标签:web基本应用
httpd的基本配置和应用
httpd官网:httpd.apache.org 有2.2和2.4两个版本分支
rpm安装的httpd默认工作目录(根目录):/etc/httpd/
配置文件:
主配置文件:/etc/httpd/conf/httpd.conf
分段配置文件:/etc/httpd/conf.d/*.conf
服务脚本:
/etc/rc.d/init.d/httpd (即使用service XXX start|stop... 来控制开启关闭等的服务脚本)
脚本的配置文件/etc/sysconfig/httpd (里面可以修改MPM,或者一些其他参数)
模块文件目录:
/etc/httpd/modules --> (软连接) /usr/lib64/httpd/modules
主程序文件:
/usr/sbin/httpd (prefork)
/usr/sbin/httpd.worker (worker)
/usr/sbin/httpd.event (event)
日志文件目录:
/var/log/httpd
access_log访问日志
error_log错误日志
站点文档目录:
/var/www/html
配置文件部分常用的功能:
directive value组成
指令 + 值 组成
[root@localhost ~]# grep "Section" /etc/httpd/conf/httpd.conf
### Section 1: Global Environment
### Section 2: ‘Main‘ server configuration
### Section 3: Virtual Hosts
可以看出来,有三个章节部分
注意:section中的main server 和 virtual hosts不能同事启用。默认启用的是main server(中心主机)
1、指定监听端口
Listen [IP:]port
A:当IP省略时,则表示监听本机所有可用IP地址
B:Listen指令可以出现多次,用于指明多个不同监听端口或套接字
2、持久连接相关
持久连接:连接建立后,每个资源获取结束,不会断开连接,而是继续等待其他资源请求并完成传输
如何断开?
数量限制,如100个
时间限制,如10秒
劣势:对于并发访问量比较大的服务器,开启持久连接会让有些请求得不到响应
改进方法:缩短时间限制。httpd2.2支持秒级别,httpd2.4支持毫秒级别
非持久连接:每个请求都是单独通过专用的连接进行获取
指令:
KeepAlive On|Off
MaxKeepAliveRequests 100 数量限制
KeepAliveTimeout 10 时间限制
二者那个条件满足都会断开
3、MPM:多道处理模块 并发请求响应的不同实现
prefork worker event
httpd2.2不支持同时编译多个不同的MPM,rmp安装的httpd2.2提供了三个分别用于不同的MPM支持程序
查看当前使用了那种MPM:
[root@localhost ~]# httpd -l
Compiled in modules:
core.c
prefork.c
http_core.c
mod_so.c
httpd -l 查看静态编译的模块
httpd -M 查看所有模块,包括静态编译和DSO模块
更换不同的MPM主程序
编辑/etc/sysconfig/httpd
启用#HTTPD=/usr/sbin/httpd.worker 去掉#,并修改对应的MPM程序路径
/etc/httpd/conf/httpd.conf 中对不同MPM进行的设定:
# prefork MPM
# StartServers: number of server processes to start
# MinSpareServers: minimum number of server processes which are kept spare
# MaxSpareServers: maximum number of server processes which are kept spare
# ServerLimit: maximum value for MaxClients for the lifetime of the server
# MaxClients: maximum number of server processes allowed to start
# MaxRequestsPerChild: maximum number of requests a server process serves
<IfModule prefork.c>
StartServers 8 服务开启开启8个工作进程
MinSpareServers 5 最小空闲进程数
MaxSpareServers 20 最大空闲进程数
ServerLimit 256 最大服务器上限(不超过1024,值一般等同maxclients)
MaxClients 256 最大客户端并发请求连接数量
MaxRequestsPerChild 4000 每个子进程最多响应多少个请求
</IfModule>
# worker MPM (worker模型是三级结构,主进程生成子进程,每个子进程在生成多个线程,每个线程响应一个请求)
# StartServers: initial number of server processes to start
# MaxClients: maximum number of simultaneous client connections
# MinSpareThreads: minimum number of worker threads which are kept spare
# MaxSpareThreads: maximum number of worker threads which are kept spare
# ThreadsPerChild: constant number of worker threads in each server process
# MaxRequestsPerChild: maximum number of requests a server process serves
<IfModule worker.c>
