第 14 章 Web 服务器

1. 确保所有模块名称都正确，因为它们可能已更改。调整已重命名的每个模块的 LoadModule 指令。
2. 重新编译所有第三方模块，然后尝试载入它们。这通常意味着身份验证和授权模块。
3. 如果您使用 mod_userdir 模块，请确保提供了指明目录名称（通常是 public_html）的 UserDir 指令。
4. 如果您使用 Apache HTTP 安全服务器，请参阅 第 14.1.8 节 “启用 mod_ssl 模块” 来获得有关启用安全套接字层(SSL)协议的重要信息。

配置 mod_nss

1. 以 root 用户身份安装 mod_nss:

   ~]# yum install mod_nss

   这将在 /etc/httpd/conf.d/ nss.conf 中创建 mod_ nss 配置文件。默认情况下，/etc/httpd/conf.d/ 目录包含在 Apache HTTP 服务器主配置文件中。要加载模块，请重新启动 httpd 服务，如 第 14.1.3.3 节 “重启服务” 所述。

2. 以 root 身份，打开 /etc/httpd/conf.d/nss.conf 文件并搜索 Listen 指令 的所有 实例。

   编辑 Listen 8443 行，如下所示：

   Listen 443

   端口 443 是 HTTPS 的默认端口。

3. 编辑默认 VirtualHost default: 8443 行，如下所示：

   VirtualHost default:443

   编辑任何其他非默认虚拟主机部分（若存在）。保存并关闭该文件。

4. Mozilla NSS 将证书存储在 /etc/httpd/conf.d/nss.conf 文件中的 NSSCertificateDatabase 指令表示的 服务器证书数据库中。默认情况下，路径设置为 /etc/httpd/alias，这是在安装过程中创建的 NSS 数据库。

   要查看默认 NSS 数据库，请使用以下命令：

   ~]# certutil -L -d /etc/httpd/alias
   
   Certificate Nickname                     Trust Attributes
                                  SSL,S/MIME,JAR/XPI
   
   cacert                            CTu,Cu,Cu
   Server-Cert                         u,u,u
   alpha                            u,pu,u

   在以上命令输出中，Server-Cert 是默认的 NSSNickname。L 选项 会在证书数据库中列出所有证书，或者显示有关指定证书的信息。d 选项指定 包含证书和密钥数据库文件的数据库目录。有关更多命令行选项，请参阅 certutil(1) man page。

5. 要将 mod_nss 配置为使用其他数据库，请编辑 /etc/httpd/conf.d/nss.conf 文件中的 NSSCertificateDatabase 行。默认 文件在 VirtualHost 部分中具有以下行：

   #  Server Certificate Database:
   #  The NSS security database directory that holds the certificates and
   #  keys. The database consists of 3 files: cert8.db, key3.db and secmod.db.
   #  Provide the directory that these files exist.
   NSSCertificateDatabase /etc/httpd/alias

   在以上命令输出中，alia 是默认 NSS 数据库目录 /etc/httpd/alias/。

6. 要将密码应用到默认 NSS 证书数据库，以 root 用户身份运行以下命令：

   ~]# certutil -W -d /etc/httpd/alias
   Enter Password or Pin for "NSS Certificate DB":
   Enter a password which will be used to encrypt your keys.
   The password should be at least 8 characters long,
   and should contain at least one non-alphabetic character.
   
   Enter new password:
   Re-enter password:
   Password changed successfully.

7. 在部署 HTTPS 服务器之前，请使用由证书颁发机构(CA)签名的证书创建新证书数据库。

   例 14.3. 在 Mozilla NSS 数据库中添加证书

   certutil 命令用于在 NSS 数据库文件中添加 CA 证书：

   certutil -d /etc/httpd/nss-db-directory/ -A -n "CA_certificate" -t CT,, -a -i certificate.pem

   以上命令添加存储在名为 certificate.pem 的 PEM 格式文件中的 CA 证书。d 选项指定 包含证书和密钥数据库文件的 NSS 数据库目录，-n 选项设置证书的名称 -t CT， 表示证书受信任可用于 TLS 客户端和服务器。A 选项将 现有证书添加到证书数据库。如果数据库不存在，它将被创建。a 选项 允许将 ASCII 格式用于输入或输出，而 -i 选项则将 certificate.pem 输入文件传递到 命令。

   有关更多命令行选项，请参阅 certutil(1) man page。

8. NSS 数据库应设有密码保护，以保护私钥。

   例 14.4. 为 Mozilla NSS 数据库设置密码

   certutil 工具可以为 NSS 数据库设置密码，如下所示：

   certutil -W -d /etc/httpd/nss-db-directory/

   例如，对于默认数据库，以 root 身份发出命令，如下所示：

   ~]# certutil -W -d /etc/httpd/alias
   Enter Password or Pin for "NSS Certificate DB":
   Enter a password which will be used to encrypt your keys.
   The password should be at least 8 characters long,
   and should contain at least one non-alphabetic character.
   
