|
HTTPS（全称：Hypertext Transfer Protocol over Secure Socket Layer），是以安全为目标的HTTP通道，简单讲是HTTP的安全版。即HTTP下加入SSL层，HTTPS的安全基础是SSL，因此加密的详细内容就需要SSL。它是一个URI scheme（抽象标识符体系），句法类同http:体系。用于安全的HTTP数据传输。https:URL表明它使用了HTTP，但HTTPS存在不同于HTTP的默认端口及一个加密/身份验证层（在HTTP与TCP之间）。这个系统的最初研发由网景公司进行，提供了身份验证与加密通讯方法，现在它被广泛用于万维网上安全敏感的通讯，例如交易支付方面。 案例应用1：Web服务器架构之https
8 C. E3 F+ U! J2 X c3 o0 n, R1. 企业实现要求：
* l4 {; N2 N9 N0 P9 E. [某公司要求在公司内部自行搭建CA证书服务器，用于提高证书服务（在windows server 2008上实现）；并且为公司内部的WWW服务器提供证书服务，提供正常服务。6 [8 b& e" Y0 l- ^. Z f
2. 案例应用简化拓扑图：
. ^: S3 u( |% I+ _
. l V4 j$ B; J8 V P3.案例实现步骤：5 S/ Y ?3 q& H) A
（1）在windows server2008上搭建CA证书服务器
" k: F$ p( b3 _! i' ] 0 i/ F# P. c5 K c3 l
 5 j" W3 H4 c6 m. ^; t7 l
 : F+ `) B% w& @! O
7 T4 N- }; M( Y @6 _, H* E, a& k（2）在web服务器上安装相应的软件
2 T- z; C1 s& O( z& j& J[root@www ~]# mkdir /mnt/cdrom) ~& b Z/ o6 L4 x
[root@www ~]# mount /dev/cdrom /mnt/cdrom/
- O! H0 Y+ F# e ?. G! v8 n7 {[root@www ~]# cd /mnt/cdrom/Server/
6 E: O& w5 v7 e5 b ?" s[root@www Server]# rpm -ivh httpd-2.2.3-22.el5.i386.rpm6 m9 s' q" L4 E
[root@www ~]# yum install -y mod_ssl Q9 i. _: N$ G2 ^5 b( s1 i8 M
（3）配置web服务器的虚拟主机; ^$ f" Q0 j* L5 ^; J1 ]
#创建网页文件
! B9 j, L5 M1 ~; i! A& M2 }[root@www www]# cat html/index.html7 G6 O! i3 a" }9 _
--www" e% Q/ L$ Z' T( ~7 m) u8 I
--xjzhujunjie n, }+ D( `# `1 e
--2012/03/17
$ E4 I$ q- \1 @1 a' l[root@www www]# cat tec/index.html" y# f; o( D7 B) C" }
--tec
$ ~* A$ l6 z3 \6 Y4 i( V--xjzhujunjie& b9 y& W8 o# {3 I' j
--2012/03/17
# v( P2 I. P# b: b) l1 G[root@www www]# cat mkt/index.html9 K/ w, F7 H8 W$ t1 n c
--mkt0 i4 i6 d! p3 R0 P' V
--xjzhujunjie: N. X6 m, s/ A4 O2 l
--2012/03/17( S& u, X w9 q: {2 E1 K- H
#编辑apache配置文件
. ]5 M% L# k# g3 t[root@www ~]# vim /etc/httpd/conf/httpd.conf
. o1 d$ `) n( `& n \% D134 Listen 80
, i6 }' V0 |0 ]6 | % Y. B0 Q! Y$ m, i5 v5 A3 L. \& p9 U2 e
973 NameVirtualHost 192.168.101.111:80* X1 P1 u' V& }+ ~/ h/ i, ~4 [$ d
# Y5 {$ K: _; i& b1 t6 F
992
' W8 ^* ~( L: ~% j! O993 ServerAdmin master@junjie.com
3 w+ m' o. S- @) g4 O994 DocumentRoot /var/www/html7 t( w' q P, y8 \8 ~
995 ServerName www.junjie.com
; F3 c% V# y% W3 h$ Z; n996 ErrorLog logs/www-error_log8 G2 R3 i+ }2 Y" Z; U+ N; Z! r1 u
997 CustomLog logs/www-access_log common5 S2 C8 l& [: x& S
9980 ?: p; P# x: D7 h& p3 T( o2 |) D
999+ X5 U. y) k9 x- \. Q/ X% i