StartServers 4 服务开启启动4个子进程
MaxClients 300 最大并发连接
MinSpareThreads 25 最少空闲线程数
MaxSpareThreads 75 最大空闲线程数
ThreadsPerChild 25 每个进程生成25个线程
MaxRequestsPerChild 0 每个子进程最多响应多少个请求,0不限制
</IfModule>
4、DSO机制
格式:LoadModule <module_name> <module_path>
模块路径:可以使用相对路径,或者绝对路径
相对路径是相对于ServerRoot而言
httpd -M查看所有的模块
注意:修改配置后,使用httpd -t 检查语法没有问题后,使用service httpd reload来使其生效
5、定义main server的文档页面路径
DocumentRoot 指向的路径是URL的默认起始位置 (DocumentRoot /var/www/htm)
/var/www/html/images/1.jpg 用URL访问则是:
http://www.magedu.com/images/1.jpg (假设是www.magedu.com下的文件)
6、站点路径访问控制
访问控制机制:
基于来源地址
基于账号
定义的方式有两种:
A、文件系统路径
<Directory "/PATH/TO/SOMEDIR">
...各种控制指令
</Directory>
B、URL路径
<Location "/URL">
...各种指令
</Location>
7、Directory中的访问控制定义
(1)options Indexes|FollowSymlinks|None|All
indexes:当访问的路径下无默认主页面存在时,且没有指定具体的访问资源,则把此路径下所有资源以列表方式呈现给用户。危险,建议-Indexes(减掉Indexes的功能)
Followsymlinks:如果某页面文件指向“DocumentRoot”以外路径的其它文件,将直接显示目标文件内容(存在风险,建议关闭)
None:什么都不启用
All:启用所有
AllowOverride None 表示不启用.htaccess里的指令来控制访问权限(一般都是停用的,否则对服务器带来较大的压力)
(2)基于来源地址的访问控制
order 检查次序
order Allow Deny 只有明确指定允许的来源地址,才能被访问,其他均拒绝(白名单)
order Deny Allow 只有明确指定拒绝的来源地址,其他的均允许访问。(黑名单)
Allow from 允许的地址
Deny from 拒绝的地址
例如:
order allow deny
allow from 172.20.0.0/16
deny from 172.20.100.2
172.20.0.0/16可访问,单172.20.100.2拒绝
from后可跟上的地址格式:
IP地址:
网络地址:
172.16
172.16.0.0
172.16.0.0/16
172.16.0.0/255.255.0.0
8、定义默认的主页面
DirectoryIndex index.html index.html.var
自左而右进行搜索,找到首次匹配的文件,就作为默认主页返回
9、配置日志
错误日志:
ErrorLog logs/error_log
LogLevel warn
错误日志路径、级别
访问日志,定义日志内容格式:
LogFormat "%h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\"" combined
访问日志路径,调用之前的logformat
CustomLog logs/access_log combined
访问日志 路径 格式
%h remote host,即客户端主机
%l remote logname,客户端用户通过identd登录时使用名称;一般为空(-)
%u Remote user (from auth; may be bogus if return status (%s) is 401) 用户认证登录的名字,无登录机制则为空
%t Time the request was received (standard english format) 收到客户端请求的时间,标准英文语言格式
\" 脱意符号,显示出双引号 “ 显示引号本身,而不作为引用符号
%r First line of request 请求报文的首行
<method> <url> <version> method方法(get) 网站URL,如果是/则就是默认网页 version(http协议的版本号)
%>s 响应状态码
%b Size of response in bytes, excluding HTTP headers,响应报文大小,单位是字节,不包含首部信息(可理解为响应内容的大小)
%{Referer} 记录http首部referer对应的值,即访问入口(从哪里跳转到此页面)
%{Referer}i 引用Referer首部的值
%{User-Agent}i 记录http首部User-Agent对应的值,即浏览器类型
10、路径别名
alias /URL "/path/to/somedir"
假如默认的DirectoryRoot 是/var/www/html,要访问的URL是http://www.magedu.com/bbs/index.html
alias /bbs/ "/web/bbs/htdocs/"
则实际访问的路径是/web/bbs/htdocs/index.html
注意:alias /bbs/ /web/bbs/htdocs/ 或者 alias /bbs /web/bbs/htdocs 要么都加/,要么都不加
11、设定默认字符集
AddDefaultCharset UTF-8
常用字符集编码:GBK GB2312 GB18030
12、基于用户的访问控制
质询:
WWW-Authenticate:服务器用401状态码拒绝客户端请求,并弹出对话框要求提供用户名和密码
认证;
authoriztion:客户端用户填入用户名和密码再次发送到服务器,认证通过则请求授权
安全域:需要用户认证后访问的路径
弹出的对话框应该有其名称,用于向用户通知此认证的原因等内容
httpd协议支持的认证方式:
basic 基本的,明文的,使用base64编码格式
