Enterprise 利用 a2ensite 有效化的虛擬主機沒需要使用時可用 a2dissite 無效化再修改 apache2.conf 的內容, 將 ServerName 設定為 , 設定完成後重新啟動 Apache 即可啟用 SSL 接下來要啟用 Apache 的 SSL

Size: px

Start display at page:

Download "Enterprise 利用 a2ensite 有效化的虛擬主機沒需要使用時可用 a2dissite 無效化再修改 apache2.conf 的內容, 將 ServerName 設定為 , 設定完成後重新啟動 Apache 即可啟用 SSL 接下來要啟用 Apache 的 SSL"

眉肥任
5 years ago
Views:

文 / 圖 : 麥經倫 Enterprise 為伺服器安裝電子證書增強網站的可信度上期我們介紹過客戶在瀏覽網站時, 可以如何在瀏覽器匯入電子證書, 從而證明網站的身份本期我們會以 Ubuntu 12.10 伺服器版本為例, 介紹如何在 Linux 的 Apache 網頁伺服器上安裝電子證書安裝 Ubuntu 12.

10 伺服器會從 DHCP 伺服器自動取得 IP 位址, 但這樣卻有機會令每次開機時 IP 位址都不一樣, 對伺服器而言並不妥當, 所以要改為使用固定 IP 位址些設定欺騙本地的主機, 假設要將伺服器命名為 sslsimple.

$168.1.1 然後重新啟動網路即可 ( 圖 1) 圖 2: 編輯 Windows\System32\Drivers\etc\hosts C:\Windows\System32\Drivers\etc\hosts 在 Windows 下可利用系統管理員權限打開記事本, 再打開上述檔案, 在最下方輸入以下內容 ( 圖 2) sudo service networking$

1 文 / 圖 : 麥經倫 Enterprise 為伺服器安裝電子證書增強網站的可信度上期我們介紹過客戶在瀏覽網站時, 可以如何在瀏覽器匯入電子證書, 從而證明網站的身份本期我們會以 Ubuntu 伺服器版本為例, 介紹如何在 Linux 的 Apache 網頁伺服器上安裝電子證書安裝 Ubuntu 時我們可以選擇安裝 LAMP (Linux+Apache+MySQL+PHP), 完成安裝後首要的任務便是設定 IP 位址預設值下 Ubuntu 伺服器會從 DHCP 伺服器自動取得 IP 位址, 但這樣卻有機會令每次開機時 IP 位址都不一樣, 對伺服器而言並不妥當, 所以要改為使用固定 IP 位址些設定欺騙本地的主機, 假設要將伺服器命名為 sslsimple. com, 要令 Windows 客戶端相信自己正在存取它, 就要打開以下設定檔改為固定 IP 位址編輯 /etc/netork/interfaces, 將內容改為以下模樣, 這是將伺服器 IP 位址設定為閘道為時的例子 auto lo iface lo inet loopback auto eth0 iface eth0 inet static address netmask network broadcast gateway 然後重新啟動網路即可 ( 圖 1) 圖 2: 編輯 Windows\System32\Drivers\etc\hosts C:\Windows\System32\Drivers\etc\hosts 在 Windows 下可利用系統管理員權限打開記事本, 再打開上述檔案, 在最下方輸入以下內容 ( 圖 2) sudo service networking restart sslsimple.com 在伺服器一方也要編輯 /etc/hosts, 加入以下內容 ( 圖 3), 並重新啟動網路完成後在 Windows 輸入 sslsimple.com 便可以存取伺服器的頁面 ( 圖 4) sslsimple.com 圖 1: 編輯 /etc/netork/interfaces 使用固定網域名稱使用電子證書的其中一個條件是必須有一個完整格式的網域名稱 (FQDN), 但如果沒有但又想試用一下的話, 也可以利用一圖 3: 編輯 /etc/hosts 59

Enterprise 利用 a2ensite 有效化的虛擬主機沒需要使用時可用 a2dissite 無效化再修改 apache2.conf 的內容, 將 ServerName 設定為 127.0.

