Konfigurējiet Apache ar pašparakstītu TLS/SSL sertifikātu Ubuntu 16.04

SSL un tā pēctecis TLS (Secure Sockets Layer / Transport Layer Security) pievieno šifrēšanas slāni starp klientu un serveri. Bez šīs tehnoloģijas dati uz serveri tiek nosūtīti vienkāršā tekstā, ļaujot trešajām pusēm lasīt visu jūsu servera nosūtīto un saņemto informāciju.

Šajā apmācībā jūs iemācīsit izveidot SSL/TLS sertifikātu un aktivizēt to Apache 2.4 versijā Ubuntu 16.04. Es pieņemu, ka Apache jau ir iestatīts un darbojas. Ja vēlaties uzzināt, kā instalēt LAMP steku, skatiet šo Vultr dokumentu .

Uzmanību

SSL/TLS certificates are normally generated by a trusted CA (certificate authority). By generating it yourself, you will be the signer, meaning the browser won't be able to verify whether the identity of the certificate should be trusted, and it will warn the user. Although it is possible to bypass this alert, public-facing sites should be using a certificate signed by a trusted CA. Let's encrypt is a CA that offers certificates for free. You can learn how to install their certificate in Apache and Ubuntu 16.04 here.

For internal applications, using a self-signed certificate might be valid, especially if you don't have a domain name.

1. darbība. Sertifikāta ģenerēšana

1. Vispirms izveidosim vietu faila glabāšanai.

   mkdir ~/certificates
   cd ~/certificates
   

2. Ģenerējiet CSR un privāto atslēgu.

   openssl req -x509 -newkey rsa:4096 -keyout apache.key -out apache.crt -days 365 -nodes
   

   Tas prasīs informāciju sertifikāta pieprasījumam. Aizpildiet ar atbilstošu informāciju.

   Country Name (2 letter code) [AU]: US
   State or Province Name (full name) [Some-State]: FL
   Locality Name (eg, city) []: Miami
   Organization Name (eg, company) [My Company]: My Company
   Organizational Unit Name (eg, section) []:
   

   Parastajam nosaukumam ir jābūt jūsu domēna nosaukumam vai servera IP adresei. Tāpat aizpildiet savu e-pastu.

   Common Name (e.g. server FQDN or YOUR name) []: 203.0.113.122
   Email Address []:[email protected]
   

3. Tagad pārvietojiet sertifikātu uz Apache konfigurācijas mapi.

   mkdir /etc/apache2/ssl
   mv ~/certificates/* /etc/apache2/ssl/.
   

4. Sertifikāts ir gatavs! Tālāk mēs sagatavosim Apache darbam ar sertifikātu.

2. darbība: ugunsmūra konfigurācija

1. Mums ir jāpārliecinās, vai TCP ports 443 ir atvērts. Šis ports tiek izmantots SSL savienojumos, nevis ports 80. Šajā apmācībā mēs izmantosim UFW.

2. Pārliecinieties, vai UFW ir iespējots.

   sudo ufw enable
   

3. Tagad atļaujiet ugunsmūra iepriekš definētos Apache iestatījumus.

   sudo ufw allow 'Apache Full'
   

4. Ierakstot " sudo ufw status", jūs varat redzēt pašreizējo noteikumu sarakstu. Jūsu konfigurācijai vajadzētu būt līdzīgai šādai:

   To                         Action      From
   --                         ------      ----
   Apache Full                ALLOW       Anywhere
   OpenSSH                    ALLOW       Anywhere
   Apache Full (v6)           ALLOW       Anywhere (v6)
   OpenSSH (v6)               ALLOW       Anywhere (v6)
   

5. Šeit jums vajadzētu arī atļaut OpenSSH turpmākiem savienojumiem.

   sudo ufw allow 'OpenSSH'
   

3. darbība. Apache virtuālā saimniekdatora konfigurācija

1. Pārejiet uz noklusējuma Apache vietnes konfigurācijas direktoriju.

   sudo nano /etc/apache2/sites-available/default-ssl.conf
   

2. Šis fails norāda serverim, kur meklēt SSL sertifikātu. Ja komentāri ir noņemti, tai vajadzētu izskatīties šādi.

