教程：在 AL SSL/TLS 2 上配置

连接到您的实例并确认 Apache 正在运行。

[ec2-user ~]$ sudo systemctl is-enabled httpd

如果返回的值不是“启用”，则启动 Apache 并将它设置为每次随系统一起启动。

[ec2-user ~]$ sudo systemctl start httpd && sudo systemctl enable httpd

为确保您的所有软件包都处于最新状态，请对您的实例执行快速软件更新。此过程可能需要几分钟的时间，但必须确保您拥有最新的安全更新和缺陷修复。

[ec2-user ~]$ sudo yum update -y

现在，您的实例是最新的，请安装 Apache 模块 mod_ssl 以添加 TLS 支持。

[ec2-user ~]$ sudo yum install -y mod_ssl

您的实例现在具有以下文件，可使用这些文件配置安全服务器并创建证书以进行测试：

运行脚本以生成自签名虚拟证书和密钥以进行测试。

[ec2-user ~]$ cd /etc/pki/tls/certs
sudo ./make-dummy-cert localhost.crt

这会在 /etc/pki/tls/certs/ 目录中生成一个新文件 localhost.crt。指定的文件名与 /etc/httpd/conf.d/ssl.conf 中的 SSLCertificateFile 指令指定的默认值匹配。

该文件包含自签名证书以及证书的私有密钥。Apache 要求证书和密钥采用 PEM 格式，该格式由由 “BEGIN” 和 “END” 行组成的 Base64-encoded ASCII 字符组成，如以下缩写示例所示。

-----BEGIN PRIVATE KEY-----
MIIEvgIBADANBgkqhkiG9w0BAQEFAASCBKgwggSkAgEAAoIBAQD2KKx/8Zk94m1q
3gQMZF9ZN66Ls19+3tHAgQ5Fpo9KJDhzLjOOCI8u1PTcGmAah5kEitCEc0wzmNeo
BCl0wYR6G0rGaKtK9Dn7CuIjvubtUysVyQoMVPQ97ldeakHWeRMiEJFXg6kZZ0vr
GvwnKoMh3DlK44D9dX7IDua2PlYx5+eroA+1Lqf32ZSaAO0bBIMIYTHigwbHMZoT
...
56tE7THvH7vOEf4/iUOsIrEzaMaJ0mqkmY1A70qQGQKBgBF3H1qNRNHuyMcPODFs
27hDzPDinrquSEvoZIggkDMlh2irTiipJ/GhkvTpoQlv0fK/VXw8vSgeaBuhwJvS
LXU9HvYq0U6O4FgD3nAyB9hI0BE13r1HjUvbjT7moH+RhnNz6eqqdscCS09VtRAo
4QQvAqOa8UheYeoXLdWcHaLP
-----END PRIVATE KEY-----                    

-----BEGIN CERTIFICATE-----
MIIEazCCA1OgAwIBAgICWxQwDQYJKoZIhvcNAQELBQAwgbExCzAJBgNVBAYTAi0t
MRIwEAYDVQQIDAlTb21lU3RhdGUxETAPBgNVBAcMCFNvbWVDaXR5MRkwFwYDVQQK
DBBTb21lT3JnYW5pemF0aW9uMR8wHQYDVQQLDBZTb21lT3JnYW5pemF0aW9uYWxV
bml0MRkwFwYDVQQDDBBpcC0xNzItMzEtMjAtMjM2MSQwIgYJKoZIhvcNAQkBFhVy
...
z5rRUE/XzxRLBZOoWZpNWTXJkQ3uFYH6s/sBwtHpKKZMzOvDedREjNKAvk4ws6F0
CuIjvubtUysVyQoMVPQ97ldeakHWeRMiEJFXg6kZZ0vrGvwnKoMh3DlK44D9dlU3
WanXWehT6FiSZvB4sTEXXJN2jdw8g+sHGnZ8zCOsclknYhHrCVD2vnBlZJKSZvak
3ZazhBxtQSukFMOnWPP2a0DMMFGYUHOd0BQE8sBJxg==
-----END CERTIFICATE-----

文件名和扩展名只是为了提供便利，对功能没有影响。例如，只要 ssl.conf 文件中的相关指令使用相同的名称，您就可以将证书命名为 cert.crt、cert.pem 或任何其他文件名。

