建立一个安全的网站-win32下安装ssl

tonera

前言：关于ssl是什么，有什么作用，适用范围等本贴不作介绍，不知道的朋友请google。

正传：

准备：apache2.0.54 for win32和openssl
我在官网下的apache没有带openssl，找到一地址：
http://hunter.campbus.com/
下载一个包：Apache_2.0.54-Openssl_0.9.8-Win32.zip

一、配置apache
1\安装apache
监听443口.确认httpd.conf文件里有这两行:
Listen 80
Listen 443
主机:
<VirtualHost www.my-server.com:443>;
    ServerAdmin webmaster@dummy-host.example.com
    DocumentRoot "E:/mysite"
    ServerName www.my-server.com
    ErrorLog logs/www.my-server.com-error_log
    CustomLog logs/www.my-server.com-access_log common
</VirtualHost>;

二、复制工作(别忘了停掉你的apache服务)
2\解压Apache_2.0.54-Openssl_0.9.8-Win32.zip
3\copy相应的文件到apache的安装目录,(别把你的httpd.conf文件overwrite了)
4\copy目录bin下的文件ssleay32.dll and libeay32.dll 到system32目录下
5\copy一个openssl.exe的配置文件penssl.cnf.放在openssl.exe所在目录下,一般是bin(如果没有的话

).如果没有发现openssl.exe这个文件,请下载Openssl-0.9.8-Win32.zip,然后解压至apache2/bin目录下

三、建立证书
6\建立一个证书
# openssl req -config openssl.cnf -new -out my-server.csr
按提示填写证书的相关信息.
C:国家;S:州;L:地点;O;组织;CN:名称等
# openssl rsa -in privkey.pem -out my-server.key
建立密钥
# openssl x509 -in my-server.csr -out my-server.cert -req -signkey my-server.key -days 365
x509:证书标准
-days:证书有效期一年.
Create an Apache/conf/ssl directory and move my-server.key and my-server.cert into it.
建立目录Apache/conf/ssl并将生成的my-server.key 和my-server.cert放在目录下

四、配置apache和mod_ssl
7\确认modules/目录下有mod_ssl.so(依不同情况可能是ApacheModuleSSL.dll或ApacheModuleSSL.so).
8\编辑:httpd.conf
添加一行:
LoadModule ssl_module modules/ApacheModuleSSL.dll
or
LoadModule ssl_module modules/ApacheModuleSSL.so
or
LoadModule ssl_module modules/mod_ssl.so

9\确认conf目录下有ssl.conf这个文件,没有的话将这个文件copy至目录conf下
修改httpd.conf
<VirtualHost www.my-server.com:443>;
    ServerAdmin webmaster@dummy-host.example.com
    DocumentRoot "E:/mysite/book/book"
    ServerName www.my-server.com
    ErrorLog logs/www.my-server.com-error_log
    CustomLog logs/www.my-server.com-access_log common
    SSLEngine On
    SSLCertificateFile conf/ssl/my-server.cert
    SSLCertificateKeyFile conf/ssl/my-server.key
</VirtualHost>;

可以用
openssl rsa -noout -text -in my-server.key查看密钥内容
openssl req -noout -text -in my-server.csr查看证书内容

如果你要获得一个由CA颁布的证书,可以向这两家申请:

verisign:http://digitalid.verisign.com/
Thawte:http://www.thawte.com/


某些情况下,可能需要修改你的注册表.

OK,启动你的apache,不报错的话,试着访问一下:
https://www.my-server.com
看到那把锁和由你亲自颁发的证书,是不是有点安全感了?

*nix的配置没有做过。

［注：大部分内容理解自英文文档所得，参考了《apache管理员手册》，与大家分享］