Win32平台下Apache+ssl配置指南[1]

本文源自http://raibledesigns.com/wiki/wiki.jsp?page=apachessl，并作了必要的修改，补充和简化。在我的winxp+apache1.3.31下面测试通过

假定：
你已经熟悉apache的安装和配置
你对ssl安全连接的基本常识有一定了解
你对php有一定了解

---

1.: 安装apache

从 www.apache.org 下载apache 安装包并安装。建议安装1.3.31版本，对下文的配置比较方便。

不要混淆1.3和2.0版本的apache,不同的版本对应不同的mod_ssl。

• port 80 改成 # port 80

• listen 80 （标准web端口）

• listen 443 (监听ssl 端口)

• servername www.my-server.dom

重启apache服务。

打开 http://www.my-server.dom:443/. 此时连接并没有加密但代表你的apache可以正常使用443端口。

2.: 取得openssl 和 mod_ssl

从 http://hunter.campbus.com/ 下载并解压缩

apache_2.0.49-openssl_0.9.7d-win32.zip
apache_1.3.31-mod_ssl_2.8.20-openssl_0.9.7d-win32.zip
openssl-0.9.7d-win32.zip 

从openssl压缩包里拷贝ssleay32.dll和libeay32.dll 到winnt\system32. 大约有 70 % 的人因为没有这样做导致安装失败。

从 http://www.cygwin.com 下载并安装cygwin。
注意安装的时候要选择openssl包。

你需要一个 openssl.exe 的配置文件。如果使用 cygwin，那么已经自动包含。否则你需要下载一个openssl.conf
 http://www.securityfocus.com/data/tools/openssl.conf

3.: 建立测试证书

下列的说明来自 http://www.apache-ssl.org/#faq.
注意：下列命令可以在cygwin里面运行，也可以在解压后的openssl-0.9.7d-win32.zip 运行（需要拷贝openssl.conf，如果运行不正确，在命令行后面加上-conf openssl.conf）

openssl req -new -out server.csr
这个语句建立一个证书签名请求和一个私钥。当系统提示 "common name (eg, your websites domain name)", 给出精确的web服务器名称 (例如 www.my-server.dom)。如果和实际的名称不符合，浏览器会报错。

openssl rsa -in privkey.pem -out server.key
这个语句从私钥移除 passphrase。 server.key 只能被 apache 和 administrator管理。删除 .rnd 文件，它可能被利用来攻击私钥。

openssl x509 -in server.csr -out server.crt -req -signkey server.key -days 365

这个语句建立自签名的证书，你可以使用这个直到你从权威机构得到了一个　真实证书。你可以扩大 -days 365　的参数，以避免一年以后过期。

如果你的用户使用 ms internet explorer 4.0+　并且希望安装证书到证书存储里(下载和打开), 你需要建立一个 a der-encoded 版本的证书。
openssl x509 -in server.crt -out server.der.crt -outform der

建立一个目录 apache/conf/ssl 并拷贝 server.key 和 server.crt. 对于linux 建立两个目录　ssl.key 和 ssl.crt. 拷贝 server.crt 到 ssl.crt ；拷贝server.key 到 ssl.key。

4.: 配置apache 和mod_ssl

从下载的apache-mod_ssl 包里面拷贝所有的 (*.exe, *.dll, *.so) 文件到原始apache目录。注意不要覆盖原始的配置文件httpd.conf。
注意：查找所有子目录里的这些后缀文件，拷贝到相应目录并覆盖。

定位loadmodule指令在 httpd.conf 文件的位置。增加下列指令：

loadmodule ssl_module modules/mod_ssl.so

在addmodule 指令部分的最后面加上
addmodule mod_ssl.c