使用您常用的文本编辑器（如 vim 或 nano）以根用户身份打开 /etc/httpd/conf.d/ssl.conf 文件并注释掉以下行，因为自签名虚拟证书也包含密钥。如果在完成下一步之前没有注释掉该行，Apache 服务将无法启动。

SSLCertificateKeyFile /etc/pki/tls/private/localhost.key

重启 Apache。

[ec2-user ~]$ sudo systemctl restart httpd

现在，您的 Apache Web 服务器应通过端口 443 支持 HTTPS (安全 HTTP)。通过将您的 EC2 实例的 IP 地址或完全限定域名与前缀 https:// 一起输入浏览器 URL 栏中来对其进行测试。

由于您正在使用自签名的不可信主机证书连接到站点，因此您的浏览器可能会显示一系列安全警告。忽视这些警告并继续连接站点。

如果默认 Apache 测试页面打开，这意味着您已成功在服务器上配置 TLS。在浏览器和服务器之间传输的所有数据现在都已加密。

连接到您的实例并导航到//etc/pkitls/private/。这是存储 TLS 的服务器私有密钥的目录。如果您希望使用现有的主机密钥生成 CSR，请跳到步骤 3。

(可选) 生成新的私有密钥。下面是一些密钥配置示例。任何生成的密钥都可用于您的 Web 服务器，但它们实施安全的程度和类型有所不同。

确保新的私钥具有高度限制的所有权和权限（owner=root，group=root，仅适用于所有者）。 read/write 命令将如以下示例所示。

[ec2-user ~]$ sudo chown root:root custom.key
[ec2-user ~]$ sudo chmod 600 custom.key
[ec2-user ~]$ ls -al custom.key

上述命令生成以下结果。

-rw------- root root custom.key

在创建并配置满意的密钥后，可以创建 CSR。

使用您首选的密钥创建 CSR。下面的示例使用了 custom.key。

[ec2-user ~]$ sudo openssl req -new -key custom.key -out csr.pem

OpenSSL 将打开一个对话框，并提示您输入下表中显示的信息。对于基本的经域验证的主机证书来说，除 Common Name 以外的所有字段都是可选字段。

最后，OpenSSL 将提示您输入可选的质询密码。此密码仅适用于 CSR 和您与 CA 之间的事务，因此请遵循 CA 提供的有关此密码以及其他可选字段、可选公司名的建议。CSR 质询密码不会影响服务器操作。

生成的文件 csr.pem 包含您的公有密钥、您的公有密钥的数字签名以及您输入的元数据。

将 CSR 提交给 CA。这通常包括在文本编辑器中打开 CSR 文件并将内容复制到 Web 表格中。此时，您可能需要提供一个或多个主题备用名称 (SAN) 以放置到证书上。如果 www.example.com 是公用名，则 example.com 将是一个很好的 SAN，反之亦然。您网站的访客如果输入这两个名称的任何一个，便可看到一个没有错误的连接。如果您的 CA Web 表格允许该连接，请在 SAN 列表中包含公用名。一些 CA 会自动包含公用名。

在您的请求获得批准后，您将收到一个由 CA 签署的新主机证书。此外，系统可能会指示您下载中间证书文件，该文件包含完成 CA 的信任链所需的其他证书。

- - - - -BEGIN CERTIFICATE - - - - - 

- - - -END CERTIFICATE - - - - -

[ec2-user certs]$ openssl x509 -in certificate.crt -text

将新 CA-signed 证书和所有中间证书放在/etc/pki/tls/certs目录中。

在/etc/pki/tls/certs目录内部，检查文件所有权、组和权限设置是否与严格限制的 AL2 默认值相匹配（owner=root、group=root，仅适用于所有者）。 read/write 以下示例显示了要使用的命令。

[ec2-user certs]$ sudo chown root:root custom.crt
[ec2-user certs]$ sudo chmod 600 custom.crt
[ec2-user certs]$ ls -al custom.crt

这些命令应生成以下结果。

-rw------- root root custom.crt

中间证书文件的权限并不严格 (所有者=根、组=根、所有者可以写入、组可以读取、任何人均可读取)。以下示例显示了要使用的命令。

[ec2-user certs]$ sudo chown root:root intermediate.crt
[ec2-user certs]$ sudo chmod 644 intermediate.crt
[ec2-user certs]$ ls -al intermediate.crt