digest 摘要(某些浏览器不支持,所以大多使用basic认证方式)
basic认证实例:
假如对/data/web/html/employee此目录做用户访问控制
(1)定义安全域
<Directory "/data/web/html/employee">
Options None
AllowOverride None
AuthType Basic (认证方式)
AuthName "just for employee" (弹出的对话框上的提示信息)
AuthUserFile /etc/httpd/users/.htpasswd (存放虚拟用户的文件,隐藏的)
Require User user1 user2 user3 (多个用户使用空格分开)
</Directory>
补充说明:
Require Valid-User 表示出现在"AuthUserFile"中所有的用户都可以登录
Require User 表示仅允许指定的用户
虚拟用户即非系统用户
(2)提供用户的账号文件
htpasswd命令用于维护此文件(AuthUserFile /etc/httpd/users/.htpasswd)
htpasswd [-c] [-m] [-d] PASSWDFILE USERNAME
-c 添加第一个用户时使用,后面再创建用户时务必不要-c,否则会覆盖掉前面创建的用户
-m 以MD5格式加密用户密码
-d 删除用户
(3)组认证
<Directory "/data/web/html/employee">
Options None
AllowOverride None
AuthType Basic
AuthName "just for employee" 提示消息
AuthUserFile /etc/httpd/users/.htpasswd 虚拟用户文件
AuthGroupFile /etc/httpd/users/.htgroup 组文件
Require Group GRP1 GRP2... 允许可登陆的组
</Directory>
组文件:
每行定义一个组,格式
GRP_NAME: user1 user2 user3 .... (user即.htpasswd文件中的虚拟账户)
13、虚拟主机
一个物理服务器服务于多个站点,每个站点可以通过一个或多个虚拟主机来实现
关闭“中心主机”(main server),注释掉DocumentRoot即可
httpd支持三种类型的虚拟主机
基于IP
基于端口
基于FQDN
定义虚拟主机的方法:
<VirtualHost "IP:PORT">
ServerName 必要
ServerAlias 不一定要
DocumentRoot 必要
</VirtualHost>
注意:大多用于main server的指令都可以用在virtualhost中
A、基于端口的虚拟主机
<VirtualHost *:80>
ServerName www.a.com
DocumentRoot /vhost/a.com/htdocs/
</VirtualHost>
<VirtualHost *:8080>
ServerName www.b.org
DocumentRoot /vhost/b.org/htdocs/
</VirtualHost>
注意:基于的端口要listen。 如:Listen 8080 Listen 80
B、基于IP的虚拟主机:
<VirtualHost 172.16.1.110:80>
ServerName www.a.com
DocumentRoot /vhost/a.com/htdocs/
</VirtualHost>
<VirtualHost 172.16.1.111:80>
ServerName www.b.org
DocumentRoot /vhost/b.org/htdocs/
</VirtualHost>
#ifconfig eth0:0 172.16.1.111/24 up 增加IP
注意:给主机配置多个IP,分别监听在不同的IP上,IP可用才行
C、基于FQDN的虚拟主机:
#NameVirtualHost *:80 必须要把注释#去掉,启用起来;根据实际情况写IP和监听的端口,*表示本机所有IP
<VirtualHost 172.16.1.110:80>
ServerName www.a.com
DocumentRoot /vhost/a.com/htdocs/
</VirtualHost>
<VirtualHost 172.16.1.110:80>
ServerName www.b.org
DocumentRoot /vhost/b.org/htdocs/
</VirtualHost>
访问的时候,就可以输入网址加以区分。这几种虚拟主机可以混用同时存在
注意:额外经常用于每个虚拟主机的配置有
ErrorLog
Customlog
<Directory>
<Location>
ServerAlias
14、内置的status页面,查看服务器的运行状态(不可以让人随意访问,可以设置白名单)
#<Location /server-status>
# SetHandler server-status
# Order deny,allow
# Deny from all
# Allow from .example.com
#</Location>
将其启用即可,如:
<Location /server-status>
SetHandler server-status
Order deny,allow
Deny from all
Allow from 172.16.0.0/16
</Location>
15、curl命令
curl是基于URL语法在命令行方式下工作的文件传输工具,他支持FTP,FTPS,HTTP,HTTPS,GOPHER,TELNET,DICT,FILE及LDAP等协议,CURL支持https认证,并且支持http的post,put等方法,FTP上传,kerberose认证,HTTP上传,代理服务器,cookies,,用户名/密码认证,下载文件断点续传,上载文件断点续传,http代理服务器管道(proxy tunneling),甚至它还支持IPV6,socks5代理服务器,通过http代理服务器上传文件到ftp服务器等等,功能十分强大。
curl [options] [URL...]
