文件，配置以下代码（自行修改路径）

<VirtualHost *:443>
    SSLEngine on
    SSLCertificateFile /etc/pki/tls/certs/server.crt
    SSLCertificateKeyFile /etc/pki/tls/private/server.key
    SSLCertificateChainFile /etc/pki/tls/certs/server-chain.crt
    <Directory /var/www/html/subhost>
        AllowOverride All
    </Directory>
    ServerAdmin [[email protected]](mailto:[email protected])
    DocumentRoot /var/www/html/subhost
    ServerName www.yourdomain.com
</VirtualHost>

3. 安全性配置

关闭SSLv2和SSLv3的安全漏洞

目前已知的SSLv2和SSLv3安全漏洞需要关闭，可使用在线工具检查服务器部署中的SSLv2和SSLv3是否关闭，关闭方法如下：

Apache 2.2.22以前版本：SSLProtocol TLSv1
Apache 2.2.23及以后版本：SSLProtocol ALL -SSLv2 -SSLv3
Apache + mod_nss：NSSProtocol TLSv1.0,TLSv1.1

配置加密套件

推荐的简单配置（满足苹果ATS对SSL/TLS的安全检测要求）

SSLCipherSuite ECDH:AESGCM:HIGH:!RC4:!DH:!MD5:!aNULL:!eNULL;

兼容性配置

SSLCipherSuite ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:AES:CAMELLIA:DES-CBC3-SHA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH:!EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA
SSLHonorCipherOrder on

4. 注意事项

XP不支持SNI单服务器多虚拟主机下证书部署
中级证书通常会在签发证书的邮件中提供
以上配置/etc/httpd/conf.d/ssl.conf中可以配置为全局，也可以在虚拟主机中配置

参考文章：

https://blog.longwin.com.tw/2014/11/apache2-nginx-disabled-sslv2-sslv3-2014/