Apache HTTP 服务器安装指南

流程

1. 打开浏览器并登录到红帽客户门户网站中的 Software Downloads 页面。
2. 在产品 下拉菜单中，选择 Apache HTTP Server。
3. 在 Version 下拉菜单中选择正确的 JBCS 版本。

4. 根据您使用的 RHEL 版本，执行以下步骤之一：

   • 如果您在 Releases 选项卡中使用 RHEL 7，点 Red Hat JBoss Core Services Apache HTTP Server 2.4.57 for RHEL 7 x86_64 文件旁边的 Download。
   • 如果您使用 RHEL 8，在 Releases 选项卡中点 Red Hat JBoss Core Services Apache HTTP Server 2.4.57 for RHEL 8 x86_64 文件旁的 Download。

   • 如果您使用 RHEL 9，点 安全公告 标签页。然后单击 Red Hat JBoss Core Services Apache HTTP Server 2.4.57 Patch 02 for RHEL 9 x86_64 文件旁边的 Download。

     注意

     Red Hat JBoss Core Services Apache HTTP Server 2.4.57 Patch 02 for RHEL 9 x86_64 文件是 RHEL 9 上安装 JBCS Apache HTTP Server 2.4.57 的基本存档文件。

5. 将下载的存档文件提取到您的安装目录中。

   注意

   在 RHEL 系统上，在 /opt/ 目录中安装 Apache HTTP 服务器。

   归档文件的提取会自动为 Apache HTTP 服务器创建顶级 jbcs-httpd24-2.4/httpd 目录。本文档将 jbcs-httpd24-2.4/httpd 目录称为 HTTPD_HOME。

6. 要安装最新的服务包版本（若有），请执行以下步骤：

   1. 在 Software Downloads 页面中，点 Security Advisories 选项卡。

   2. 在 安全公告 选项卡中，点与您的系统平台和架构匹配的最新的 JBCS Apache HTTP Server 2.4.57 补丁归档文件旁的 Download。

      例如，如果您要在 RHEL 8 上安装 Apache HTTP Server 2.4.57 的 Service Pack X 版本，请单击 Red Hat JBoss Core Services Apache HTTP Server 2.4.57 Patch X for RHEL 8 x86_64 文件旁边的 Download。

      注意

      Service pack 发行版本是累计的。通过下载最新的服务包版本，您还会自动安装任何以前的服务包版本。

流程

1. 在命令行中，前往 HTTPD_HOME/sbin/ 目录。

2. 以 root 用户身份输入以下命令：

    ./apachectl start

流程

1. 在命令行中，前往 HTTPD_HOME/sbin/ 目录。

2. 以 root 用户身份输入以下命令：

    ./apachectl stop

流程

1. 停止 Apache HTTP 服务器 的所有实例：

   pkill httpd

2. 在 HTTPD_HOME/conf/httpd.conf 文件中，将 http 侦听端口设置为高于 1024 ：

   Listen 2080
   ServerName <hostname>:2080

3. 在 HTTPD_HOME/conf.d/ssl.conf 文件中，将 https 侦听端口设置为高于 1024:

   Listen 2443

4. 更改 logs 目录的所有权：

   chown -R apache:apache HTTPD_HOME/logs/

5. 更改 run 目录的所有权：

   chown -R apache:apache HTTPD_HOME/var/run/

6. 验证 httpd 是否在 apache 用户下运行，而不是 root 用户和 apache 用户：

   $ ps -eo euser,egroup,comm | grep httpd

   这个命令会产生以下类型的输出：

   apache   apache   httpd
   apache   apache   httpd
   apache   apache   httpd
   ...

