27.6. 在 Apache HTTP 服务器中添加 TLS 加密

流程

1. 安装 mod_ssl 软件包：

   # dnf install mod_ssl

   Copy to Clipboard

2. 编辑/etc/httpd/conf.d/ssl.conf文件，并将以下设置添加到 <VirtualHost _default_:443>指令中：

   1. 设置服务器名称：

      ServerName example.com

      Copy to Clipboard

      服务器名称必须与证书的 Common Name字段中设置的条目匹配。

   2. 可选： 如果证书在 Subject Alt Names (SAN)字段中包含额外的主机名，您可以配置 mod_ssl 来为这些主机名提供 TLS 加密。要配置此功能，请添加具有对应名称的ServerAliases参数：

      ServerAlias www.example.com server.example.com

      Copy to Clipboard

   3. 设置到私钥、服务器证书和 CA 证书的路径：

      SSLCertificateKeyFile "/etc/pki/tls/private/example.com.key"
      SSLCertificateFile "/etc/pki/tls/certs/example.com.crt"
      SSLCACertificateFile "/etc/pki/tls/certs/ca.crt"

      Copy to Clipboard

3. 出于安全考虑，配置成只有 root 用户才可以访问私钥文件：

   # chown root:root /etc/pki/tls/private/example.com.key
   # chmod 600 /etc/pki/tls/private/example.com.key

   Copy to Clipboard
   警告

   如果私钥被设置为可以被未授权的用户访问，则需要撤销证书，然后再创建一个新私钥并请求一个新证书。否则，TLS 连接就不再安全。