Apache,dovecot下Openssl应用一

超、凢脫俗 2022-07-12 03:36 71阅读 0赞

#     #

<table style="border-collapse:collapse; border-spacing:0px; max-width:100%; background-color:transparent"> 
 <tbody style=""> 
  <tr style=""> 
   <td style="padding:5px 12px; width:25px; font-size:22px; text-align:center; background:rgb(232,232,232); line-height:30px; color:rgb(153,153,153)"> 导读</td> 
   <td style="padding:10px 10px 12px; line-height:20px">这么长时间之后，我的读者们，这里是我给你们承诺的在 Apache 中使用 OpenSSL 的方法，下周你会看到在 Dovecot 中使用 SSL。 在这个分为两部分的系列中，我们将学习如何创建自己的 OpenSSL 证书，以及如何配置 Apache 和 Dovecot 来使用它们。</td> 
  </tr> 
 </tbody> 
</table>

![Apache,dovecot下Openssl应用一Apache,dovecot下Openssl应用一][Apache_dovecot_Openssl_Apache_dovecot_Openssl]

创建你的证书

Debian/Ubuntu/Mint 会在 /etc/ssl 中存储私钥和证书的符号链接。系统自带的证书保存在/usr/share/ca-certificates 中。你安装或创建的证书在 /usr/local/share/ca-certificates/ 中。

这个例子是对 Debian 而言。创建私钥和公用证书，将证书转换为正确的格式，并将其符号链接到正确的目录：

$ sudo openssl req -x509 -days 365 -nodes -newkey rsa:2048 \
    -keyout /etc/ssl/private/test-com.key -out \
    /usr/local/share/ca-certificates/test-com.crt
    Generating a 2048 bit RSA private key
    .......+++
    ......................................+++
    writing new private key to '/etc/ssl/private/test-com.key'
    -----
    You are about to be asked to enter information that will
    be incorporated into your certificate request.
    What you are about to enter is what is called a Distinguished
    Name or a DN. There are quite a few fields but you can leave some blank
    For some fields there will be a default value,
    If you enter '.', the field will be left blank.
    -----
    Country Name (2 letter code) [AU]:US
    State or Province Name (full name) [Some-State]:WA
    Locality Name (eg, city) []:Seattle
    Organization Name (eg, company) [Internet Widgits Pty Ltd]:Alrac Writing Sweatshop
    Organizational Unit Name (eg, section) []:home dungeon
    Common Name (e.g. server FQDN or YOUR name) []:www.test.com
    Email Address []:admin@test.com
    $ sudo update-ca-certificates
    Updating certificates in /etc/ssl/certs...
    1 added, 0 removed; done.
    Running hooks in /etc/ca-certificates/update.d...
    Adding debian:test-com.pem
    done.
    done.

CentOS/Fedora 使用不同的文件结构，并不使用 update-ca-certificates，使用这个命令：

$ sudo openssl req -x509 -days 365 -nodes -newkey rsa:2048 \
    -keyout /etc/httpd/ssl/test-com.key -out \
    /etc/httpd/ssl/test-com.crt

最重要的条目是 Common Name，它必须与你的完全限定域名（FQDN）完全匹配。此外其它信息都是任意的。\-nodes 用于创建一个无密码的证书，这是 Apache 所必需的。\-days 用于定义过期日期。更新证书是一个麻烦的事情，但这样应该能够额外提供一些安全保障。

>配置 Apache

现在配置 Apache 以使用你的新证书。如果你遵循给初学者看的在 Ubuntu Linux 上使用 Apache：第 2 部分，你所要做的就是修改虚拟主机配置中的 SSLCertificateFile 和 SSLCertificateKeyFile，以指向你的新私钥和公共证书。来自该教程中的 test.com示例现在看起来像这样：

SSLCertificateFile /etc/ssl/certs/test-com.pem
    SSLCertificateKeyFile /etc/ssl/private/test-com.key

CentOS 用户，请参阅在 CentOS wiki 中的在 CentOS 上设置 SSL 加密的 Web 服务器一文。过程是类似的，wiki 会告诉如何处理 SELinux。

测试 Apache SSL

一个简单的方法是用你的网络浏览器访问 https://yoursite.com，看看它是否可以正常工作。在第一次这样做时，你会在你过度保护的 web 浏览器中看到可怕的警告说网站是不安全的，因为它使用的是自签名证书。请忽略你这个敏感的浏览器，并单击屏幕创建永久性例外。 如果你遵循在给初学者看的在 Ubuntu Linux 上使用 Apache：第 2 部分上的示例虚拟主机配置，那么即使你的网站访问者尝试使用纯 HTTP，你的网站的所有流量都将强制通过 HTTPS。

一个很好测试方法是使用 OpenSSL。是的，有一个漂亮的命令来测试这些东西。试下这个：

$ openssl s_client -connect www.test.com:443
    CONNECTED(00000003)
    depth=0 C = US, ST = WA, L = Seattle, O = Alrac Writing Sweatshop,
    OU = home dungeon, CN = www.test.com, emailAddress = admin@test.com
    verify return:1
    ---
    Certificate chain
    0 s:/C=US/ST=WA/L=Seattle/O=Alrac Writing Sweatshop/OU=home
    dungeon/CN=www.test.com/emailAddress=admin@test.com
    i:/C=US/ST=WA/L=Seattle/O=Alrac Writing Sweatshop/OU=home
    dungeon/CN=www.test.com/emailAddress=admin@test.com
    ---
    Server certificate
    -----BEGIN CERTIFICATE-----
    [...]

这里输出了大量的信息。这里有很多关于 openssl s\_client 的有趣信息; 现在足够我们知道我们的 web 服务器是否使用了正确的 SSL 证书。

创建一个证书签名请求

如果你决定使用第三方证书颁发机构（CA），那么就必须创建证书签名请求（CSR）。你将它发送给你的新 CA，他们将签署并将其发送给您。他们可能对创建你的 CSR 有自己的要求; 这是如何创建一个新的私钥和 CSR 的典型示例：

$ openssl req -newkey rsa:2048 -nodes \
    -keyout yourdomain.key -out yourdomain.csr

你也可以从一个已经存在的 key 中创建一个 CSR：

$ openssl req -key yourdomain.key \
    -new -out domain.csr

今天就是这样了。下周我们将学习如何正确地在 Dovecot 中设置 OpenSSL。

#### ![Center][] ####

> 本文转载自：http://www.linuxprobe.com/apache-openssl1.html
> 
> 免费提供最新Linux技术教程书籍，为开源技术爱好者努力做得更多更好，开源站点：http://www.linuxprobe.com/

[Apache_dovecot_Openssl_Apache_dovecot_Openssl]: /images/20220711/ecb0e0f6b56d46cc9e44b0a79c6528e8.png
[Center]: /images/20220711/9ae59c4ceabd4617991fdd7920c23b0d.png