1000 ServerAdmin master@junjie.com( R! r) z+ ^2 t% ^2 r: D1 \9 {
1001 DocumentRoot /var/www/tec
# q/ v1 [( G- B2 Z& j( Y1 [1002 ServerName tec.junjie.com7 G; p7 w" v* a( z" R
1003 ErrorLog logs/tec-error_log
d) G' j5 r7 P, N+ @# E1004 CustomLog logs/tec-access_log common4 d$ [ {2 l( \5 p \, h
1005
6 \$ \) r% M' f% P; a1006
4 V0 i Y* I& X9 B/ d" b" F- Q1007 ServerAdmin master@junjie.com! j+ K: ~- ]5 Z" R4 D x+ p _
1008 DocumentRoot /var/www/mkt
8 I4 X( ^" O$ _# e( t2 q% T1009 ServerName mkt.junjie.com/ {4 R- U! b9 X, n( y
1010 ErrorLog logs/mkt-error_log1 p- A: f, [/ [
1011 CustomLog logs/mkt-access_log common
: j; o9 h' \0 x/ c* [1012 E+ F# B" A& `# k8 X
（4）重启web服务器，测试虚拟主机
9 F" l% j0 k: n s$ i( `[root@www ~]# service httpd restart #重启apache服务$ v8 I- }# t# V" X+ t* g; C
Win7客户端测试在C:WindowsSystem32driversetchosts添加：
% Z- W c. ~% ], O192.168.101.250 www.junjie.com7 e1 @: [9 H# F
192.168.101.250 tec.junjie.com, ^" {0 r9 q9 r3 x0 r* R
192.168.101.250 mkt.junjie.com
6 {: s& a- X8 P1 J! tWin7客户端使用IE9浏览器测试结果如下（虚拟主机完成）：
; t# u+ T) G1 M$ P: O
8 k" d% ^" K, f. o# b( s（5）为web服务器申请证书
) ^4 K# O: r% t( g# G[root@www httpd]# mkdir certs
4 {/ B3 @5 x) P) a% ?[root@www httpd]# cd certs/7 I, ?& `) V* P" x9 U }
[root@www certs]# openssl genrsa 1024 >httpd.key
0 \; l8 O! A3 Q+ y[root@www certs]# chmod 600 httpd.key
( R$ P' _ u+ _CN/HENAN/ZHENGZHOU/zzu/junjie/www.junjie.com/xjzhujunjie@hotmail.com///
* T8 _* Q* w1 |. |" ~在linux的web服务器上启动桌面环境，用于申请证书& P- B* C: u! g& g2 k
在firefox浏览器中输入http://192.168.101.112/certsrv来申请证书# T! Y0 o* t) l. B3 s
 0 a$ k1 l. I5 j7 e0 I- Z
选择申请证书，即可进入申请证书页面，将刚才生成的请求文件填写在下面
* O H! n4 q. A7 n 1 ]& e- \# O9 t; f; \
# H8 m/ p% A' M+ `2 [% s可以看到，此时证书服务器已经向web服务器返回信息，提示正在审核中
; k4 O$ K% M) B9 _+ j4 g' ]& h- R此时进入windows server 2008证书服务器上，开始审核web服务器申请的证书，选择挂起的证书，即可看到web服务器提交的申请信息' F- X2 @! t% S
 4 J3 f- Y* s- v& a4 ?' E2 a9 M: S
选择信息时，右键，所有任务，颁发证书，为web服务器颁发证书；接下来便可以在颁发的证书中看到已经颁发的证书；- [& q' B! n9 g
4 N% }- W& \. a8 T% q! oLinux的web服务器再次在firefox浏览器中输入http://192.168.101.112/certsrv，查看挂起的证书，并下载证书
0 H! F6 S6 y4 ~# o8 d
3 H- X9 |$ L9 v
7 {; L6 D9 G0 i0 C
. m8 h0 ]* X8 a9 _刚下载的证书，默认保存在桌面，将其移动到/etc/httpd/certs/下。
& f* d3 V q$ H. w, l（6）修改web服务器证书文件& V1 w% E4 W9 O* v9 @/ C% Y
[root@junjie ~]# cd /etc/httpd/conf.d/ssl.conf' r' A. s4 S' A/ @4 y