常用选项
-A/--user-agent <string> 设置用户代理发送给服务器(模拟成某种浏览器)
curl -A "chrome 40" http://172.20.1.36/ 伪装成chrome40的客户端
-basic 使用HTTP基本认证
如果服务器端使用了basic认证,客户端则需要加上这个选项
-e/--referer <URL> 来源网址 伪装自己通过某个网址跳转到当前网站
--cacert <file> CA证书(SSL)
--compressed 要求返回是压缩的格式
-H/--header <line> 自定义头信息传递给服务器
-I/--head 显示服务器响应信息,而非get到的网页内容
--limit-rate <rete> 设置传输速度
-u/--user <user[:password]> 设置服务器的用户名和密码,结合-basic使用
-0/--http1.0 使用httpd1.0
另一个工具:elinks
-dump 不进入交互式模式,而直接将URL的内容输出值标准输出
16、 使用mod_deflate 模块压缩页面优化传输速度
(如果带宽够用,而CPU非常繁忙的话,此功能不要开启,主要作用是节约带宽,但消耗CPU)
使用场景:
(1)为了节约带宽,额外消耗CPU,同时,可能有些较老的浏览器不支持
(2)压缩适于压缩比较大的,如文本文件
SetOutputFilter DEFLATE
#mod_deflate configuration
#Restrict compression to these MIME types
AddOutputFilterByType DEFLATE text/plain
AddOutputFilterByType DEFLATE text/html
AddOutputFilterByType DEFLATE application/xhtml+xml
AddOutputFilterByType DEFLATE text/xml
AddOutputFilterByType DEFLATE application/xml
AddOutputFilterByType DEFLATE application/x-javascript
AddOutputFilterByType DEFLATE text/javascript
AddOutputFilterByType DEFLATE text/css
#Level of compression (Highest 9 - Lowest 1 )
