https配置方法与步骤（Apache和Nginx）

大应该家都知道CA是电子商务认证中心，有保密性、认证性、完整性等作用，还可以识别用户身份，并对用户证书进行签名，以确保证书持有者的身份和公钥的拥有权。那么客户端是如何验证CA证书是可信任的？

Apache https配置方法

这里只介绍Apache2（以2.4为例）。

HTTPS的基本配置可以直接套用默认配置，只是要改一下证书文件的部分：

1、SSLEngine on

2、SSLCertificateFile /path_to_ssl/yoursite.crt

3、SSLCertificateKeyFile /path_to_ssl/yoursite.key

4、SSLCertificateChainFile /path_to_ssl/server-ca.crt

其中yoursite.crt和yoursite.key就是前面说过的私钥和域名证书。

重点说一下server-ca.crt，这个就是前面谈到商业证书时提到的中间证书链（包括CA根证书）。对于Let’s Encrypt这样的免费证书，这个就是Let’s Encrypt的证书（见旧文），对于自签名证书，这一项可以去掉。

中间证书链的生成方法如下：

cat provider.crt provider-parent.crt root.crt > server-ca.crt

很简单，就是把那一堆证书串起来生成一个证书文件即可，不过需要注意顺序，从最低级的证书（你的域名证书的上一级）开始到最高级的CA根证书。

Apache从2.2.12开始支持SNI，可以为多个域名的虚拟主机使用各自独立的证书，用法与HTTP虚拟主机类似，只需要在每个虚拟主机配置里加上相应的证书配置即可。

需要注意的是：WinXP，JAVA6，Android 2.3等不支持SNI。

最后，如我在去年的旧文里所说，SSLv2/v3之类的协议和某些SSL加密算法已经不再安全，所以在没有特定的兼容性需要的情况下，需要配置禁用这些不安全的选项。

在全局配置（注意，不是单个虚拟主机配置里）里加上：

1、SSLProtocol TLSv1 +TLSv1.1 +TLSv1.2

2、SSLCipherSuite ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:!DHE-RSA-AES128-GCM-SHA256:!DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:!DHE-RSA-AES128-SHA256:!DHE-RSA-AES128-SHA:!DHE-DSS-AES128-SHA256:!DHE-RSA-AES256-SHA256:!DHE-DSS-AES256-SHA:!DHE-RSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:AES:CAMELLIA:DES-CBC3-SHA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH:!EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA

以上协议和加密算法都是目前还安全的，并且提供了最大可能的兼容性。未来如果出现新的安全问题，请自行调整。

Nginx https配置方法

基本上在旧文里都说过了，这里再总结一下。

相比Apache的配置，Nginx没有单独的中间证书链项目，所以是把中间证书链和域名证书串在一起作为完整的域名证书来用：

cat yoursite.crt server-ca.crt > new_yoursite.crt

配置HTTPS：

1、ssl on;

2、ssl_certificate "/path_to_ssl/new_yoursite.crt;

3、ssl_certificate_key "/path_to_ssl/yoursite.key;

SNI配置见旧文，从略。

全局安全配置：

1、ssl_protocols TLSv1 TLSv1.1 TLSv1.2;

2、ssl_ciphers ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:!DHE-RSA-AES128-GCM-SHA256:!DHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA:ECDHE-RSA-AES256-SHA:!DHE-RSA-AES128-SHA256:!DHE-RSA-AES128-SHA:!DHE-RSA-AES256-SHA256:!DHE-RSA-AES256-SHA:ECDHE-ECDSA-DES-CBC3-SHA:ECDHE-RSA-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:DES-CBC3-SHA:!DSS;

配置完成后重启服务即可生效。

不论是用Apache还是Nginx，都建议配置完HTTPS以后到SSL Labs验证一下安全性。