Linux下Web服务器应用之网站安全-https

不念不忘少年蓝@ 2022-02-21 06:21 353阅读 0赞

原创作品，允许转载，转载时请务必以超链接形式标明文章  [原始出处][Link 1]  、作者信息和本声明。否则将追究法律责任。 [http://xjzhujunjie.blog.51cto.com/3582724/808983][Link 1]

**Linux下Web服务器应用之网站安全(https)解决方案**

HTTPS（全称：Hypertext Transfer Protocol over Secure Socket Layer），是以安全为目标的HTTP通道，简单讲是HTTP的安全版。即HTTP下加入SSL层，HTTPS的安全基础是SSL，因此加密的详细内容就需要SSL。 它是一个URI scheme（抽象标识符体系），句法类同http:体系。用于安全的HTTP数据传输。https:URL表明它使用了HTTP，但HTTPS存在不同于HTTP的默认端口及一个加密/身份验证层（在HTTP与TCP之间）。这个系统的最初研发由网景公司进行，提供了身份验证与加密通讯方法，现在它被广泛用于万维网上安全敏感的通讯，例如交易支付方面。

**案例应用1：Web服务器应用之https**

**1.企业实现要求：**

某公司要求在公司内部自行搭建CA证书服务器，用于提高证书服务（在windows server 2008上实现）；并且为公司内部的WWW服务器提供证书服务，提供正常服务。

**2.案例应用简化拓扑图：**

[![001931847.png][]][001931847.png]

**3.案例实现步骤：**

**（1）在windows server2008上搭建CA证书服务器**

[![001953342.png][]][001953342.png]

[![002003797.png][]][002003797.png]

[![002016451.png][]][002016451.png]

[![002027224.png][]][002027224.png]

**（2）在web服务器上安装相应的软件**

**\[root@www ~\]\# mkdir /mnt/cdrom**

**\[root@www ~\]\# mount /dev/cdrom /mnt/cdrom/**

**\[root@www ~\]\# cd /mnt/cdrom/Server/**

**\[root@www Server\]\# rpm -ivh httpd-2.2.3-22.el5.i386.rpm**

**\[root@www ~\]\# yum install -y mod\_ssl**

**（3）配置web服务器的虚拟主机**

\#创建网页文件

**\[root@www www\]\# cat html/index.html**

**--www**

**--xjzhujunjie**

**--2012/03/17**

**\[root@www www\]\# cat tec/index.html**

**--tec**

**--xjzhujunjie**

**--2012/03/17**

**\[root@www www\]\# cat mkt/index.html**

**--mkt**

**--xjzhujunjie**

**--2012/03/17**

\#编辑apache配置文件

\[root@www ~\]\# vim /etc/httpd/conf/httpd.conf

**134 Listen 80**

**973 NameVirtualHost 192.168.101.111:80**

**992 <VirtualHost 192.168.101.111:80>**

**993 ServerAdmin master@junjie.com**

**994 DocumentRoot /var/www/html**

**995 ServerName www.junjie.com**

**996 ErrorLog logs/www-error\_log**

**997 CustomLog logs/www-access\_log common**

**998 </VirtualHost>**

**999 <VirtualHost 192.168.101.111:80>**

**1000 ServerAdmin master@junjie.com**

**1001 DocumentRoot /var/www/tec**

**1002 ServerName tec.junjie.com**

**1003 ErrorLog logs/tec-error\_log**

**1004 CustomLog logs/tec-access\_log common**

**1005 </VirtualHost>**

**1006 <VirtualHost 192.168.101.111:80>**

**1007 ServerAdmin master@junjie.com**

**1008 DocumentRoot /var/www/mkt**

**1009 ServerName mkt.junjie.com**

**1010 ErrorLog logs/mkt-error\_log**

**1011 CustomLog logs/mkt-access\_log common**

**1012 </VirtualHost>**

**（4）重启web服务器，测试虚拟主机**

\[root@www ~\]\# service httpd restart \#重启apache服务

Win7客户端测试在C:\\Windows\\System32\\drivers\\etc\\hosts添加：

192.168.101.250 www.junjie.com

192.168.101.250 tec.junjie.com

192.168.101.250 mkt.junjie.com

Win7客户端使用IE9浏览器测试结果如下（虚拟主机完成）：

[![002053313.png][]][002053313.png]