DeflateCompressionLevel 9
# Netscape 4.x has some problems...
BrowserMatch ^Mozilla/4 gzip-only-text/html
# Netscape 4.06-4.08 have some more problems
BrowserMatch ^Mozilla/4\.0[678] no-gzip
# MSIE masquerades as Netscape, but it is fine
BrowserMatch \bMSIE !no-gzip !gzip-only-text/html
验证:
#curl -I http://X.X.X.X
#curl -I --compress http://x.x.x.x
二者可以对比一下压缩前和压缩后 实验:Content-Length: 521173 --> Content-Length: 117534
17、https
http over ssl=https TCP 443
SSL:v3
tls:v1
它的scheme是https://
SSL会话的简化过程:
(1)客户端发送可供选择的加密方式(自己支持的),并向服务器请求证书
(2)服务器端发送证书以及选定加密方式给客户端:
(3)证书验证:
如果信任给其发证书的CA
(a)验证证书的来源合法性:用CA的公钥来解密证书上的数字签名(如果能解密则说明是此CA颁发的)
(b)验证证书的内容合法性:完整性验证(用单向算法计算私钥的指纹信息,并与解密私钥的指纹信息进行比对,一致则说明内容没有被修改)
(c)检查证书的有效期
(d)检查证书是否已被吊销
(e)证书中拥有者的名字,与访问的目标主机要一致
(4)客户端生成临时会话密钥(对称),并使用服务器的公钥加密此数据发送给服务器,完成密钥交换
(5)服务器用此密钥加密用户请求的资源,响应给客户端
注意:SSL回话是基于IP地址创建,所以单IP的主机上,仅可以使用给一个https虚拟主机(意思就是一个主机上有多个虚拟主机,但只能其中一个虚拟主机能使用https)
回顾几个术语:PKI公钥基础设施 CA签证机构 CRL 证书吊销列表 X.509数字证书格式
配置httpd支持https:
(1)为服务器申请数字证书
测试:通过私建CA
(a)创建私有CA
(b)在服务器创建证书签署请求
(c)CA签证
(2)配置httpd支持使用ssl,及使用证书
#yum -y install mod_ssl 安装ssl模块
配置文件:/etc/httpd/conf.d/ssl.conf
主要修改: 配置文件:/etc/httpd/conf.d/ssl.conf
<VirtualHost 172.20.1.38:443> 根据实际情况修改
DocumentRoot "/vhost/a.com/htdocs"
ServerName www.a.com:443
SSLCertificateFile /etc/httpd/ssl/httpd.crt SSL证书
SSLCertificateKeyFile /etc/httpd/ssl/httpd.key SSL私钥
</VirtualHost>
(3)测试基于https访问相应的主机 (可以使用s_client命令)
#openssl s_client -connect www.a.com:443 -CAfile /tmp/cacert.pem
建立连接后:
GET /rc.txt HTTP/1.1
HOST: www.a.com
回车
回车
即可看到内容
在ssl.conf文件中有这么一行
<VirtualHost _default_:443> 意思是监听本机默认虚拟主机的443端口(httpd -S可以看到默认虚拟主机是哪个)
18httpd自带的工具程序
htpasswd:basic认证基于文件实现时,用到的账户密码文件生成工具
apachectl:httpd自带的服务控制脚本,支持start,stop
apxs:由httpd-devel包提供,扩展httpd使用第三方模块的工具
rotatelogs:日志滚动工具
suexec:访问某些有特殊权限配置的资源时,临时切换至指定用户运行
ab:Apache benchmark 压力测试
19、http压力测试工具
ab
webbench
http_load
专业测试工具:
jmeter()
LoadRunner
网易研发了tcpcopy,replay到测试环境中,还原真实的用户访问场景
ab的使用方法:
ab - Apache HTTP server benchmarking tool
格式: ab [OPTIONS] URL
[ -c concurrency ] 并发数:同时有多少请求
[ -n requests ] 请求数量
[ -t timelimit ] 指定测试多长时间
-k Enable the HTTP KeepAlive feature
ab -n 20000 -c 2000 URL... 这时候会有报错,连接数超过1024个,解决方法:
#ulimit -n 2000,默认内核限制最大套接字1024个,可以使用ulimit增至2000个
======================================================================
练习:
1、建立httpd服务器(基于编译的方式进行),要求:
(a)www.aaa.com,页面文件目录为/web/vhosts/aaa.com,错误日志为/var/log/httpd/aaa.err,访问日志为/var/log/httpd/aaa.access
(b)www.bbb.com,页面文件目录为/web/vhosts/bbb.com,错误日志为/var/log/httpd/bbb.err,访问日志为/var/log/httpd/bbb.access
(c)位两个虚拟主机建立各自的主页文件index.html,内容非标为其对应的主机名
(d)通过www.aaa.com/server-status输出httpd工作状态相关信息,且只允许提供账号密码才能访问(status:status)
2、为上面的第2个虚拟主机提供https服务,使得用户可以通过https安全访问此web站点
(1)要求使用证书认证,证书中要求使用的国家(CN),州(HA),城市(zz)和组织(magedu)
(2)设置部门为ops,主机名为www.bbb.com,邮件为admin@bbb.com
