kiadó: Psychz Networks, február 17,2019
hozzáférésre lesz szüksége egy CentOS 7 szerverhez, és ha még nem konfigurálta, futtathatja a CentOS 7 kezdeti szerverbeállítási útmutatóját. A virtuális gazdagépek konfigurálásához telepítenie kell az Apache-t is. Kövesse a LAMP telepítési oktatóanyagát, amely segít az előfeltételekben https://www.psychz.net/client/kb/en/installation-of-lamp-stack-on-centos-7.html
a következő oktatóanyagban látni fogjuk, hogyan lehet az Apache webszervert biztonságossá tenni a Centos-7-ben SSL-en keresztül. Elkészítjük a saját tanúsítványunkat, és megtanuljuk, hogyan kell konfigurálni. Ha SSL-támogatással rendelkező nyilvános webhelyet szeretne üzemeltetni, akkor SSL-tanúsítványt kell vásárolnia egy megbízható tanúsító hatóságtól.
az önaláírt tanúsítványt alapvetően a tanúsítvány készítője írja alá. Helyi szerverek és fejlesztői környezet tesztelésére használható. Bár az önaláírt tanúsítványok ugyanolyan szintű biztonságot nyújtanak a webhely és a böngésző között, a legtöbb webböngésző mindig biztonsági figyelmeztető üzenetet jelenít meg arról, hogy a webhelytanúsítvány önaláírt, és nem megbízható, mivel a tanúsító hatóság nem írja alá.
a kereskedelmi tanúsítványok egy megbízható tanúsító hatóság által kiadott engedélyezett tanúsítványok, amelyeket erősen ajánlott használni termelési környezetben.
az önaláírt tanúsítvány beállításához telepítenie kell a mod_ssl Apache modult a rendszerébe.
1. lépés: Telepítse a Mod SSL
mod_ssl egy Apache modul, amely támogatja az SSL titkosítást. Szükséges az önaláírt tanúsítvány beállítása.
# yum install mod_ssl
ha ez megtörtént, az Apache az újraindítás után elkezdheti használni az SSL tanúsítványt.
2.lépés: Hozzon létre egy önaláírt tanúsítványt
most, hogy az Apache készen áll a titkosítás használatára, továbbléphetünk egy új SSL tanúsítvány létrehozására. A tanúsítvány létrehozásakor néhány alapvető információra lesz szükség a webhelyéről, és egy kulcsfájl kíséri, amely lehetővé teszi a szerver számára a titkosított adatok biztonságos kezelését.
először létrehozunk egy könyvtárat a privát kulcs tárolására (a tanúsítványfájl az /etc/ssl/certs könyvtárban található)
# mkdir /etc/ssl/private
tegyük ezt a könyvtárat “private” csak a root felhasználó számára elérhető biztonsági célokra
# chmod 700 /etc/ssl/private
most hozzuk létre a tanúsítványt az SSL kulccsal együtt. Ezt meg lehet tenni a “openssl” mellett további
# openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/ssl/private/apache-selfsigned.key -out /etc/ssl/certs/apache-selfsigned.crt
– openssl: ez az alapvető parancssori eszköz az OpenSSL tanúsítványok, kulcsok és egyéb fájlok létrehozásához és kezeléséhez.
– req-x509: az “X. 509” egy nyilvános kulcsú infrastruktúra-szabvány, amelyet az SSL és a TLS a kulcs-és tanúsítványkezeléshez tart.
– csomópontok: ez azt mondja Az OpenSSL-nek, hogy hagyja ki azt a lehetőséget, hogy tanúsítványunkat jelszóval biztosítsa. Szükségünk van az Apache-ra, hogy képes legyen olvasni a fájlt, felhasználói beavatkozás nélkül, amikor a szerver elindul. A jelszó megakadályozná ezt, mivel minden újraindítás után meg kell adnunk.
– 365. nap: ez az opció beállítja azt az időtartamot, ameddig a tanúsítvány érvényesnek tekintendő. Itt egy évre állítottuk be.
– newkey rsa:2048: az rsa:2048 rész azt mondja, hogy készítsen egy 2048 bit hosszú RSA kulcsot. a “newkey” azt jelenti, hogy egy új tanúsítványt és egy új kulcsot akarunk egyszerre létrehozni.
– keyout: ez a sor megmondja az OpenSSL-nek, hogy hol helyezze el a létrehozott privát kulcsfájlt.
– ki: Ez megmondja az OpenSSL-nek, hogy hol helyezze el az általunk létrehozott tanúsítványt.
Country Name (2 letter code) :US
State or Province Name (full name) : John Doe
Locality Name (eg, city) : Los Angeles
Organization Name (eg, company) : Psychz Networks
Organizational Unit Name (eg, section) :IT
Common Name (eg, your name or your server's hostname) : Demo_server
Email Address : [email protected]
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password :
An optional company name :
mindkét létrehozott fájl az /etc/ssl könyvtár megfelelő alkönyvtárába kerül.
3. lépés: Állítsa be az Apache-t az SSL tanúsítvány használatára
most minden tanúsítvány készen áll. A következő lépés az Apache beállítása az új tanúsítványok megjelenítéséhez.
ezt az SSL konfigurációs fájl szerkesztésével teheti meg:
# vi /etc/httpd/conf.d/ssl.conf
keresse meg a kezdő részt . Távolítsa el a DocumentRoot és a ServerName sort, és cserélje le a példát.com a szerver IP-címét vagy domain nevét.
DocumentRoot "/var/www/html"
ServerName www.demo_server.com:443SSLEngine on
Ezután keresse meg az SSLCertificateFile és az SSLCertificateKeyFile sorokat, és frissítse őket a tanúsítványok új helyével.
SSLCertificateFile /etc/ssl/certs/apache-selfsigned.crt
SSLCertificateKeyFile /etc/ssl/private/apache-selfsigned.crt.key
a módosítások elvégzése után indítsa újra az Apache szolgáltatást, hogy a módosítások életbe lépjenek.
# systemctl restart httpd
4. lépés: tesztelje az Apache (HTTPS) szervert
annak ellenőrzéséhez, hogy a biztonságos Apache HTTPS webszerver működik-e, nyissa meg a webböngészőt, és írja be a https://demo_server-ip-address URL-t. Hiba jelenik meg a böngészőben, és manuálisan el kell fogadnia a tanúsítványt. A hibaüzenet azért jelenik meg, mert önaláírt tanúsítványt használunk a böngésző által megbízott tanúsító hatóság által aláírt tanúsítvány helyett, és a böngésző nem tudja ellenőrizni annak a kiszolgálónak a személyazonosságát, amelyhez csatlakozni próbál. Miután hozzáadott egy kivételt a böngésző személyazonosságának ellenőrzéséhez, látnia kell egy tesztoldalt az újonnan biztonságos webhelyhez.