   Enter new password:
   Re-enter password:
   Password changed successfully.

9. 通过使用 NSS PassPhraseDialog 指令更改行，将 mod_nss 配置为使用 NSS 内部软件令牌：

   ~]# vi /etc/httpd/conf.d/nss.conf
   NSSPassPhraseDialog file:/etc/httpd/password.conf

   这是为了避免在系统启动时手动输入密码。软件令牌存在于 NSS 数据库中，但您也可以拥有包含您的证书的物理令牌。

10. 如果 NSS 数据库中包含的 SSL 服务器证书是 RSA 证书，请确保未注释 NSSNickname 参数并与上面第 4 步中显示的 nickname 匹配：

    ~]# vi /etc/httpd/conf.d/nss.conf
    NSSNickname Server-Cert

    如果 NSS 数据库中包含的 SSL 服务器证书是 ECC 证书，请确保 NSSECCNickname 参数未注释，并与上一步 4 中显示的 nickname 匹配：

    ~]# vi /etc/httpd/conf.d/nss.conf
    NSSECCNickname Server-Cert

    确保 NSSCertificateDatabase 参数未注释，并指向在第 4 步中显示的 NSS 数据库目录，或者在上面的步骤 5 中配置：

    ~]# vi /etc/httpd/conf.d/nss.conf
    NSSCertificateDatabase /etc/httpd/alias

    将 /etc/httpd/alias 替换为要使用的证书数据库的路径。

11. 以 root 用户身份创建 /etc/httpd/password.conf 文件：

    ~]# vi /etc/httpd/password.conf

    使用以下格式添加一行：

    internal:password

    使用上面步骤 6 中应用到 NSS 安全数据库的密码替换 password。

12. 将适当的所有权和权限应用到 /etc/httpd/password.conf 文件：

    ~]# chgrp apache /etc/httpd/password.conf
    ~]# chmod 640 /etc/httpd/password.conf
    ~]# ls -l /etc/httpd/password.conf
    -rw-r-----. 1 root apache 10 Dec 4 17:13 /etc/httpd/password.conf

13. 要将 mod_nss 配置为使用 /etc/httpd/password.conf 中的软件令牌，请按如下方式编辑 /etc/httpd/conf.d/nss.conf ：

    ~]# vi /etc/httpd/conf.d/nss.conf

14. 重新启动 Apache 服务器以使更改生效，如 所述 第 14.1.3.3 节 “重启服务”

1. 您正在更改 IP 地址或域名。

   为特定的 IP 地址和域名对签发证书。如果这些值之一改变，证书就会变得无效。

2. 您有来自 VeriSign 的证书，并且正在更改服务器软件。

   Verisign 是广泛使用的证书颁发机构，发布特定软件产品、IP 地址和域名的证书。更改软件产品会使证书无效。

1. 检查将在其中存储密钥和证书的目标位置。

   图 14.1. 运行 genkey 工具

   

   使用 Tab 键选择 下一步按钮，然后按 Enter 键继续下一屏幕。

2. 使用向上和 向下箭头键，选择合适的键大小。请注意，虽然较大的密钥会增加安全性，但也会增加服务器的响应时间。NIST 建议使用 2048 位。请参阅 NIST 特殊出版物 800-131A。

   图 14.2. 选择密钥大小

   

   完成后，使用 Tab 键选择 下一步按钮，然后按 Enter 以启动随机位生成过程。根据所选的密钥大小，这可能需要一些时间。

3. 决定是否要向证书颁发机构发送证书请求。

   图 14.3. 生成证书请求

   

   使用 Tab 键选择 Yes 来编写证书请求，或者选择 No 来生成自签名证书。然后按 Enter 键确认您的选择。

4. 使用 空格键，启用([*])或禁用([])加密私钥。

   图 14.4. 加密私钥

   

   使用 Tab 键选择 下一步按钮，然后按 Enter 键继续下一屏幕。

5. 如果您启用了私钥加密，请输入适当的密码短语。请注意，出于安全原因，它不会显示在您键入时，且长度至少为五个字符。

   图 14.5. 输入密码

   

   使用 Tab 键选择 下一步按钮，然后按 Enter 键继续下一屏幕。

   重要

   需要输入正确的密码短语才能启动服务器。如果丢失，则需要生成新的密钥和证书。

6. 自定义证书详细信息。

   图 14.6. 指定证书信息

   

   使用 Tab 键选择 下一步按钮，然后按 Enter 键完成密钥生成。

7. 如果您之前启用了证书请求生成，则会提示您将其发送到证书颁发机构。

   图 14.7. 有关如何发送证书请求的说明

   

   按 Enter 返回 shell 提示符。