2 Enterprise 利用 a2ensite 有效化的虛擬主機沒需要使用時可用 a2dissite 無效化再修改 apache2.conf 的內容, 將 ServerName 設定為 , 設定完成後重新啟動 Apache 即可啟用 SSL 接下來要啟用 Apache 的 SSL 功能圖 4: 存取伺服器的頁面 sudo a2enmod ssl 固定網域名稱進階設定以上設定可以讓我們正常存取一般的 http 頁面, 但要存取加密的 https 便會有困難解決辦法是使用 Apache 的虛擬主機 (Virtual Host) 功能, 首先是在 /etc/hosts 加入新的網域名稱, 在上面我們已經加入了 sslsimple.com, 所以不用再作任何改動接下來在 /etc/ apache2/sites-available/ 下為每個 Virtual Host 製作一個檔案, 預設值下已經有一個名為 default 的設定檔, 如果只是加入一個網域名稱的話, 直接沿用它就可以了, 只需要加入以下一行 ( 圖 5) ServerAlias sslsimple.com 然後在 /etc/apache2/apache2.conf 加入以下一行 ServerName 設定好後重新啟動 Apache a2enmod 用來啟用模組, 要停用模組可用 a2dismod, 完成後重新啟動 Apache 製作存放電子證書的目錄, 目錄名稱和名字都是任意的 mkdir /etc/apache2/ssl 使用私人簽發證書電子證書可以是私人簽發 (Self Signed) 的, 也可以是由第三方認證機構 (CA) 簽發的私人簽發的好處是免費, 但就缺乏了由第三方認證機構 (CA) 簽發證書的公信力, 因此在真正運作的網站, 最好使用由第三方機構簽發的電子證書這裡因為要為方便解說, 故先示範用私人簽發的證書, 用以下命令即可製作出來 openssl req -new -x509 -days 365 -nodes -out /etc/apache2/ ssl/apache.pem -keyout /etc/apache2/ssl/apache.key 目的是生成一個有效期一年的電子證書, 途中需要輸入關於網站的資料 ( 圖 6) 自我簽發的證書要求不高, 最重要的是輸入網站名稱, 其他資訊自行決定要輸入什麼就可以了然後修改 /etc/apache2/ports.conf, 將 NameVirtualHost 的 *:80 改為 *:443, 並加入 Listen 443 NameVirtualHost *:443 Listen 443 這是只有一個網域名稱的情形, 如果有多台虛擬主機, 就要將圖 5: 加入 ServerAlias 的設定技術常識 : 加入多台虛擬主機 Virtual Host 可以讓我們用同樣的方法無限量地加入新的名字, 例如要加入 sslabc.com, 便可在 /etc/hosts 加入以下一行 sslabc.com 接下來在 /etc/apache2/sites-available/ 下製作一個檔案 sslabc, 內容與 default 一樣, 只是 ServerAlias 指定的名字不同 * 改為伺服器的 IP 位址, 下面亦是如此接下來修改以下設定檔 /etc/apache2/sites-available/default 在 <VirtualHost *:443> 和 </VirtualHost> 之間加入以下三行 ( 圖 7) SSLEngine On SSLCertificateFile /etc/apache2/ssl/apache.pem SSLCertificateKeyFile /etc/apache2/ssl/apache.key sudo a2ensite sslabc 最後重新啟動 Apache 便告完成 60

圖6 途中需要輸入關於網站的資料圖8 客戶看到的警告訊息圖7 修改 Virtual Host 的設定技術常識 SSL 設定檔的位置電子證書設定

apache2/sites-available/default 或 /etc/apache2/ sites-available/default-ssl 部分

/etc/apache2/sites-enabled/000default 但 000-default 並不是一個檔案而是一條向著

<VirtualHost *:443> 和 </ VirtualHost> 所包圍在客戶端檢視在客戶端打開 https://sslsimple.

