1.9. 在Apache HTTP服务器上配置TLS加密

流程

1. 安装 mod_ssl 软件包：

   # yum install mod_ssl

   Copy to Clipboard Toggle word wrap

2. 编辑/etc/httpd/conf.d/ssl.conf文件，并将以下设置添加到 <VirtualHost _default_:443>指令中：

   1. 设置服务器名称：

      ServerName example.com

      Copy to Clipboard Toggle word wrap

1. 可选：如果证书在 Subject Alt Names (SAN)字段中包含额外的主机名，您可以 配置mod_ssl来为这些主机名提供 TLS 加密。要配置此功能，请添加具有对应名称的ServerAliases参数：

   ServerAlias www.example.com server.example.com

   Copy to Clipboard Toggle word wrap

2. 设置到私钥、服务器证书和 CA 证书的路径：

   SSLCertificateKeyFile "/etc/pki/tls/private/example.com.key"
   SSLCertificateFile "/etc/pki/tls/certs/example.com.crt"
   SSLCACertificateFile "/etc/pki/tls/certs/ca.crt"

   Copy to Clipboard Toggle word wrap

   1. 出于安全考虑，配置成只有 root 用户才可以访问私钥文件：

      # chown root:root /etc/pki/tls/private/example.com.key
      # chmod 600 /etc/pki/tls/private/example.com.key

      Copy to Clipboard Toggle word wrap
      警告

      如果私钥被设置为可以被未授权的用户访问，则需要撤销证书，然后再创建一个新私钥并请求一个新证书。否则，TLS 连接就不再安全。

   2. 如果您使用 firewalld，请在本地防火墙中打开端口 443 ：

      # firewall-cmd --permanent --add-port=443/tcp
      # firewall-cmd --reload

      Copy to Clipboard Toggle word wrap

   3. 重启httpd服务：

      # systemctl restart httpd

      Copy to Clipboard Toggle word wrap
   注意

   如果您使用密码来保护私钥文件，则必须在每次 httpd服务启动时都输入此密码。

流程

1. 编辑 /etc/httpd/conf/httpd.conf 文件，并将以下设置添加到您要为其设置 TLS 协议版本的<VirtualHost>指令中。例如，只启用TLSv1.3协议：

   SSLProtocol -All TLSv1.3

   Copy to Clipboard Toggle word wrap

2. 重启 httpd 服务：

   # systemctl restart httpd

   Copy to Clipboard Toggle word wrap

验证

1. 使用以下命令来验证服务器是否支持TLSv1.3:

   # openssl s_client -connect example.com:443 -tls1_3

   Copy to Clipboard Toggle word wrap

2. 使用以下命令来验证服务器是否不支持TLSv1.2 ：

   # openssl s_client -connect example.com:443 -tls1_2

   Copy to Clipboard Toggle word wrap

   如果服务器不支持该协议，命令会返回一个错误：

   140111600609088:error:1409442E:SSL routines:ssl3_read_bytes:tlsv1 alert protocol version:ssl/record/rec_layer_s3.c:1543:SSL alert number 70

   Copy to Clipboard Toggle word wrap
3. 可选：重复用于其他 TLS 协议版本的命令。

流程

1. 编辑/etc/httpd/conf/httpd.conf文件，并将SSLCipherSuite参数添加到您要为其设置 TLS 密码的<VirtualHost>指令中：

   SSLCipherSuite "EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH:!SHA1:!SHA256"

   Copy to Clipboard Toggle word wrap

   这个示例只启用 EECDH+AESGCM、EDH+AESGCM、AES256+EECDH 和 AES256+EDH密码，并禁用所有使用SHA1和SHA256消息身份验证码(MAC)的密码。

2. 重启 httpd 服务：

   # systemctl restart httpd

   Copy to Clipboard Toggle word wrap

验证

1. 显示 Apache HTTP 服务器支持的密码列表：

   1. 安装nmap软件包：

      # yum install nmap

      Copy to Clipboard Toggle word wrap

   2. 使用nmap工具来显示支持的加密：

      # nmap --script ssl-enum-ciphers -p 443 example.com
      ...
      PORT    STATE SERVICE
      443/tcp open  https
      | ssl-enum-ciphers:
      |   TLSv1.2:
      |     ciphers:
      |       TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 (ecdh_x25519) - A
      |       TLS_DHE_RSA_WITH_AES_256_GCM_SHA384 (dh 2048) - A
      |       TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256 (ecdh_x25519) - A
      ...

      Copy to Clipboard Toggle word wrap