Tag Archives: https

Apache mod_ssl通过PoisitveSSL认证

Posted by on 2012/04/18 No comments


由于前几天国内大断网之后, 现在安装的三方twitter客户端dabr和twip, 每次都会重置链接. 通过测试服务器上设定ssl链接后, 就不会被我们伟大的GFW重置链接. 但没有第三方机构认证的ssl, 在twitter for iphone客户端上将会无法使用. 首先我尝试了免费的startssl, 但是无法进入控制面板. 然后就在cheapssls.com找到了一个单域名ssl认证, 每年只需要$8. (这里的单域名, 只能用在一次域名地址上, 比如你注册的是wolftankk.com, 那么用在t.wolftankk.com上, 浏览器会警告你证书错误). 聊了这么多, 我们来讲讲具体步骤.

在此之前请确保mod_ssl模块已经加载.

生产.csr文件与.key文件

openssl req -nodes -newkey rsa:2048 -keyout server.key -out server.csr

根据选项输入国家, 城市, 邮件地址以及域名地址 (Common Name 域名地址一定要填写正确)
我这里注册的是t.wolftankk.com

在cheapssls上选购poisitiveSSL

然后在选购面板中填写你需要申请的域名地址,email, 电话 以及联系地址.
并且在csr选择 apache + mod_ssl, 并且将你服务器上csr文本内容黏贴在文本框中
在过不了多久, 你就会收到邮件, 此邮件里面包含域名的crt和ca-bundle
将server.key, wolftankk_com.crt, wolftankk_com.ca-bundle 全部放在 apache2/conf目录下

mod_ssl设定

修改mod_ssl配置, 修订apache2/conf/extra/httpd-ssl.conf

Listen 443

AddType application/x-x509-ca-cert .crt
AddType application/x-pkcs7-crl .crl

SSLPassPhraseDialog builtin

SSLSessionCache "shmcb:/usr/local/apache2/logs/ssl_scache(512000)"
SSLSessionCacheTimeout 300

SSLMutex "file:/usr/local/apache2/logs/ssl_mutex"

同时将下面的这段全部注释.

设定httpd-vhost.conf

NameVirtualHost *:443

ServerAdmin wolftankk@gmail.com
DocumentRoot "/home/htdocs/dabr/wwwroot"
ServerName t.wolftankk.com:443
ErrorLog "/home/htdocs/dabr/logs/error.log"
SSLEngine on
SSLCipherSuite ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP:+eNULL
SSLProtocol all -SSLv2
#poisitiveSSL 发给你的crt文件
SSLCertificateFile "/usr/local/apache2/conf/wolftankk_com.crt"
#生产server.key文件
SSLCertificateKeyFile "/usr/local/apache2/conf/server.key"
#poisitiveSSL 发给你的ca-bundle
SSLCertificateChainFile "/usr/local/apache2/conf/wolftankk_com.ca-bundle"
SSLCACertificateFile "/usr/local/apache2/conf/wolftankk_com.ca-bundle"
SSLOptions +StdEnvVars

SSLOptions +StdEnvVars

BrowserMatch ".*MSIE.*" \
nokeepalive ssl-unclean-shutdown \
downgrade-1.0 force-response-1.0

CustomLog "/home/htdocs/dabr/logs/access.log" \
"%t %h %{SSL_PROTOCOL}x %{SSL_CIPHER}x \"%r\" %b"

设定完之后, 重启apache, 现在你访问t.wolftankk.com 就不会在显示不信任的认证, 在浏览器的地址栏上会显示第三方认证的标志.

现在你就不怕你搭建的第三方twitter客户端被重置链接了.