   重要

   限制 apache 用户的文件权限并启用 SELinux。这有助于防止以下情况：
   

   • 由网站用户进行未授权访问或修改文件和目录
   • 对 Apache HTTP 服务器配置文件不需要的更改

流程

1. 要确定哪个系统守护进程正在运行，请输入以下命令：

   $ ps -p 1 -o comm=

   如果 systemd 正在运行，则会显示以下输出：

   systemd

2. 要为 systemd 设置 Apache HTTP 服务器，以 root 用户身份运行 .postinstall.systemd 脚本：

   # cd HTTPD_HOME
   # sh httpd/.postinstall.systemd

3. 要使用 systemd 控制 Apache HTTP 服务器，请以 root 用户身份输入以下命令：

   • 启用 Apache HTTP 服务器服务在系统启动时启动：

     # systemctl enable jbcs-httpd24-httpd.service

   • 启动 Apache HTTP 服务器：

     # systemctl start jbcs-httpd24-httpd.service

   • 停止 Apache HTTP 服务器：

     # systemctl stop jbcs-httpd24-httpd.service

   • 验证 Apache HTTP 服务器的状态：

     # systemctl status jbcs-httpd24-httpd.service

     注意

     任何用户都可以运行 systemctl status 命令。

流程

1. 使用 Red Hat Subscription Management 注册您的系统：

   1. 登录到 Red Hat Subscription Management 网页。
   2. 点 Systems 选项卡。
   3. 点击 您要向其添加订阅的系统名称。
   4. 从 Details 选项卡更改到 Subscriptions 选项卡，然后单击 Attach Subscriptions。
   5. 选中您要附加的订阅旁边的复选框，然后单击 Attach Subscriptions。

2. 要为您的操作系统版本订阅 Apache HTTP 服务器 CDN 软件仓库，请以 root 用户身份输入以下命令：

   # subscription-manager repos --enable <repository>

   注意

   如果使用 RHEL 7，请将 < repository&gt; 替换为 jb-coreservices-1-for-rhel-7-server-rpms。

   如果您使用 RHEL 8，请将 < repository&gt; 替换为 jb-coreservices-1-for-rhel-8-x86_64-rpms。

验证

1. 登录到 Red Hat Subscriptions 网页。
2. 在 Subscription Name 列中，点您要选择的订阅。
3. 在 产品提供下，您需要 Red Hat JBoss Core Services。

流程

1. 打开浏览器并登录到红帽客户门户网站中的 Software Downloads 页面。
2. 在产品 下拉菜单中，选择 Apache HTTP Server。
3. 在 Version 下拉菜单中选择正确的 JBCS 版本。
4. 在 Releases 选项卡中，点 Red Hat JBoss Core Services Apache HTTP Server 2.4.57 for Windows Server x86_64 文件旁边的 Download。

5. 将下载的存档文件提取到您的安装目录中。

   注意

   在 Windows Server 系统上，在 C:\Program Files 目录中安装 Apache HTTP 服务器。

   归档文件的提取会自动为 Apache HTTP 服务器创建顶级 jbcs-httpd24-2.4 文件夹。本文档将 jbcs-httpd24-2.4 文件夹指代为 HTTPD_HOME。

6. 要安装最新的服务包版本（若有），请执行以下步骤：

   1. 在 Software Downloads 页面中，点 Security Advisories 选项卡。

   2. 在 安全公告 选项卡中，点最新的 Red Hat JBoss Core Services Apache HTTP Server 2.4.57 Patch X for Windows Server x86_64 文件旁边的 Download。

      注意

      Service pack 发行版本是累计的。通过下载最新的服务包版本，您还会自动安装任何以前的服务包版本。

流程

1. 将 http2_module 添加到配置中：

   1. 打开 HTTP_HOME/conf.modules.d/00-base.conf 文件。

   2. 输入以下行：

      ...
      LoadModule http2_module modules/mod_http2.so

2. 在配置中添加 h2 协议：

   1. 打开 HTTP_HOME/conf/httpd.conf 文件。

   2. 如果要为虚拟主机启用 HTTP/2 支持，请将 h2 协议添加到虚拟主机配置中。

      或者，如果您要为所有服务器连接启用 HTTP/2 支持，请将 h2 协议添加到主服务器配置部分。

      例如：

      <IfModule http2_module>
          Protocols h2 http/1.1
          ProtocolsHonorOrder on
      </IfModule>

3. 更新安全套接字层(SSL)配置：

   1. 打开 HTTP_HOME/conf.d/ssl.conf 文件：

   2. 确保将 SSLEngine 指令设置为 enabled。SSL Engine 默认启用。

      SSLEngine on

   3. 更新 SSLProtocol 指令，以禁用 SSLv2 和 SSLv3 协议。这会强制连接使用传输层安全(TLS)协议。

      SSLProtocol all -SSLv2 -SSLv3

   4. 更新 SSLCipherSuite 指令，以指定哪些 SSL 密码可与 Apache HTTP 服务器一起使用。

      例如：

      SSLCipherSuite ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!3DES:!MD5:!PSK

      注意

      有关 SSL 模块和支持的指令的更多信息，请参阅 Apache HTTP 服务器文档版本 2.4 - 模块：Apache Module mod_ssl。

4. 要重启 Red Hat JBoss Core Services Apache HTTP 服务器并应用更改的配置，以 root 用户身份执行以下步骤：

   • 如果要使用 systemd 在 Red Hat Enterprise Linux 上启动 Apache HTTP 服务器，请输入以下命令：

     # systemctl restart jbcs-httpd24-httpd.service

   • 如果要使用 apachectl 在 Red Hat Enterprise Linux 上启动 Red Hat JBoss Core Services，请输入以下命令：