   <IfModule mod_ssl.c>
     <VirtualHost _default_:443>
      ServerAdmin webmaster@localhost
   
      DocumentRoot /var/www/html
   
      ErrorLog ${APACHE_LOG_DIR}/error.log
      CustomLog ${APACHE_LOG_DIR}/access.log combined
   
      SSLEngine on
   
      SSLCertificateFile    /etc/ssl/certs/ssl-cert-snakeoil.pem
      SSLCertificateKeyFile /etc/ssl/private/ssl-cert-snakeoil.key
   
      <FilesMatch "\.(cgi|shtml|phtml|php)$">
       SSLOptions +StdEnvVars
      </FilesMatch>
      <Directory /usr/lib/cgi-bin>
       SSLOptions +StdEnvVars
      </Directory>
   
    </VirtualHost>
   </IfModule>
   

3. Rediģēt šo rindiņu:

   ServerAdmin [email protected]
   

4. Pievienojiet šo tieši zem ServerAdminrindas:

   ServerName ADD_YOUR_IP_OR_DOMAIN_NAME_HERE
   

5. Tagad rediģējiet šīs rindas ar mūsu sertifikāta atrašanās vietu:

   SSLCertificateFile    /etc/apache2/ssl/apache.crt
   SSLCertificateKeyFile /etc/apache2/ssl/apache.key
   

6. Mūsu galīgajam failam vajadzētu līdzināties šim:

   <IfModule mod_ssl.c>
    <VirtualHost _default_:443>
     ServerAdmin [email protected]
     ServerName 203.0.113.122
   
     DocumentRoot /var/www/html
   
     ErrorLog ${APACHE_LOG_DIR}/error.log
     CustomLog ${APACHE_LOG_DIR}/access.log combined
   
     SSLEngine on
   
     SSLCertificateFile    /etc/apache2/ssl/apache.crt
     SSLCertificateKeyFile /etc/apache2/ssl/apache.key
   
     <FilesMatch "\.(cgi|shtml|phtml|php)$">
      SSLOptions +StdEnvVars
     </FilesMatch>
     <Directory /usr/lib/cgi-bin>
      SSLOptions +StdEnvVars
     </Directory>
   
    </VirtualHost>
   </IfModule>
   

7. Saglabājiet un aizveriet failu.

4. darbība: Apache SSL moduļa iespējošana

1. Iespējojiet SSL moduli, ierakstot:

   sudo a2enmod ssl
   

2. Tagad iespējojiet vietni, kuru tikko rediģējām:

   sudo a2ensite default-ssl.conf
   

3. Restartējiet Apache:

   sudo service apache2 restart
   

4. Piekļūstam jaunajai drošajai vietnei! Atveriet to savā pārlūkprogrammā (pārliecinieties, ka ierakstāt https:// ).

   https://YOUR_SERVER_IP
   

Jūsu pārlūkprogramma brīdinās, ka sertifikāts ir nederīgs, kā mēs gaidījām. Tas notiek tāpēc, ka sertifikāts nav parakstīts. Lai pārietu uz savu vietni, veiciet pārlūkprogrammas piedāvātās darbības.

5. darbība. Novirziet visu HTTP trafiku uz HTTPS (neobligāti)

1. Atveriet Apache noklusējuma virtuālās resursdatora failu:

   nano /etc/apache2/sites-available/000-default.conf
   

2. Pievienojiet šo rindiņu <VirtualHost *:80>taga iekšpusē :

   Redirect / https://YOUR_SERVER_IP_OR_DOMAIN/
   

3. Pārlādēt Apache konfigurāciju:

   sudo service apache2 reload
   

Visa vietnes trafika tagad automātiski tiks novirzīta uz HTTPS.