10.2. 在 CUPS 服务器上配置 TLS 加密

流程

1. 编辑 /etc/cups/cups-files.conf 文件，并添加以下设置来禁用自动创建自签名证书：

   CreateSelfSignedCerts no

   Copy to Clipboard Toggle word wrap

2. 删除自签名证书和私钥：

   # rm /etc/cups/ssl/<hostname>.crt /etc/cups/ssl/<hostname>.key

   Copy to Clipboard Toggle word wrap

3. 可选：显示服务器的 FQDN：

   # hostname -f
   server.example.com

   Copy to Clipboard Toggle word wrap

4. 将私钥和服务器证书存储在 /etc/cups/ssl/ 目录中，例如：

   # mv /root/server.key /etc/cups/ssl/server.example.com.key
   # mv /root/server.crt /etc/cups/ssl/server.example.com.crt

   Copy to Clipboard Toggle word wrap
   重要

   CUPS 要求您将私钥命名为 <fqdn>.key ，将服务器证书文件命名为 <fqdn>.crt。如果使用别名，则必须将文件命名为 <alias>.key 和 <alias>.crt。

5. 对私钥设置安全权限，以使只有 root 用户可以读取此文件：

   # chown root:root /etc/cups/ssl/server.example.com.key
   # chmod 600 /etc/cups/ssl/server.example.com.key

   Copy to Clipboard Toggle word wrap

   因为在客户端和服务器建立安全连接之前，证书是它们之间通信的一部分，所以任何客户端都可以检索证书，而无需身份验证。因此，您不需要对服务器证书文件设置严格的权限。

6. 恢复 SELinux 上下文：

   # restorecon -Rv /etc/cups/ssl/

   Copy to Clipboard Toggle word wrap

7. 可选：显示证书的 CN 和 SAN 字段：

   # openssl x509 -text -in /etc/cups/ssl/server.example.com.crt
   Certificate:
     Data:
       ...
       Subject: CN = server.example.com
       ...
       X509v3 extensions:
         ...
         X509v3 Subject Alternative Name:
           DNS:server.example.com
     ...

   Copy to Clipboard Toggle word wrap

8. 如果服务器证书中的 CN 或 SAN 字段包含与服务器的 FQDN 不同的别名，请将 ServerAlias 参数添加到 /etc/cups/cupsd.conf 文件中：

   ServerAlias alternative_name.example.com

   Copy to Clipboard Toggle word wrap

   在这种情况下，使用替代名称而不是流程剩余部分中的 FQDN。

9. 默认情况下，CUPS 仅在任务需要身份验证时才强制实施加密的连接，例如在 web 界面中的 /admin 页面中执行管理任务时。

   要为整个 CUPS 服务器强制实施加密，请将 Encryption Required 添加到 /etc/cups/cupsd.conf 文件中的所有 <Location> 指令中，例如：

   <Location />
     ...
     Encryption Required
   </Location>

   Copy to Clipboard Toggle word wrap

10. 重启 CUPS：

    # systemctl restart cups

    Copy to Clipboard Toggle word wrap

验证

1. 使用浏览器并访问 https://<hostname>:631/admin/。这要求您的浏览器信任 CA 证书。如果连接成功，则您正确地在 CUPS 中配置了 TLS 加密。
2. 如果您为整个服务器所需的该加密，请访问 http://<hostname>:631/。本例中，CUPS 返回一个 Upgrade Required 错误。