我有 SSL 证书文件:
- Root2023.crt
- t1.crt
- t1.pem
- t1.pk8
在我的 apache 上,我如何确定这些文件中的哪一个应该用于 SSLCertificateFile、SSLCertificateKeyFile 和 SSLCertificateChainFile 等,
000-默认.conf:
<VirtualHost *:80>
ServerAdmin webmaster@localhost
DocumentRoot /var/www/html
ErrorLog ${APACHE_LOG_DIR}/error.log
CustomLog ${APACHE_LOG_DIR}/access.log combined
</VirtualHost>
<VirtualHost *:443>
ServerAdmin webmaster@localhost
DocumentRoot /var/www/html
SSLEngine on
SSLCertificateFile /etc/ssl/t1.crt
SSLCertificateKeyFile /etc/ssl/t1.pem
SSLCertificateKeyFile /etc/ssl/t1.pk8
SSLCertificateChainFile /etc/ssl/Root2023.crt
ErrorLog ${APACHE_LOG_DIR}/error.log
CustomLog ${APACHE_LOG_DIR}/access.log combined
</VirtualHost>
我尝试了这个配置,但没有用
更新:
openssl x509 -in t1.pem -text -noout
openssl x509 -in t1.crt -text -noout
has similar output like this:
Certificate:
Data:
Version: 3 (0x2)
Serial Number: 508... (0x468dc...8)
Signature Algorithm: sha256WithRSAEncryption
Issuer: CN = rcii
Validity
Not Before: Feb 14 07:34:00 2023 GMT
Not After : Feb 14 07:34:00 2026 GMT
Subject: C = IR, ST = TEH, L = TEH, CN = 172.....
Subject Public Key Info:
Public Key Algorithm: rsaEncryption
Public-Key: (4096 bit)
Modulus:
00:c4:.....
Exponent: 65537 (0x10001)
X509v3 extensions:
X509v3 Basic Constraints: critical
CA:FALSE
X509v3 Key Usage:
Digital Signature, Non Repudiation, Key Encipherment, Data Encipherment, Key Agreement
X509v3 Extended Key Usage:
TLS Web Server Authentication, TLS Web Client Authentication
X509v3 Subject Alternative Name:
IP Address:172.....
Netscape Comment:
xca certificate
Signature Algorithm: sha256WithRSAEncryption
Signature Value:
34:bd:9
t1.pk8 有密码
openssl rsa -in t1.pk8 -text -noout
输出:
Private-Key: (4096 bit, 2 primes)
modulus:
00:c4:58:f7:e8:bf:ad:f1:f9:aa:33:e7:3c:b3:48:
publicExponent: 65537 (0x10001)
privateExponent:
65:a0:6b:08:84:15:c3:55:e7:3b:a0:27:31:e0:74:
prime1:
00:f2:e1:d3:4e:3f:2e:b3:69:60:cd:8c:8c:78:91:
prime2:
00:ce:f3:bd:36:44:6e:bd:ae:65:43:62:59:8a:ec:
af:03
exponent1:
00:e1:cd:10:a5:ae:17:bc:b4:3b:4a:dd:5f:ba:b7:
63:0d:e2:0b:18:93:35:8b:3c:df:4b:7e:d5:63:84:
75
exponent2:
1f:b9:21:21:f6:6f:7b:48:06:61:c3:eb:b1:ed:fc:
7d
coefficient:
37:ff:02:03:bf:37:c0:7f:6f:f8:a6:b1:51:9b:b3:
fd:cf:fd:49:e3:c5:fb:6d:47:79:a0:0e:2d:99:50:
eb
答案1
这mod_ssl每个参数的文档都说明了预期的结果,这或多或少回答了您的问题。
私钥
描述: 服务器 PEM 编码的私钥文件
此指令指向服务器的 PEM 编码私钥文件,或通过配置的加密令牌指向密钥 ID。如果所包含的私钥已加密,则在启动时强制使用密码短语对话框。
包含t1.pk8
此处所需的信息,但您可能需要删除密码,以便每次重新启动 Apache 时都不会提示密码:
openssl rsa -in /etc/ssl/t1.pk8 -out /etc/ssl/t1.key
生成的文件应该以 开头-----BEGIN PRIVATE KEY----
。
由于密钥文件不再受密码保护,您应该使用文件系统权限来保护它:
chown root:root /etc/ssl/t1.key
chmod 600 /etc/ssl/t1.key
证书链
SSLCertificateChainFile
在版本 2.4.8 中已过时,当时SSLCertificateFile
扩展为还可以从服务器证书文件加载中间 CA 证书。
这应该是不言自明的。从您的配置中完全删除此指令。
SSLCertificateFile
指示描述: 服务器 PEM 编码的 X.509 证书数据文件或令牌标识符
此指令指向包含 PEM 格式的证书数据的文件,或通过配置的加密令牌指向证书标识符。如果使用 PEM 文件,则该文件必须至少包含最终实体(叶)证书。- -
这些文件可能还包括中间 CA 证书,从叶到根排序。
如果您的t1.crt
证书是由 直接签名的,Root2023.crt
并且Root2023.crt
存在于客户端的 CA 存储中,那么您可以t1.crt
按原样使用。
如果你需要任何中间的证书,您应该创建一个包含所有Root2023.crt
证书(从叶到根)的组合文件。如果恰好是包含中间证书的文件,并且两者都已采用 PEM 格式,则可以将它们组合在一起:
cat /etc/ssl/t1.crt /etc/ssl/Root2023.crt > /etc/ssl/fullchain.pem
生成的文件结构应如下:
-----BEGIN CERTIFICATE-----
Base 64 encoded contents of the leaf certificate.
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
Base 64 encoded contents of an intermediate certificate.
-----END CERTIFICATE-----
接下来是所需数量的中间体(以及可选的 CA 证书)。
配置
现在,如果这些说明适合您的需求并且您遵循这些说明,您的配置将如下所示:
SSLEngine on
SSLCertificateFile /etc/ssl/fullchain.pem
SSLCertificateKeyFile /etc/ssl/t1.key