**（5）为web服务器申请证书**

**\[root@www httpd\]\# mkdir certs**

**\[root@www httpd\]\# cd certs/**

**\[root@www certs\]\# openssl genrsa 1024 >httpd.key**

**\[root@www certs\]\# chmod 600 httpd.key**

CN/HENAN/ZHENGZHOU/zzu/junjie/www.junjie.com/xjzhujunjie@hotmail.com///

在linux的web服务器上启动桌面环境，用于申请证书

在firefox浏览器中输入[http://192.168.101.112/certsrv][http_192.168.101.112_certsrv]来申请证书

[![002122436.png][]][002122436.png]

选择申请证书，即可进入申请证书页面，将刚才生成的请求文件填写在下面

[![002148719.png][]][002148719.png]

[![002200154.png][]][002200154.png]

可以看到，此时证书服务器已经向web服务器返回信息，提示正在审核中

此时进入windows server 2008证书服务器上，开始审核web服务器申请的证书，选择挂起的证书，即可看到web服务器提交的申请信息

[![002222200.png][]][002222200.png]

选择信息时，右键，所有任务，颁发证书，为web服务器颁发证书；接下来便可以在颁发的证书中看到已经颁发的证书；

[![002236494.png][]][002236494.png]

Linux的web服务器再次在firefox浏览器中输入[http://192.168.101.112/certsrv][http_192.168.101.112_certsrv]，查看挂起的证书，并下载证书

[![002301462.png][]][002301462.png]

[![002319671.png][]][002319671.png]

[![002330921.png][]][002330921.png]

刚下载的证书，默认保存在桌面，将其移动到/etc/httpd/certs/下。

**（6）修改web服务器证书文件**

**\[root@junjie ~\]\# cd /etc/httpd/conf.d/ssl.conf**

**112 SSLCertificateFile /etc/httpd/certs/httpd.cer**

**119 SSLCertificateKeyFile /etc/httpd/certs/httpd.key**

**128 SSLCertificateChainFile /etc/httpd/certs/cacert.p7b**

\[root@www ~\]\# service httpd restart \#重启apache服务

**（7）win7客户端使用https安全访问网页**

使用win7的IE9测试，输入安全网址[https://www.junjie.com][https_www.junjie.com]

，此时浏览器提示安全警告，提示此网站的安全证书有问题，并将警告信息显示出来，具体如下：

[![002355818.png][]][002355818.png]

如若：用户强制继续访问，侧依然可以访问，但是浏览器地址栏中，已经变成红色报警信息，提示此网站不安全

[![002536642.png][]][002536642.png]

[![002547241.png][]][002547241.png]

说明：在此由于我没有使用IE9浏览器，没有解决证书问题，故又使用搜狗浏览器来解决证书错误问题！若，你可以帮助我解决请在本文留言，多谢了！

使用搜狗浏览器警报信息如下：

[![002612121.png][]][002612121.png]

此时，选择查看证书-证书路径-查看安装根证书和web服务器证书

[![002635121.png][]][002635121.png]

[![002648803.png][]][002648803.png]

安装证书；

[![002742481.png][]][002742481.png]

选择是继续安装证书，接着再查看就没有证书问题了，如下所示：

[![002802306.png][]][002802306.png]

此时再win7下使用搜狗高速浏览器，Google Chrome 浏览器，Internet Explorer 9浏览器，都显示安全访问，如下所示：

[![002815251.png][]][002815251.png]

[![002826597.png][]][002826597.png]

[![002837800.png][]][002837800.png]

**\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\***

**案例应用1：Web服务器应用之https自签发**

**1.企业实现要求：**

某公司要求在Linux上实现web服务器功能，并要求实现自签发证书（及要求：linux服务器即为web服务器又为证书服务器）

**2.案例应用简化拓扑图：**

[![002858708.png][]][002858708.png]