112 SSLCertificateFile /etc/httpd/certs/httpd.cer( h3 w7 Z0 q }& J/ b
119 SSLCertificateKeyFile /etc/httpd/certs/httpd.key
+ o0 H% k H6 t5 \7 k128 SSLCertificateChainFile /etc/httpd/certs/cacert.p7b
/ N* q9 d d' A. A[root@www ~]# service httpd restart #重启apache服务5 U0 D! @' \7 Q0 n
（7）win7客户端使用https安全访问网页8 I+ |' x3 z, o6 S& r& |3 ]
使用win7的IE9测试，输入安全网址https://www.junjie.com& m$ D& U7 [- E
，此时浏览器提示安全警告，提示此网站的安全证书有问题，并将警告信息显示出来，具体如下：
! J8 b1 U4 b4 } G& S3 \
% x+ j" _' i* }$ ?' H如若：用户强制继续访问，侧依然可以访问，但是浏览器地址栏中，已经变成红色报警信息，提示此网站不安全& C4 T/ X, X+ V+ g) z$ l
( w2 Y* k9 ]+ t7 Z2 \$ E% t& \. y6 Z
4 e; M4 Q7 ^- m( c# K说明：在此由于我没有使用IE9浏览器，没有解决证书问题，故又使用搜狗浏览器来解决证书错误问题！若，你可以帮助我解决请在本文留言，多谢了！
* l9 G9 `8 A2 x) x7 j使用搜狗浏览器警报信息如下：
3 j n6 C/ H) t$ z
, T# x. ~$ Y* g& {' ], x# b" J此时，选择查看证书-证书路径-查看安装根证书和web服务器证书
& z! q) {. }5 {; t: g6 @5 \( Q ! i4 Q( }# P3 d4 n
 : d* F& f9 h" Y% H) G# ~7 r% Q% Y
安装证书；* j4 r, ^" ?# F6 p s' [
 ' j! ~, p" f5 ]2 m
选择是继续安装证书，接着再查看就没有证书问题了，如下所示：
9 ^1 W* E8 b8 X& O% @4 F! s; X
. {/ S3 b6 q2 a' u! f( V8 o* ^- a5 }此时再win7下使用搜狗高速浏览器，Google Chrome 浏览器，Internet Explorer 9浏览器，都显示安全访问，如下所示：
- W* H% K) z5 f! V9 J$ a8 I4 L/ Q
4 J5 a' H# |0 ]: O7 E8 ~$ q***********************************************
9 N3 u3 M. O9 L! c' g3 Z. T# u* A案例应用1：Web服务器架构之https自签发
0 m8 a4 W+ f! W1.企业实现要求：
! o2 W9 T) L: |9 F某公司要求在Linux上实现web服务器功能，并要求实现自签发证书（及要求：linux服务器即为web服务器又为证书服务器）. U( n0 z0 B/ R i( b0 Q5 w
2.案例应用简化拓扑图：: U) W* _5 |/ }7 D0 h1 y
2 b7 u8 u' ] ?6 c" [3.案例实现步骤：6 C$ T; S' v$ |" k6 a
（1）在web服务器上安装相应的软件- N/ `% e% r' @
[root@www ~]# mkdir /mnt/cdrom
" \/ q& W4 U3 @! o- {$ p[root@www ~]# mount /dev/cdrom /mnt/cdrom// G9 ^8 K" M }- W# b g8 j2 S
[root@www ~]# cd /mnt/cdrom/Server/9 O6 t& W, @- a, b8 S; I/ h
[root@www Server]# rpm -ivh httpd-2.2.3-22.el5.i386.rpm5 Y, M8 i+ R* I1 m
[root@www ~]# yum install -y mod_ssl
8 l9 X3 w% `6 j% }' D4 w1 E（2）创建CA证书服务器的根证书文件
6 v0 E/ F+ l" j# t; m3 ~ T[root@www ~]# cd /etc/pki/+ e( M) Z2 P$ H( Y; }+ ]+ i
[root@www pki]# vim tls/openssl.cnf" x" V6 Z X7 [; W/ B
45 dir =/etc/pki/CA # Where everything is kept) M; H/ Y! \5 n F
46 certs = $dir/certs # Where the issued certs are kept9 ^ T! b3 h3 {( s7 y6 c/ R
47 crl_dir = $dir/crl # Where the issued crl are ke pt
+ R3 o9 s0 v: N5 S& x! r# D/ F# g48 database = $dir/index.txt # database index file.