3 圖6 途中需要輸入關於網站的資料圖8 客戶看到的警告訊息圖7 修改 Virtual Host 的設定技術常識 SSL 設定檔的位置電子證書設定檔的位置會因應 Linux 版本而有所不同以 Ubuntu 等 Debian 系列的版本為例可以是 /etc/ apache2/sites-available/default 或 /etc/apache2/ sites-available/default-ssl 部分網站和書籍會介紹教人圖9 按下方新增例外網站修改另一個設定檔 /etc/apache2/sites-enabled/000default 但 000-default 並不是一個檔案而是一條向著 /etc/apache2/sites-available/default 的鏈結因此不論修改 000-default 或 default 結果都是一樣至於 default-ssl 則是 Ubuntu 自起新增的 SSL 專用設定檔大家可以選擇將以上內容寫在 default-ssl 中要點是這些設定必須如上文般被 <VirtualHost *:443> 和 </ VirtualHost> 所包圍在客戶端檢視在客戶端打開由於電子證書並非由認可的機構簽發故會看到警告訊息圖 8 以 Firefox 瀏覽器為例解決方法是按下方新增例外網站圖 9 這時可以按檢視查看電子證書內容圖 10 也可以按確認安全例外直接到網站圖 11 圖10 查看電子證書內容 q indd 61 10/5/ :22:32

Enterprise 向申請人發出一封內有密碼的信件, 和一封主旨為 Submission of Certificate Signing Request(CSR) 的電子郵件, 按一下超連結以連線至香港郵政核證機關的網站 ( 圖 12) 輸入伺服器名稱印於密碼信封面的九位數字參考編號及印於密碼信封內的十六位數字電子證書密碼, 然後按提交 ( 圖 13), 完成後按提交確認申請資料

或同一網域名稱下多台伺服器上使用, 由香港郵政發布的電子證書 ( 伺服器 ) 多域版及通用版便是一例為簡單起見, 這裡示範的是供單一伺服器使用的版本首先要向香港郵政核證機關申請, 核證機關在收到申請後, 會向申請人發出主旨為 Submission of Certificate Signing Request (CSR) 的郵件, 要求申請人到香港郵政核證機關的網站提交證書簽署要求

4 Enterprise 向申請人發出一封內有密碼的信件, 和一封主旨為 Submission of Certificate Signing Request(CSR) 的電子郵件, 按一下超連結以連線至香港郵政核證機關的網站 ( 圖 12) 輸入伺服器名稱印於密碼信封面的九位數字參考編號及印於密碼信封內的十六位數字電子證書密碼, 然後按提交 ( 圖 13), 完成後按提交確認申請資料如發現資料不正確, 必須聯絡香港郵政核證機關 ( 圖 14) 接下來用文字編輯器開啟較早前生成的 CSR, 並複製全部內容, 包括 -----BEGIN 圖 11: 按確認安全例外直接到網站使用第三方簽發證書接下來我們看看如何生成和安裝由第三方認證機構所簽發的電子證書, 此等證書一般要求申請者安裝在指定 IP 位址或網域名稱的網站上, 但市面上也有部分產品可同時在多個不同網域名稱或同一網域名稱下多台伺服器上使用, 由香港郵政發布的電子證書 ( 伺服器 ) 多域版及通用版便是一例為簡單起見, 這裡示範的是供單一伺服器使用的版本首先要向香港郵政核證機關申請, 核證機關在收到申請後, 會向申請人發出主旨為 Submission of Certificate Signing Request (CSR) 的郵件, 要求申請人到香港郵政核證機關的網站提交證書簽署要求 (CSR),CSR 可以利用 OpenSSL 生成產生證書簽署要求我們要生成一個用 Triple-DES (3DES) 加密的 2048 位元 RSA 密碼匙 myserver.key, 因為小於 2048 位元的密碼匙或未能提供足夠保密程度, 但大於 2048 位元有可能與某些瀏覽器不兼容, 所以建議選擇長度為 2048 位元的密碼匙, 從而提供較佳的保密程度, 過程中將被提示輸入及確認密碼注意請牢記這個非常重要的密碼, 因為及後每次啟動 Apache 伺服器時, 都需要提供這個密碼 NEW CERTIFICATE REQUEST----- 及 -----END NEW CERTIFICATE REQUEST----- 的部分 ( 圖 15) 在方格內貼上內容, 然後按提交 ( 圖 16), 按接受證書確認接受此證書 ( 圖 17) 屬性 Country State or Province Locality Organization Organizational Unit Common Name Address Challenge Password Optional Company Name 表 1: 生成 CSR 時要輸入的資料下載電子證書範例 HK Hong Kong Hong Kong SSL Simple Ltd. Simple Unit sslsimple.com 經過以上步驟後, 我們便完成了生成證書的工作, 接下來便要下載這些證書, 分別有 Hongkong Post e-cert (Server) Hongkong Post e-cert CA 1-10 和 Hongkong Post Root CA 1 三張, 我們也可以從搜尋及下載證書網頁下載電子證書 ( 伺服器 ) openssl genrsa -des3 -out /etc/apache2/ssl/myserver.key 接下來用上述的密碼匙 myserver.key 生成證書簽署要求 myserver.csr, 過程中被提示輸入密碼 openssl req -new -key myserver.key -out myserver.csr 當指令提示以下 X.509 證書屬性時, 請輸入以下資料 ( 表 1) 注意要確保於 Common Name 一欄輸入正確的登記網域名稱, 及在 Country Name 一欄輸入國家或地區名稱, 香港的話便是 HK 提交 CSR 前, 應為輸入過的資料備份提交證書簽署要求香港郵政核證機關會審核申請人的資料, 通過審核的話便會圖 12: 連線至香港郵政核證機關的網站 62