第一题:
准备工作,创建2个站点的网站存储目录、主页文件;日志文件路径已有
[root@localhost ~]# mkdir -pv /web/vhosts/{aaa.com,bbb.com}
建立连个站点的index.html,内容为对应个各自的主机名
[root@localhost ~]# echo "<h1> www.aaa.com </h1>" >/web/vhosts/aaa.com/index.html
[root@localhost ~]# echo "<h1> www.bbb.com </h1>" >/web/vhosts/bbb.com/index.html
注释main server中DocumentRoot
#DocumentRoot "/var/www/html"
启用NameVirtualHost(非常重要的一步)
NameVirtualHost *:80
增加aaa和bbb站点的配置文件(可以写在一个文件中,也可以分开写)
[root@localhost ~]# cat /etc/httpd/conf.d/bbb.conf /etc/httpd/conf.d/aaa.conf
<VirtualHost *:80>
ServerAdmin webadmin@bbb.com
DocumentRoot /web/vhosts/bbb.com/
ServerName www.bbb.com
ErrorLog /var/log/httpd/bbb.err
CustomLog /var/log/httpd/bbb.access combined
</VirtualHost>
<VirtualHost *:80>
ServerAdmin webadmin@aaa.com
DocumentRoot /web/vhosts/aaa.com/
ServerName www.aaa.com
ErrorLog /var/log/httpd/aaa.err
CustomLog /var/log/httpd/aaa.access combined
</VirtualHost>
注意:如果NameVirtualHost *:PORT,那么在<VirtualHost *:PORT>
如果NameVirtualHost IP:PORT,那么在<VirtualHost IP:PORT>;要保持一致
否则则会出现报错提示,例如这样:
[Wed Oct 28 01:12:53 2015] [warn] _default_ VirtualHost overlap on port 80, the first has precedence
[Wed Oct 28 01:12:53 2015] [warn] NameVirtualHost 172.20.1.100:80 has no VirtualHosts
两个站点,只能访问一个站点的内容了
通过www.aaa.com/server-status输出httpd工作状态相关信息,且只允许提供账号密码才能访问(status:status)
<VirtualHost 172.20.1.100:80>
ServerAdmin webadmin@aaa.com
DocumentRoot /web/vhosts/aaa.com/
ServerName www.aaa.com
ServerAlias aaa.com
ErrorLog /var/log/httpd/aaa.err
CustomLog /var/log/httpd/aaa.access combined
<Location /server-status>
SetHandler server-status
Order deny,allow
Deny from all
Allow from 172.20.0.0/16
Options None
AuthName "input username:password"
AuthType Basic
AuthUserFile /etc/httpd/users/.htpasswd
Require User user1 user2
</Location>
</VirtualHost>
创建配置文件中AuthUserFile的目录,然后使用htpasswd命令创建用户
注意第一个用户创建-c,后面的不要加,否则会覆盖前面的
[root@localhost ~]# mkdir /etc/httpd/users
[root@localhost ~]# htpasswd -c -m /etc/httpd/users/.htpasswd user1
New password:
Re-type new password:
Adding password for user user1
[root@localhost ~]# htpasswd -m /etc/httpd/users/.htpasswd user2
New password:
Re-type new password:
Adding password for user user2
[root@localhost ~]# cat /etc/httpd/users/.htpasswd
user1:$apr1$uqtiL9zu$/QdpsakOHTjReuUrDlqQG0
user2:$apr1$pzAvpQQK$N.fubenbV0WopUKKwQSVa0
http://www.aaa.com/server-status测试OK
第二题:
准备另外一台座位私有CA服务器,然后在http服务器上生成签署请求并交于CA服务器签证
172.20.1.100 http服务器
172.20.1.101 私建CA
CA部分:
生成私钥
[root@localhost CA]# (umask 077;openssl genrsa -out private/cakey.pem 2048)
生成自签文件,按照题目要求填写国家(CN)、州名(HA)、城市名(ZZ)、公司名(magedu)、部门(ops)等信息
[root@localhost CA]# openssl req -new -x509 -key private/cakey.pem -out cacert.pem -days 36500
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter ‘.‘, the field will be left blank.
