使用 Apache 2.2 和 OpenSSL 1.0.1e-fips 进行双向 SSL 身份验证

Question 1

我认为您没有在正确的地方使用正确的证书。您应该在SSLCertificateFile（PEM 格式的证书）、SSLCertificateKeyFile（与证书匹配的 PEM 格式的密钥）和SSLCertificateChainFile（从主机证书的颁发者证书开始直到 PEM 格式的根证书的证书）中使用受信任 CA 颁发的服务器证书。

您SSLCACertificateFile必须使用签署客户端证书的 CA 的证书（同样为 PEM 格式）。

这是一个完整的示例，请记住，我使用的服务器证书由签署客户端证书的同一 CA 签署。如果您的需求不同，请进行调整。

生成证书 openssl genrsa -des3 -out ca.key 4096 openssl req -new -x509 -days 365 -key ca.key -out ca.crt -subj "/C=US/ST=Some State/L=FancyTown/O=SomeOrg/CN=Self-Signed CA" openssl genrsa -out client.key 4096 openssl req -new -key client.key -out client.csr -subj "/C=US/ST=Some State/L=FancyTown/O=SomeOrg/CN=client" openssl x509 -req -days 365 -in client.csr -CA ca.crt -CAkey ca.key -set_serial 01 -out client.crt openssl genrsa -out server.key 4096 openssl req -new -key server.key -out server.csr -subj "/C=US/ST=Some State/L=FancyTown/O=SomeOrg/CN=server" openssl x509 -req -days 365 -in server.csr -CA ca.crt -CAkey ca.key -set_serial 02 -out server.crt
将它们移至更方便的位置 mkdir /etc/ssl_ ; mv * /etc/ssl_
安装 webserver 和 mod_ssl yum install -y httpd mod_ssl
清除默认 TLS 配置 truncate -s0 /etc/httpd/conf.d/ssl.conf
所有 VHost 的通用 TLS 配置，/etc/httpd/conf.d/00-ssl.conf ``` LoadModule ssl_module modules/mod_ssl.so

监听 443 https SSLCACertificateFile /etc/pki/tls/certs/ca-bundle.crt SSLStaplingCache shmcb:/run/httpd/stapling_cache(128000) SSLUseStapling 关闭

SSLPassPhraseDialog exec:/usr/libexec/httpd-ssl-pass-dialog SSLSessionCache shmcb:/run/httpd/sslcache(512000) SSLSessionCacheTimeout 300 SSLRandomSeed 启动文件:/dev/urandom 256 SSLRandomSeed 连接内置 SSLCryptoDevice 内置

SSLStrictSNIVHost勾选 SSLProtocol +TLSv1.2 -TLSv1.1 -TLSv1 -SSLv3 SSLHonorCipherOrder

SSLCompression 关闭 SSLCipherSuite ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-SHA256:-ECDHE-RSA-RC4-SHA:ECDHE-RSA-AE S256-SHA:DHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-SHA256:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES128-SHA256:DHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA:-RC4-SHA:AES256- GCM-SHA384:AES256-SHA256:CAMELLIA256-SHA:ECDHE-RSA-AES128-SHA:AES128-GCM-SHA256:AES128-SHA256:AES128-SHA:CAMELLIA128-SHA ```

VHost 配置/etc/httpd/conf.d/50-ssl-vhost.conf

``` ServerAlias localhost.localdomain localhost ServerName server SSLEngine on SSLCertificateFile /etc/_ssl/server.crt SSLCertificateKeyFile /etc/_ssl/server.key SSLCertificateChainFile /etc/_ssl/ca.crt SSLCACertificateFile /etc/_ssl/ca.crt

    SSLVerifyClient require
    SSLVerifyDepth  10

    DocumentRoot /var/www/html

    <Directory /var/www/html>
            Require all granted
    </Directory>

    ErrorLog logs/ssl_error_log
    TransferLog logs/ssl_access_log

```

创建index.html测试文件 echo 'It works\!' > /var/www/html/index.html
启动 httpd

systemctl enable --now httpd

添加主机名

echo '127.0.1.1 server' >> /etc/hosts

测试

这有效（身份验证成功）： ( echo -en 'GET / HTTP/1.1\r\nHost: server\r\n\r\n' ; sleep 2) | openssl s_client -CAfile /etc/_ssl/ca.crt -cert /etc/_ssl/client.crt -key /etc/_ssl/cli ent.key -connect server:443 -servername server

这不行，我们没有提供正确的证书：

( echo -en 'GET / HTTP/1.1\r\nHost: server\r\n\r\n' ; sleep 2) | openssl s_client -CAfile /etc/_ssl/ca.crt -connect server:443 -servername server

Answer