圖13 輸入九位數字編號及十六位數字密碼圖17 按接受證書確認接受將此三張證書下載到剛才用來保存證書的目錄 /etc/

key 和三個以 cer 為延伸檔名的檔案例如 cert0000812106.cer ecert_ ca_1-10_64.

cer 切換到 /etc/apache2/ ssl/ 下制作一個包含 Hongkong Post e-cert CA 1-10 根源證書及

或 /etc/apache2/sites- available/default-ssl 找出 SSL 專用的 Vir tual Host 區塊在 <Vir

/etc/apache2/ssl/myserver.key SSLCertificateFile /etc/apache2/ssl/cert0000812086.

5 圖13 輸入九位數字編號及十六位數字密碼圖17 按接受證書確認接受將此三張證書下載到剛才用來保存證書的目錄 /etc/ apache2/ssl/ 這時此目錄下應該有 myserver.key 和三個以 cer 為延伸檔名的檔案例如 cert cer ecert_ ca_1-10_64.cer 和 smartid_rt_64.cer 切換到 /etc/apache2/ ssl/ 下制作一個包含 Hongkong Post e-cert CA 1-10 根源證書及 Hongkong Post Root CA 1 根源證書的證書鏈檔案圖14 完成後按提交 hkpostca.crt cat smartid_rt_64.cer ecert_ca_1-10_64.cer > hkpostca.crt 打開 Apache 的 SSL 組態設定檔案 /etc/apache2/ sites-available/default 圖19 查看電子證書的詳細內容或 /etc/apache2/sites- available/default-ssl 找出 SSL 專用的 Vir tual Host 區塊在 <Vir tualhost *:443> 和 </Vir tualhost> 之間加入以下三行 SSLCertificateKeyFile /etc/apache2/ssl/myserver.key SSLCertificateFile /etc/apache2/ssl/cert cer SSLCertificateChainFile /etc/apache2/ssl/hkpostca.crt 圖15 複製 CSR 的全部內容最後啟動 SSL 和重新啟動 Apache 伺服器 sudo a2enmod ssl 在客戶端瀏覽器打開由於電子證書由認可的機構簽發因此不會看到警告訊息前提是瀏覽器本身已經匯入了香港郵政的電子證書詳情請看上期香港郵政電子證書圖16 貼上內容後按提交 q indd 63 10/5/ :22:36

(CSR)...2 CA CA CA CA Base64 CA CA SSL

(CSR)...2 CA CA CA CA Base64 CA CA SSL 2005 6 17 Red Hat Linux 7.2 apache 1.3.20-16 IE 5.0 Apache1.3.20-16 www.cnca.net Guangdong Electronic Certification Authority ...1...1 (CSR)...2 CA...3 4.1...3 4.2...5...5 5.1...5 5.2 CA...6 5.2.1 CA...6

Enterprise 利用 a2ensite 有效化的虛擬主機沒需要使用時可用 a2dissite 無效化 再修改 apache2.conf 的內容, 將 ServerName 設定為 , 設定完成後重新啟動 Apache 即可 啟用 SSL 接下來要啟用 Apache 的 SSL

Enterprise 利用 a2ensite 有效化的虛擬主機沒需要使用時可用 a2dissite 無效化再修改 apache2.conf 的內容, 將 ServerName 設定為 , 設定完成後重新啟動 Apache 即可啟用 SSL 接下來要啟用 Apache 的 SSL