-----
Country Name (2 letter code) [XX]:CN
State or Province Name (full name) []:HA
Locality Name (eg, city) [Default City]:ZZ
Organization Name (eg, company) [Default Company Ltd]:magedu
Organizational Unit Name (eg, section) []:ops
Common Name (eg, your name or your server‘s hostname) []:ca.magedu.com
Email Address []:
创建辅助性的文件;证书索引数据库和证书序列号文件(并给于起始值)
[root@localhost CA]# touch index.txt
[root@localhost CA]# echo 01 > serial
http服务上需要生成私钥、生成证书签署请求
[root@localhost ~]# mkdir /etc/httpd/ssl
[root@localhost ~]# cd /etc/httpd/ssl
[root@localhost ssl]# (umask 077;openssl genrsa -out http.key 1024)
[root@localhost ssl]# openssl req -new -key http.key -out http.csr
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter ‘.‘, the field will be left blank.
-----
Country Name (2 letter code) [XX]:CN
State or Province Name (full name) []:HA
Locality Name (eg, city) [Default City]:ZZ
Organization Name (eg, company) [Default Company Ltd]:magedu
Organizational Unit Name (eg, section) []:ops
Common Name (eg, your name or your server‘s hostname) []:www.bbb.com (一定要跟网站的地址一致)
Email Address []: 可以为空
Please enter the following ‘extra‘ attributes
to be sent with your certificate request
A challenge password []: 可以为空
An optional company name []: 可以为空
将证书请求(http.csr)放到CA服务器中,过程略
CA拿到签署请求进行签证
[root@localhost CA]# openssl ca -in /tmp/http.csr -out /tmp/http.crt -days 3650
Using configuration from /etc/pki/tls/openssl.cnf
Check that the request matches the signature
Signature ok
Certificate Details:
Serial Number: 1 (0x1)
Validity
Not Before: Jul 7 23:04:54 2015 GMT
Not After : Jul 4 23:04:54 2025 GMT
Subject:
countryName = CN
stateOrProvinceName = HA
organizationName = magedu
organizationalUnitName = ops
commonName = www.bbb.com
X509v3 extensions:
X509v3 Basic Constraints:
CA:FALSE
Netscape Comment:
OpenSSL Generated Certificate
X509v3 Subject Key Identifier:
A8:61:E5:9C:45:69:15:5F:6C:BA:B5:BE:58:69:1B:93:12:54:90:EC
X509v3 Authority Key Identifier:
keyid:F7:2C:D3:D6:88:FD:05:33:4A:AB:C6:DC:49:44:EB:CC:30:57:7A:33
Certificate is to be certified until Jul 4 23:04:54 2025 GMT (3650 days)
Sign the certificate? [y/n]:y
1 out of 1 certificate requests certified, commit? [y/n]y
Write out database with 1 new entries
Data Base Updated
签证完毕后,将http.crt放到http服务器的/etc/httpd/ssl/
[root@localhost ssl]# ll
总用量 12
-rw-r--r-- 1 root root 3660 10月 28 20:57 http.crt
-rw-r--r-- 1 root root 635 10月 28 20:51 http.csr
-rw------- 1 root root 887 10月 28 20:49 http.key
到此证书和私钥部分已经完成,现在需要搞定https部分
httpd2.2需要安装mod_ssl
[root@localhost ssl]# yum install -y mod_ssl
安装后可以看到/etc/httpd/conf.d/下多了一个叫ssl.conf的配置文件
可以先备份一下
[root@localhost conf.d]# cp ssl.conf{,.bak}
修改/etc/httpd/conf.d/ssl.conf
<VirtualHost 172.20.1.100:443> ip根据实际情况修改
DocumentRoot "/web/vhosts/bbb.com"
ServerName www.bbb.com:443
SSLCertificateFile /etc/httpd/ssl/http.crt 证书路径
SSLCertificateKeyFile /etc/httpd/ssl/http.key 私钥的路径
先用httpd -t测试下语法,如果没有问题就重启下httpd服务
#ss -tanl 检查下端口有没有监听
如果都没有问题,就可以打开浏览器进行验证了
由于CA是私建的,所以并不受信任,可以将CA安装到测试机的“受信任的根证书办法机构”做法如下:
/etc/pki/CA/cacert.pem 复制到测试机中,将.pem后缀修改为.crt,双击安装
安装证书-->将所有的证书安装到下列存储-->浏览-->受信任的根证书颁发机构
标签:web基本应用
原文地址:http://wangkunpeng.blog.51cto.com/1538469/1766788