6 v( }! {% L! g) d0 {8 {51 new_certs_dir = $dir/newcerts # default place for new certs
3 a }# J! f) P5 z5 k, O# b53 certificate = $dir/cacert.pem # The CA certificate
9 n' q8 h- i( p4 Z7 `/ M54 serial = $dir/serial # The current serial number
, O! H$ ~: [5 V* z) f% G58 private_key = $dir/private/cakey.pem# The private key
* I0 s; j- l- V* ~ + K7 f* W% l& D! E
88 countryName = optional4 b* I/ \/ y, W8 ]. m
89 stateOrProvinceName = optional
+ d( X3 {' W8 Z. h90 organizationName = optional( [, ]: s0 C' Z+ ?3 M$ `
; Z6 j. Q( y) M[root@www pki]# cd /etc/pki/CA/0 H. |5 X# F) P3 W" Y' B
[root@www CA]# mkdir certs crl newcerts
% X% m, S, @8 J7 C* A[root@www CA]# touch index.txt serial+ N/ Z/ K5 f- H4 d
[root@www CA]# echo "01" >serial; [) L: G, S' n5 Q$ P! w
[root@www CA]# openssl genrsa 1024 >private/cakey.pem" P2 y* m% U# r$ k( M5 u
Generating RSA private key, 1024 bit long modulus5 e) S# A" F1 f. @
........................++++++
' D6 E2 `( q% f- b- S) O....+++++++ j+ S3 \& `2 j z
e is 65537 (0x10001)
' ^* `7 P, _3 ]* P[root@www CA]# chmod 600 private/cakey.pem9 |/ [) Z! ]! _; M& Q1 [
[root@www CA]# openssl req -new -x509 -key private/cakey.pem -out cacert.pem -days 365
* c3 m) R$ e5 i( O2 H$ o. r7 oCountry Name (2 letter code) [GB]:CN
+ a$ I3 H# r1 S& zState or Province Name (full name) [Berkshire]:HENAN
6 B( h% U2 K: |# g+ V- CLocality Name (eg, city) [Newbury]:ZHENGZHOU M( K3 u3 G+ ^" A D9 t2 _
Organization Name (eg, company) [My Company Ltd]:zzu, n3 E9 ~/ T+ Z& w* u
Organizational Unit Name (eg, section) []:junjie' ~" R X+ ]6 P0 f8 a( v) A
Common Name (eg, your name or your server's hostname) []:rootca.junjie.com4 q) m) e$ B, Z' }( p: N/ P
Email Address []:master@junjie.com% P) u0 w& O6 a6 W8 _
（3）为web服务器的签发证书
/ [* @% D/ J, j4 o) l5 Q[root@www CA]# mkdir /etc/httpd/certs
" {; a+ |( R. q: M6 E# _[root@www CA]#cd /etc/httpd/certs, |" X) E5 G! ?0 M; q) i1 F
[root@www certs]# openssl genrsa 1024 >httpd.key
# A( I' ?) b( s+ g3 YGenerating RSA private key, 1024 bit long modulus6 N2 b x- [- e9 x0 l8 ~' n3 g! k) J* U
..............++++++
, {- ]3 V1 G3 \! q: I! n........++++++
3 S7 ~5 w- q9 G5 ^) D. H( He is 65537 (0x10001)* _- p0 |$ B1 i
[root@www certs]# chmod 600 httpd.key+ a! ^7 }& Q+ J+ U _' E
[root@www certs]# openssl req -new -key httpd.key -out httpd.csr
1 O; c& x/ W( b+ n8 c7 q2 z
+ a/ l) n2 z9 m! JCountry Name (2 letter code) [GB]:CN5 k: f" n' ]& y) H9 v
State or Province Name (full name) [Berkshire]:HENAN
) r: X( V* L+ L/ A* ^/ }8 J+ qLocality Name (eg, city) [Newbury]:ZHENGZHOU" O5 y* T+ }. ^( h2 c- j5 B/ i5 e
