10.2. CUPS 서버에서 TLS 암호화 구성

프로세스

1. /etc/cups/cups-files.conf 파일을 편집하고 다음 설정을 추가하여 자체 서명된 인증서 자동 생성을 비활성화합니다.

   CreateSelfSignedCerts no

   Copy to Clipboard Toggle word wrap

2. 자체 서명된 인증서 및 개인 키를 제거합니다.

   # rm /etc/cups/ssl/<hostname>.crt /etc/cups/ssl/<hostname>.key

   Copy to Clipboard Toggle word wrap

3. 선택 사항: 서버의 FQDN을 표시합니다.

   # hostname -f
   server.example.com

   Copy to Clipboard Toggle word wrap

4. 개인 키와 서버 인증서를 /etc/cups/ssl/ 디렉터리에 저장합니다. 예를 들면 다음과 같습니다.

   # mv /root/server.key /etc/cups/ssl/server.example.com.key
   # mv /root/server.crt /etc/cups/ssl/server.example.com.crt

   Copy to Clipboard Toggle word wrap
   중요

   CUPS를 사용하려면 개인 키 &lt ;fqdn > .key 및 서버 인증서 파일 &lt ;fqdn > .crt 를 지정해야 합니다. 별칭을 사용하는 경우 <alias> .key 및 <alias > .crt 파일의 이름을 지정해야 합니다.

5. root 사용자만 이 파일을 읽을 수 있는 개인 키에 대한 보안 권한을 설정합니다.

   # chown root:root /etc/cups/ssl/server.example.com.key
   # chmod 600 /etc/cups/ssl/server.example.com.key

   Copy to Clipboard Toggle word wrap

   인증서는 보안 연결을 설정하기 전에 클라이언트와 서버 간의 통신의 일부이므로 모든 클라이언트는 인증 없이 인증서를 검색할 수 있습니다. 따라서 서버 인증서 파일에 대한 엄격한 권한을 설정할 필요가 없습니다.

6. SELinux 컨텍스트를 복원합니다.

   # restorecon -Rv /etc/cups/ssl/

   Copy to Clipboard Toggle word wrap

7. 선택 사항: 인증서의 CN 및 SAN 필드를 표시합니다.

   # openssl x509 -text -in /etc/cups/ssl/server.example.com.crt
   Certificate:
     Data:
       ...
       Subject: CN = server.example.com
       ...
       X509v3 extensions:
         ...
         X509v3 Subject Alternative Name:
           DNS:server.example.com
     ...

   Copy to Clipboard Toggle word wrap

8. 서버 인증서의 CN 또는 SAN 필드에 서버의 FQDN과 다른 별칭이 포함된 경우 ServerAlias 매개변수를 /etc/cups/cupsd.conf 파일에 추가합니다.

   ServerAlias alternative_name.example.com

   Copy to Clipboard Toggle word wrap

   이 경우 절차의 나머지 부분에서 FQDN 대신 대체 이름을 사용합니다.

9. 기본적으로 CUPS는 작업에 인증이 필요한 경우에만 암호화된 연결을 적용합니다(예: 웹 인터페이스의 /admin 페이지에서 관리 작업을 수행할 때).

   전체 CUPS 서버에 암호화를 적용하려면 /etc/cups/cupsd.conf 파일의 모든 < Location > 지시문에 Encryption 을 추가합니다. 예를 들면 다음과 같습니다.

   <Location />
     ...
     Encryption Required
   </Location>

   Copy to Clipboard Toggle word wrap

10. CUPS를 다시 시작합니다.

    # systemctl restart cups

    Copy to Clipboard Toggle word wrap

검증

1. 브라우저를 사용하고 https:// <hostname> :631 /admin/ 에 액세스합니다. 이렇게 하려면 브라우저가 CA 인증서를 신뢰해야 합니다. 연결에 성공하면 CUPS에서 TLS 암호화를 올바르게 구성했습니다.
2. 전체 서버에 암호화가 필요한 경우 http:// <hostname > :631/ 에 액세스합니다. CUPS는 Upgrade Required 오류를 반환합니다.