**3.案例实现步骤：**

**（1）在web服务器上安装相应的软件**

**\[root@www ~\]\# mkdir /mnt/cdrom**

**\[root@www ~\]\# mount /dev/cdrom /mnt/cdrom/**

**\[root@www ~\]\# cd /mnt/cdrom/Server/**

**\[root@www Server\]\# rpm -ivh httpd-2.2.3-22.el5.i386.rpm**

**\[root@www ~\]\# yum install -y mod\_ssl**

**（2）创建CA证书服务器的根证书文件**

**\[root@www ~\]\# cd /etc/pki/**

**\[root@www pki\]\# vim tls/openssl.cnf**

**45 dir =/etc/pki/CA \# Where everything is kept**

**46 certs = $dir/certs \# Where the issued certs are kept**

**47 crl\_dir = $dir/crl \# Where the issued crl are ke pt**

**48 database = $dir/index.txt \# database index file.**

**51 new\_certs\_dir = $dir/newcerts \# default place for new certs**

**53 certificate = $dir/cacert.pem \# The CA certificate**

**54 serial = $dir/serial \# The current serial number**

**58 private\_key = $dir/private/cakey.pem\# The private key**

**88 countryName = optional**

**89 stateOrProvinceName = optional**

**90 organizationName = optional**

**\[root@www pki\]\# cd /etc/pki/CA/**

**\[root@www CA\]\# mkdir certs crl newcerts**

**\[root@www CA\]\# touch index.txt serial**

**\[root@www CA\]\# echo "01" >serial**

**\[root@www CA\]\# openssl genrsa 1024 >private/cakey.pem**

**Generating RSA private key, 1024 bit long modulus**

**........................++++++**

**....++++++**

**e is 65537 (0x10001)**

**\[root@www CA\]\# chmod 600 private/cakey.pem**

**\[root@www CA\]\# openssl req -new -x509 -key private/cakey.pem -out cacert.pem -days 365**

**Country Name (2 letter code) \[GB\]:CN**

**State or Province Name (full name) \[Berkshire\]:HENAN**

**Locality Name (eg, city) \[Newbury\]:ZHENGZHOU**

**Organization Name (eg, company) \[My Company Ltd\]:zzu**

**Organizational Unit Name (eg, section) \[\]:junjie**

**Common Name (eg, your name or your server's hostname) \[\]:rootca.junjie.com**

**Email Address \[\]:master@junjie.com**

**（3）为web服务器的签发证书**

**\[root@www CA\]\#** **mkdir /etc/httpd/certs**

**\[root@www CA\]\#cd /etc/httpd/certs**

**\[root@www certs\]\# openssl genrsa 1024 >httpd.key**

**Generating RSA private key, 1024 bit long modulus**

**..............++++++**

**........++++++**

**e is 65537 (0x10001)**

**\[root@www certs\]\# chmod 600 httpd.key**

**\[root@www certs\]\# openssl req -new -key httpd.key -out httpd.csr**

**Country Name (2 letter code) \[GB\]:CN**

**State or Province Name (full name) \[Berkshire\]:HENAN**

**Locality Name (eg, city) \[Newbury\]:ZHENGZHOU**

**Organization Name (eg, company) \[My Company Ltd\]:zzu**

**Organizational Unit Name (eg, section) \[\]:junjie**

**Common Name (eg, your name or your server's hostname) \[\]:www.junjie.com**

**///**

**\[root@www certs\]\# openssl ca -in httpd.csr -out httpd.crt**

**\[root@www certs\]\# chmod 600 \***

**（4）为web服务器的签发证书**

**\[root@www certs\]\# cd /etc/httpd/conf.d**

**\[root@www conf.d\]\# vim ssl.conf**

**112 SSLCertificateFile /etc/httpd/certs/httpd.crt**

**119 SSLCertificateKeyFile /etc/httpd/certs/httpd.key**

**128 SSLCertificateChainFile /etc/pki/CA/cacert.pem**

**（5）win7客户端使用https安全访问网页**

\[root@www ~\]\# service httpd restart \#重启apache服务

Win7客户端测试在C:\\Windows\\System32\\drivers\\etc\\hosts添加：

192.168.101.250 www.junjie.com

使用win7的IE9测试，输入安全网址 [https://www.junjie.com][https_www.junjie.com]

，此时浏览器提示安全警告，提示此网站的安全证书有问题，并将警告信息显示出来，具体如下：

[![002935692.png][]][002935692.png]

如若：用户强制继续访问，侧依然可以访问，但是浏览器地址栏中，已经变成红色报警信息，提示此网站不安全

[![002948128.png][]][002948128.png]

说明：在此由于我没有使用IE9浏览器，没有解决证书问题，故又使用搜狗浏览器来解决证书错误问题！若，你可以帮助我解决请在本文留言，多谢了！

使用搜狗解决问题方案如下：

[![003006808.png][]][003006808.png]

[![003137220.png][]][003137220.png]

此时，选择查看证书-证书路径-查看安装根证书和web服务器证书

[![003102841.png][]][003102841.png]