Organization Name (eg, company) [My Company Ltd]:zzu) ^- n; V% V( n5 Z
Organizational Unit Name (eg, section) []:junjie
4 N" |( e v! }$ l! VCommon Name (eg, your name or your server's hostname) []:www.junjie.com: E8 Y# J+ L% ^8 q7 M2 M
///
' w2 D4 ]! v1 y7 p4 I+ U[root@www certs]# openssl ca -in httpd.csr -out httpd.crt( s9 M8 g+ ?9 J
[root@www certs]# chmod 600 *% h6 g2 s1 b8 H2 k$ H
（4）为web服务器的签发证书, C. S7 Y# W8 f/ t1 r( f r5 D, \! a
[root@www certs]# cd /etc/httpd/conf.d
. X% a" n7 ?3 {4 I[root@www conf.d]# vim ssl.conf
1 {. T: c- q9 ^- l112 SSLCertificateFile /etc/httpd/certs/httpd.crt5 n6 D0 |3 U, w) s# W* U6 N
119 SSLCertificateKeyFile /etc/httpd/certs/httpd.key
9 W+ D' K7 i8 H128 SSLCertificateChainFile /etc/pki/CA/cacert.pem
1 @) }' g; u! W; m2 }/ h7 m' ^4 R（5）win7客户端使用https安全访问网页( E6 [. g& l, ^: i8 k
[root@www ~]# service httpd restart #重启apache服务& k" l+ q* o, q; Q' {
Win7客户端测试在C:WindowsSystem32driversetchosts添加：$ L/ b" K9 h9 H a
192.168.101.250 www.junjie.com. q: l3 Z# O [( A/ Y1 j- Z
使用win7的IE9测试，输入安全网址https://www.junjie.com3 B; V6 S$ Y% w! a: C4 M! G
，此时浏览器提示安全警告，提示此网站的安全证书有问题，并将警告信息显示出来，具体如下：
: O1 v) F3 w. Q; L2 J. C2 w 9 a+ m, M* S* x/ E0 X `$ A
如若：用户强制继续访问，侧依然可以访问，但是浏览器地址栏中，已经变成红色报警信息，提示此网站不安全
5 w: E- k# n9 C& l) s4 W& o( N) O8 ~9 D
: a* g% c, u" m* _* U Z! r说明：在此由于我没有使用IE9浏览器，没有解决证书问题，故又使用搜狗浏览器来解决证书错误问题！若，你可以帮助我解决请在本文留言，多谢了！. d4 [. i" Z6 D3 @1 `" a
使用搜狗解决问题方案如下：! g4 C* z9 e& n1 D7 j0 n
 4 c& Q, [+ u4 C1 s- x
 - c* x. _4 v2 O* T* L, X3 \
此时，选择查看证书-证书路径-查看安装根证书和web服务器证书
" M" r# U; }1 [0 b' l , @4 {4 {+ F1 J* @! A+ Y
安装证书；" C' M, y5 Y- l6 C
选择是继续安装证书，接着再查看就没有证书问题了，如下所示：
5 M# H* v( J% x此时再win7下使用搜狗高速浏览器，Internet Explorer 9浏览器，都显示安全访问，如下所示：
s$ Q$ Y: Y% y8 T! h
& K8 X- @4 Y, ]# u4 \+ y查看证书信息：; {! r$ V% E& V& \1 C7 Q1 R8 |
6 n) k3 r, G+ h1 s1 |! p 7 S# x& b( l& L, Z& ]5 n
Z0 k5 e7 ~* a: ?3 Y& J1 ]! S7 Y) B! J
3 ?7 a3 J5 r+ k9 V- d/ _
; W7 S+ M/ F; o0 ]5 U+ S. I$ } P! u2 v$ H& |0 W) a
( {3 z! W( N' O' ]
4 h1 ^6 J# B/ b# H" j5 D1 l
9 {# g" L+ E! e1 D" o- Y9 u
, m- `9 B c0 c8 ~* z. @: z. |0 u# v4 M! c
|
|
所有IT类厂商认证考试题库下载
【新盟教育】2023最新华为HCIA全套视频合集【网工基础全覆盖】---国sir公开课合集
【新盟教育】网工小白必看的！2023最新版华为认证HCIA Datacom零基础全套实战课
原创_超融合自动化运维工具cvTools
重量级~~30多套JAVA就业班全套 视频教程（请尽快下载，链接失效后不补）
链接已失效【超过几百G】EVE 国内和国外镜像 全有了 百度群分享
某linux大佬，积累多年的电子书(约300本)
乾颐堂现任明教教主Python完整版
乾颐堂 教主技术进化论 2018-2019年 最新31-50期合集视频（各种最新技术杂谈视频）
Python学习视频 0起点视频 入门到项目实战篇 Python3.5.2视频教程 共847集 能学102天
约21套Python视频合集 核心基础视频教程（共310G,已压缩）
最新20180811录制 IT爱好者-清风羽毛 - 网络安全IPSec VPN实验指南视频教程
最新20180807录制EVE开机自启动虚拟路由器并桥接物理网卡充当思科路由器
[复制链接]
