CentOS 6下Apache的https虚拟主机实践

193次阅读

共计 4758 个字符，预计需要花费 12 分钟才能阅读完成。

题目：
1、建立 httpd 服务器，要求：
提供两个基于名称的虚拟主机:
(a)www1.linuxidc.com，页面文件目录为 /web/vhosts/www1；错误日志为 /var/log/httpd/www1.err，访问日志为 /var/log/httpd/www1.access；
(b)www2.linuxidc.com，页面文件目录为 /web/vhosts/www2；错误日志为 /var/log/httpd/www2.err，访问日志为 /var/log/httpd/www2.access；
(c)为两个虚拟主机建立各自的主页文件 index.html，内容分别为其对应的主机名；
(d)通过 www1.linuxidc.com/server-status 输出 httpd 工作状态相关信息，且只允许提供帐号密码才能访问(status:status)；

2、为上面的第 2 个虚拟主机提供 https 服务，使得用户可以通过 https 安全的访问此 web 站点；
(1)要求使用证书认证，证书中要求使用的国家 (CN)、州(Beijing)、城市(Beijing) 和组织 (Quintin Ltd)；
(2) 设置部门为 Ops，主机名为 www2.linuxidc.com，邮件为 admin@linuxidc.com；

===============================================================================

准备环境与材料:
CentOS 6 两部 (一部也可以)
Apache 2.2
使用域名 linuxidc.com

1. 建立 httpd 服务器

创建所需文件夹:
# mkdir -p /web/vhosts/www{1,2}

(a)、(b)

因为服务器自带 httpd, 无需安装
所以直接编辑 httpd 配置文件:httpd.conf
# vim /etc/httpd/conf/httpd.conf

注释掉:
DocumentRoot

取消注释:
#NameVirtualHost *:80

修改:
ServerName localhost:80

在底部添加以下虚拟主机配置
<VirtualHost *:80>
ServerAdmin admin@linuxidc.com
DocumentRoot /web/vhosts/www1
ServerName www1.linuxidc.com
ErrorLog logs/www1.err
CustomLog logs/www1.access combined
</VirtualHost>

<Directory /web/vhosts/www1>
Options Indexes FollowSymLinks
AllowOverride All
Order allow,deny
Allow from all
</Directory>

<VirtualHost *:80>
ServerAdmin admin@linuxidc.com
DocumentRoot /web/vhosts/www2
ServerName www2.linuxidc.com
ErrorLog logs/www2.err
CustomLog logs/www2.access combined
</VirtualHost>

<Directory /web/vhosts/www2>
Options Indexes FollowSymLinks
AllowOverride All
Order allow,deny
Allow from all
</Directory>

配置好后发现
Apache 403 error, (13)Permission denied: access to / denied 问题
检查了一圈 httpd.conf 和目录权限，均没有发现问题。
发现是因为系统启动了 SELINUX 导致的。

临时关闭 SELINUX
setenforce 0

永久关闭
vim /etc/selinux/config
修改
SELINUX=enforcing
改成
SELINUX=disabled

(c)

在 www1 和 www2 中分别新建 index.html, 内容分别为 www1.linuxidc.com 和 www2.linuxidc.com
# vim /web/vhosts/www1/index.html
# vim /web/vhosts/www2/index.html

(d)

创建一个访问账户, 按提示操作
# htpasswd -c /etc/httpd/conf.d/.htpasswd webadmin

修改 httpd.conf, 加入
<Location /server-status>
AuthType Basic
AuthName “Administrator privateeee”
AuthUserFile “/etc/httpd/conf.d/.htpasswd”
Require user “webadmin”
SetHandler server-status
Order deny,allow
Deny from all
Allow from 192.168.3.3
</Location>

2. 将 www2.linuxidc.com 设置为 https

需要使用 OpenSSL 生成自签名证书, 确保 OpenSSL 已安装.
# httpd -M | grep ssl
如果没有则安装
# yum install mod_ssl openssl

在 CentOS A 服务器上配置 CA 服务, 再给当前服务器 (CentOS B) 的 https 颁发证书.