这些命令应生成以下结果。

-rw-r--r-- root root intermediate.crt

将用于创建 CSR 的私有密钥放在 /etc/pki/tls/private/ 目录中。

在/etc/pki/tls/private目录内部，使用以下命令验证文件所有权、组和权限设置是否与严格限制的 AL2 默认值相匹配（owner=root，group=root，仅适用于所有者）。 read/write

[ec2-user private]$ sudo chown root:root custom.key
[ec2-user private]$ sudo chmod 600 custom.key
[ec2-user private]$ ls -al custom.key

这些命令应生成以下结果。

-rw------- root root custom.key

编辑 /etc/httpd/conf.d/ssl.conf 以反映您的新证书和密钥文件。

1. 在 Apache 的SSLCertificateFile指令中提供 CA-signed 主机证书的路径和文件名：

   SSLCertificateFile /etc/pki/tls/certs/custom.crt

2. 如果您收到一个中间证书文件（此示例中为 intermediate.crt），请使用 Apache 的 SSLCACertificateFile 指令提供其路径和文件名：

   SSLCACertificateFile /etc/pki/tls/certs/intermediate.crt

   注意

   一些 CA 将主机证书和中间证书合并到单个文件中，从而不再需要使用 SSLCACertificateFile 指令。请查询您的 CA 提供的说明。

3. 在 Apache 的 SSLCertificateKeyFile 指令中提供私有密钥的路径和文件名（在该示例中为 custom.key）：

   SSLCertificateKeyFile /etc/pki/tls/private/custom.key

保存 /etc/httpd/conf.d/ssl.conf 并重启 Apache。

[ec2-user ~]$ sudo systemctl restart httpd

通过在浏览器 URL 栏中输入带有 https:// 前缀的域名来测试您的服务器。您的浏览器应通过 HTTPS 加载测试页面而不会产生错误。

在文本编辑器中打开 /etc/httpd/conf.d/ssl.conf 配置文件，并在以下行的开头输入“#”以注释掉该行。

#SSLProtocol all -SSLv3

添加以下指令：

#SSLProtocol all -SSLv3
SSLProtocol -SSLv2 -SSLv3 -TLSv1 -TLSv1.1 +TLSv1.2

该指令显式禁用 SSL 版本 2 和 3 以及 TLS 版本 1.0 和 1.1。现在，服务器拒绝接受与使用 TLS 1.2 以外的任何协议的客户端之间的加密连接。指令中的冗长文字更清楚地向人类读者阐述为服务器配置的用途。

在 /etc/httpd/conf.d/ssl.conf 配置文件中，找到包含 SSLCipherSuite 指令的部分，并通过在现有行的开头输入“#”来注释掉该行。

#SSLCipherSuite HIGH:MEDIUM:!aNULL:!MD5

指定显式的密码套件，并指定密码顺序以优先使用向前保密性并避免不安全的密码。此处使用的 SSLCipherSuite 指令基于 Mozilla SSL 配置生成器的输出，该生成器根据服务器上运行的特定软件定制 TLS 配置。首先，通过使用以下命令的输出确定 Apache 和 OpenSSL 版本。

[ec2-user ~]$ yum list installed | grep httpd

[ec2-user ~]$ yum list installed | grep openssl

例如，如果返回的信息是 Apache 2.4.34 和 OpenSSL 1.0.2，我们将其输入到生成器中。如果您选择“现代”兼容性模型，这将创建一条 SSLCipherSuite 指令，虽然该指令积极实施安全性，但仍适用于大多数浏览器。如果您的软件不支持现代配置，则可以更新软件或改为选择“中间”配置。

SSLCipherSuite ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:
ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:
ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256

所选密码的名称中有 ECD HE，这是 Elliptic Curve Ephemeral 的缩写。 Diffie-Hellman术语 ephemeral 表示向前保密性。副作用是，这些密码不支持 RC4。

建议您使用密码的明确列表，而不是依赖于内容不可见的默认值或简短指令。

将生成的指令复制到 /etc/httpd/conf.d/ssl.conf 中。

最后，通过删除以下行开头的“#”来取消对该行的注释。

#SSLHonorCipherOrder on

该指令强制服务器优先使用排名较高的密码，包括（在该示例中）支持向前保密性的密码。启用此指令后，服务器会在回滚到允许的安全性较低的密码之前尝试建立高度安全的连接。