安装证书；

选择是继续安装证书，接着再查看就没有证书问题了，如下所示：

此时再win7下使用搜狗高速浏览器，Internet Explorer 9浏览器，都显示安全访问，如下所示：

[![003209501.png][]][003209501.png]

[![003223831.png][]][003223831.png]

查看证书信息：

[![003239397.png][]][003239397.png]

[![003256815.png][]][003256815.png]

《完》

\--xjzhujunjie

\--2012/03/18-0:26

本文出自 “[xjzhujunjie][]” 博客，请务必保留此出处[http://xjzhujunjie.blog.51cto.com/3582724/808983][Link 1]

[Link 1]: http://xjzhujunjie.blog.51cto.com/3582724/808983
[001931847.png]: /images/20220221/9de5434799eb48c8993b0adcd244406c.png
[001953342.png]: /images/20220221/964eb2e1a8774805a6912f266569607d.png
[002003797.png]: /images/20220221/c35a4fd125cf40658d2e02c5003f77b5.png
[002016451.png]: /images/20220221/d4ea9b5cbeae426888dbfa3283f3b480.png
[002027224.png]: /images/20220221/794ac4856ae74324a7403ed5c478b23e.png
[002053313.png]: /images/20220221/29b863ecdb1843348ceda49318e2ac42.png
[http_192.168.101.112_certsrv]: http://192.168.101.112/certsrv
[002122436.png]: /images/20220221/c1c2dbc73b7847faa3b85e16d24eb751.png
[002148719.png]: /images/20220221/e08f120a9e254ddc8fcd832cf2f52aa9.png
[002200154.png]: /images/20220221/88024e4417f94fa788da098a4c2fc5b5.png
[002222200.png]: /images/20220221/30eb2889de9a413f81e3c5a9ef9252a8.png
[002236494.png]: /images/20220221/0514da768d4249dfb55336ea5fc4182a.png
[002301462.png]: /images/20220221/fdae76042bd84d3a9fb1a69f1404feac.png
[002319671.png]: /images/20220221/a3df12600a2543cd9249d25f76118185.png
[002330921.png]: /images/20220221/7a9c3435a53046d180f6733c28175bc1.png
[https_www.junjie.com]: https://www.junjie.com/
[002355818.png]: /images/20220221/0e8c02310b7648e290417f610e504962.png
[002536642.png]: /images/20220221/d34e4a90483842f5bdec67b499cab58b.png
[002547241.png]: /images/20220221/4722cb5d0af144548c6406b2ad0af1d3.png
[002612121.png]: /images/20220221/74bba2b4432b4ce6bb74e474d7d28f3c.png
[002635121.png]: /images/20220221/236f44bdc82c4aa3b74fefd9751f1218.png
[002648803.png]: /images/20220221/a8e22c89c77f401b97e5bda983977c4e.png
[002742481.png]: /images/20220221/cda96adecf24434a8f8bb167148cd739.png
[002802306.png]: /images/20220221/4fe71d0a73d044158cdb0e45d09fb813.png
[002815251.png]: /images/20220221/0c85d6a7b2d44fd3aebca0bc79fc58e5.png
[002826597.png]: /images/20220221/25949f37acb84034a5c23f234a30e5ab.png
[002837800.png]: /images/20220221/750a6ee608c644df888cdde5ad2e85ca.png
[002858708.png]: /images/20220221/375ad4948a6745bdabeae2df0e82388b.png
[002935692.png]: /images/20220221/796f671b43784609b5eb01c7daafc990.png
[002948128.png]: /images/20220221/133bcd4946764ebda9eae37911eabb8a.png
[003006808.png]: /images/20220221/bff9143e7e8049029f53eb841e90ec46.png
[003137220.png]: /images/20220221/856d613963f84dbbae73af48b94231ef.png
[003102841.png]: /images/20220221/8ed3b5f97ccc4edf8903cfae235d942e.png
[003209501.png]: /images/20220221/d58460b349a74cbaab7996b4289db813.png
[003223831.png]: /images/20220221/e1e806dfb0bb4feba73914ec20bf8301.png
[003239397.png]: /images/20220221/a7e5199f8885474fbccb5af2cdd8bd3e.png
[003256815.png]: /images/20220221/db2d58250fd94d8a984d6ca4e55e6ce2.png
[xjzhujunjie]: http://xjzhujunjie.blog.51cto.com/