CentOS A:

初始化 CA 服务, 创建所需要的文件(/etc/pki/CA/)
# touch index.txt 创建索引文件
# echo 01 > serial 创建序列号文件

CA 自签证书
生成私钥
# (umask 077; openssl genrsa -out /etc/pki/CA/private/cakey.pem 2048)
使用私钥生成签名证书
# openssl req -new -x509 -key /etc/pki/CA/private/cakey.pem -days 7300 -out /etc/pki/CA/cacert.pem

CentOS B:

# mkdir /etc/httpd/ssl
# cd /etc/httpd/ssl
生成秘钥
# (umask 007;openssl genrsa -out httpd.key 1024)
生成请求文件
# openssl req -new -key httpd.key -out httpd.csr

Country Name (2 letter code) [XX]:CN
State or Province Name (full name) []:Beijing
Locality Name (eg, city) [Default City]:Beijing
Organization Name (eg, company) [Default Company Ltd]:Quintin Ltd
Organizational Unit Name (eg, section) []:Ops
Common Name (eg, your name or your server’s hostname) []:www2.linuxidc.com
Email Address []:admin@linuxidc.com

把生成的文件发送到 CA 服务器 CentOS A:
# scp httpd.csr root@192.168.3.67:/tmp/

回到 CentOS A:

签署
# openssl ca -in /tmp/httpd.csr -out /etc/pki/CA/certs/www2.linuxidc.com.crt -days 365
将生成的 crt 传回 CentOS B
# scp /etc/pki/CA/certs/www2.linuxidc.com.crt root@192.168.3.60:/etc/httpd/ssl/

回到 CentOS B:

配置 httpd 的 ssl 配置(ssl.conf):

# cd /etc/httpd/conf.d/
备份
# cp ssl.conf{,.bak}

编辑 ssl.conf

修改
<VirtualHost _default_:443>
为
<VirtualHost *:443>

DocumentRoot “/web/vhosts/www2”
ServerName www2.linuxidc.com

证书位置
SSLCertificateFile /etc/pki/tls/certs/localhost.crt
=>
SSLCertificateFile /etc/httpd/ssl/www2.linuxidc.com.crt

私钥位置
SSLCertificateKeyFile /etc/pki/tls/private/localhost.key
=>
SSLCertificateKeyFile /etc/httpd/ssl/httpd.key

配置完毕检查配置文件语法错误:
# httpd -t

重启 httpd:
# service httpd restart

查看 443 端口是否已开启:
ss -tnl

使用 s_client 在 CentOS A 上做测试:
# openssl s_client -connect 192.168.3.60:443 -CAfile /etc/pki/CA/cacert.pem

GET / HTTP/1.1
Host: www2.linuxidc.com

HTTP/1.1 200 OK
Date: Wed, 05 Oct 2016 11:20:16 GMT
Server: Apache/2.2.15 (CentOS)
Last-Modified: Fri, 30 Sep 2016 13:33:02 GMT
ETag: “bf4e8-21-53db9a230598a”
Accept-Ranges: bytes
Content-Length: 33
Connection: close
Content-Type: text/html; charset=UTF-8

www2.linuxidc.com</br>
welcome!

测试成功!

去浏览器访问格式:
https://www2.linuxidc.com

Ubuntu Server 14.04 安装 Web 服务器(Linux+Apache+MySQL+PHP) http://www.linuxidc.com/Linux/2015-06/119061.htm

Linux 下安装配置 PHP 环境(Apache2) http://www.linuxidc.com/Linux/2015-05/118062.htm

Linux 下 Apache 服务器配置 http://www.linuxidc.com/Linux/2016-06/132025.htm

Ubuntu 13.04 安装 LAMP\Vsftpd\Webmin\phpMyAdmin 服务及设置 http://www.linuxidc.com/Linux/2013-06/86250.htm

CentOS 5.9 下编译安装 LAMP(Apache 2.2.44+MySQL 5.6.10+PHP 5.4.12) http://www.linuxidc.com/Linux/2013-03/80333p3.htm

Linux 下 Apache 服务器配置 http://www.linuxidc.com/Linux/2016-10/136517.htm

Linux 下 Apache 虚拟主机的配置 http://www.linuxidc.com/Linux/2016-04/130381.htm

Ubuntu 下 Apache 的安装与配置 http://www.linuxidc.com/Linux/2016-11/136841.htm

Apache 的详细介绍：请点这里
Apache 的下载地址：请点这里