     # HTTP_HOME/sbin/apachectl restart

   • 如果要在 Windows Server 上启动 Apache HTTP 服务器，请输入以下命令：

     # net restart Apache2.4

流程

1. 从浏览器或使用 curl 命令行工具访问服务器。

2. 要检查 SSL/TLS 请求日志，请输入以下命令：

   $ grep 'HTTP/2'  HTTP_HOME/logs/ssl_request_log

3. 要检查 SSL/TLS 访问日志，请输入以下命令：

   $ grep 'HTTP/2'  HTTP_HOME/logs/ssl_access_log

验证

1. 如果启用了 HTTP/2，grep 'HTTP/2' HTTP_HOME/logs/ssl_request_log 命令会生成以下类型的输出：

   [26/Apr/2018:06:44:45 +0000] 172.17.0.1 TLSv1.2 AES128-SHA "HEAD /html-single/index.html HTTP/2" -

2. 如果启用了 HTTP/2，grep 'HTTP/2' HTTP_HOME/logs/ssl_access_log 命令会生成以下类型的输出：

   172.17.0.1 - - [26/Apr/2018:06:44:45 +0000] "HEAD /html-single/index.html HTTP/2" 200 -

步骤

1. 要检查 HTTP/2 协议是否活跃，请输入以下命令：

   $ curl -I https://<JBCS_httpd_server>:<port>/<test.html>

   注意

   在前面的示例中，将 & lt;JBCS_httpd_server > 替换为服务器的 URI，如 example.com，并将 &lt ;test.html > 替换为您要用来测试配置的任何 HTML 文件。不提供 HTML 测试页面示例。端口号取决于您的配置。

流程

1. 要安装 mod_ssl，请输入以下命令：

   # yum install jbcs-httpd24-mod_ssl

2. 指定 SSL 配置设置：

   1. 打开 JBCS_HOME/httpd/conf.d/ssl.conf 文件。

   2. 输入 ServerName、SSLCertificateFile 和 SSLCertificateKeyFile 的详细信息。

      例如：

      <VirtualHost _default_:443>
      ServerName www.example.com:443
      SSLCertificateFile /opt/rh/jbcs-httpd24/root/etc/pki/tls/certs/localhost.crt
      SSLCertificateKeyFile /opt/rh/jbcs-httpd24/root/etc/pki/tls/private/localhost.key

      注意
      • ServerName 必须与与 SSL 证书关联的通用名称(CN)匹配。如果 ServerName 与 CN 不匹配，客户端浏览器会显示域名不匹配的错误。
      • SSLCertificateFile 指定 SSL 证书文件的路径。
      • SSLCertificateKeyFile 指定与 SSL 证书关联的私钥文件的路径。
3. 验证 Listen 指令是否与部署的 httpd 服务的主机名或 IP 地址匹配。

4. 要重启 Apache HTTP 服务器，请输入以下命令：

   # service jbcs-httpd24-httpd restart

流程

1. 配置证书颁发机构。

   注意

   确保您的 CA 可以发布 OCSP 证书。CA 必须能够将以下属性附加到证书中：

   [ usr_cert ]
   ...
   authorityInfoAccess=OCSP;URI:http://<HOST>:<PORT>
   ...
   [ v3_OCSP ]
   basicConstraints = CA:FALSE
   keyUsage = nonRepudiation, digitalSignature, keyEncipherment
   extendedKeyUsage = OCSP Signing

   在前面的示例中，将 HOST 和 PORT 替换为您要配置的 OCSP 响应器的详细信息。

2. 配置 OCSP 响应程序。

流程

1. 打开 JBCS_HOME/httpd/conf.d/ssl.conf 文件。

2. 为您的部署指定适当的 OCSP 配置详情。

   例如：

   # Require valid client certificates (mutual auth)
   SSLVerifyClient require
   SSLVerifyDepth  3
   # Enable OCSP
   SSLOCSPEnable on
   SSLOCSPDefaultResponder http://<HOST>:<PORT>
   SSLOCSPOverrideResponder on

   注意

   前面的示例演示了如何启用客户端证书的 OCSP 验证。在前面的示例中，将 < HOST&gt; 和 & lt;PORT > 替换为默认 OCSP Responder 的 IP 地址和端口。