Apache OpenSSL 双向认证

开始->运行->cmdcd C:\Program Files\Apache Software Foundation\Apache2.2\bin

:::::删除历史文件:::::
rd /s /q demoCA
del user.key
del user.csr
del user.crt
del server.key
del server.csr
del server.crt
del client.pfx
del cakey.pem
del cacert.pem
del ca.crt
del .rnd

:::::[ 1. 创建CA ]:::::
openssl genrsa -passout pass:123456 -des3 -out cakey.pem 2048
openssl req -new -x509 -days 3650 -passin pass:123456 -key cakey.pem -out cacert.pem -subj "/C=CN/ST=Sichuan/L=Dazhou/O=Youdomain/OU=Root CA/CN=Youdomain Root CA" -config ..\conf\openssl.cnf
copy /Y cacert.pem ca.crt
mkdir ..\conf\ssl.crt
copy /Y ca.crt ..\conf\ssl.crt\ca-bundle.crt

:::::[ 创建server.crt demoCA相关文件 ]:::::
rd /s /q demoCA
mkdir demoCA
mkdir demoCA\newcerts
mkdir demoCA\private
echo off>demoCA\index.txt|exit
echo 01>demoCA\serial

:::::[ 2.创建server.crt ]:::::
openssl genrsa -passout pass:123456 -des3 -out server.key 1024
openssl rsa -passin pass:123456 -in server.key -out server.key
openssl req -new -days 3650 -key server.key -out server.csr -subj "/C=CN/ST=Sichuan/L=Dazhou/O=Youdomain/OU=Security Center/CN=www.youdomain.com" -config ..\conf\openssl.cnf
openssl ca -in server.csr -out server.crt -cert cacert.pem -keyfile cakey.pem -key 123456 -config ..\conf\openssl.cnf -batch
copy /Y server.key ..\conf\server.key
copy /Y server.crt ..\conf\server.crt
:

:::::::::::::::双向认证:::::::::::::::

:::::[ 创建user.crt demoCA相关文件 ]:::::
rd /s /q demoCA
mkdir demoCA
mkdir demoCA\newcerts
mkdir demoCA\private
echo off>demoCA\index.txt|exit
echo 02>demoCA\serial

:::::[ 3. 创建user.crt ]:::::
openssl genrsa -passout pass:123456 -des3 -out user.key 1024
openssl req -new -days 3650 -passin pass:123456 -key user.key -out user.csr -subj "/C=CN/ST=Sichuan/L=Dazhou/O=Youdomain/OU=Security Center/CN=www.youdomain.com" -config ..\conf\openssl.cnf
openssl ca -in user.csr -out user.crt -cert cacert.pem -keyfile cakey.pem -key 123456 -config ..\conf\openssl.cnf -batch
openssl pkcs12 -export -clcerts -in user.crt -inkey user.key -passin pass:123456 -out client.pfx -password pass:
:

复制ca.crt到桌面。
双击ca.crt => 安装证书->下一步->证书存储（浏览）->受信任的根证书颁发机构-->确定->下一步->完成->是->确定
配置apache
修改：httpd.conf
去掉LoadModule ssl_module modules/mod_ssl.so前面的#
去掉Include conf/extra/httpd-ssl.conf前面的#
########### 双向认证 #############
复制client.pfx到桌面。
双击client.pfx 密码留空 一直下一步即可。

------------------------------------------------------------
修改：extra/httpd-ssl.conf
去掉SSLCACertificateFile前面的#
去掉SSLVerifyClient前面的#
去掉SSLVerifyDepth前面的#
SSLVerifyDepth设置为1
添加：

<Directory "D:/wwwroot/www.xiaosite.com/htdocs">

Options FollowSymLinks Includes

AllowOverride None

Order allow,deny

Allow from all

</Directory>

（可选更改）

SSLCipherSuite ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP:+eNULL