Centos7+Apache实现HTTPS

一、安装apache，已安装略过。未安装的看这篇文章 centOS7-安装apache+php 。

二、安装Apache支持SSL/TLS

yum install mod_ssl openssl

三、编辑SSL配置文件

vi /etc/httpd/conf.d/ssl.conf

四、创建CA证书、CA证书签名

检查确认httpd服务安装并已开启，确认已安装ssl模块和openssl包

安装命令（可选步骤）

进入httpd安装根目录，生产服务器私钥 

>根据提示输入访问密钥的密码（例：123456），再次核对输入（123456）。 务必牢记密码！！！

提示：server.key 密钥的文件名可以自行定义

>Enter pass phrase for server.key:（输入密钥密码，就是那个要牢记的密码，我这里是：123456）

根据提示输入相应信息

进入httpd模块目录查看是否存在mod_ssl.so源文件

本例是vhost.conf，可能有不同名称

参照图示编辑虚拟主机

注意：ServerName 一定要指定主机名和端口号，不能简写。

SSLCertificateFile和SSLCertificateKeyFile指向的文件就是实际存在的文件（本例：放置在/etc/httpd/目录）

 确保配置文件没有错误，返回 Syntax OK 则没有问题

 重启httpd

输入访问密钥的密码（就是那个务必牢记的密码：123456）

编辑firewalld配置文件，加入https服务

加入<service name="https"/>

重启firewalld防火墙

导出证书并添加到受信任的根证书机构中，具体 *** 作百度...

1. 生成自签名的证书

通常要配置 https 的服务器，都需要一个由正式的 CA 机构认证的 X509 证书。当客户端连接 https 服务器时，会通过 CA 的共钥来检查这个证书的正确性。但要获得 CA 的证书是一件很麻烦的事情，而且还要花费一定的费用。因此通常一些小的机构会是使用自签名的证书。也就是自己做 CA，给自己的服务器证书签名。

这个过程有两个主要的步骤，首先是生成自己的 CA 证书，然后再生成各个服务器的证书并为它们签名。 我是用 OpenSSL 来生成自签名证书的。

第一步是制作 CA 的证书：

openssl genrsa -des3 -out my-ca.key 2048

openssl req -new -x509 -days 3650 -key my-ca.key -out my-ca.crt

这会生成 my-ca.key 和 my-ca.crt 文件，前者存放着使用 my-ca.crt 制作签名时必须的密钥，应当妥善保管。而后者是可以公开的。上面的命令为 my-ca.key 设定的有效期为 10 年。

用命令

openssl x509 -in my-ca.crt -text -noout

可以查看 my-ca.crt 文件的内容。

有了 CA 证书之后，就可以为自己的服务器生成证书了：

openssl genrsa -des3 -out mars-server.key 1024

openssl req -new -key mars-server.key -out mars-server.csr

openssl x509 -req -in mars-server.csr -out mars-server.crt -sha1 -CA my-ca.crt -CAkey my-ca.key -CAcreateserial -days 3650

前两个命令会生成 key、csr 文件，最后一个命令则通过 my-ca.crt 为 mars-server.csr 制作了 x509 的签名证书。

需要注意的是，在执行上述第二个命令时，Common Name 选项应当输入的是服务器的域名，否则在用户通过 https 协议访问时每次都会有额外的提示信息。

用命令

openssl x509 -in mars-server.crt -text -noout

可以查看 mars-server.crt 文件的内容。

2. 配置 Apache 服务器

首先，创建 /etc/apache2/ssl 目录，将刚刚制作的 my-ca.crt、mars-server.key 和 mars-server.crt 文件拷贝到这个目录中。

接着执行命令

a2emod ssl

激活 Apache 的 SSL 模块，然后在 /etc/apache2/sites-enable/ 中添加虚拟主机，这个过程与添加普通的虚拟主机类似，不同点在于该主机的端口应为 443。配置如下：

NameVirtualHost *:443

<VirtualHost *:443>

ServerName localhost

DocumentRoot /var/www

SSLEngine On

SSLCipherSuite HIGH:MEDIUM

SSLProtocol all -SSLv2

SSLCertificateFile /etc/apache2/ssl/mars-server.crt

SSLCertificateKeyFile /etc/apache2/ssl/mars-server.key

SSLCACertificateFile /etc/apache2/ssl/my-ca.crt

<Directory /var/www>

Order deny,allow

Allow from localhost

</Directory>

</VirtualHost>

<VirtualHost *:80>

ServerName localhost

DocumentRoot /var/www

<Directory /var/www> Order deny,allow

Allow from localhost

</Directory>

</VirtualHost>

以上配置保证了用户在访问 443 和 80 端口时可以看到相同的内容，而仅仅是使用的协议不同。修改好配置后，便可以重启 Apache 服务器，这时需要输入 mars-server.key 的密码。用浏览器访问

https://localhost/

这时应当看到一个d出对话框，让你确认是否信任该站点的证书，选择信任后，便可以查看该站点的内容了。

由于大多数 Apache 服务器都是在服务器启动时自动启动，为了避免在启动 Apache 时输入密码，可以用以下命令生成不加密的 mars-server.key 文件：

openssl rsa -in mars-server.key -out mars-server.key.insecure

用新生成的 mars-server.key.insecure 代替原有的 key 文件即可。

---