[网站]_[初级]_[配置Apache支持https访问-自签名证书还是提示错误的问题]

已于 2024-04-23 10:16:31 修改
阅读量1.3k 收藏 2
点赞数 2
分类专栏： JavaWeb开发实战 文章标签： https apache 不是私密连接 SSL TLS
于 2021-06-21 14:09:28 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/infoworld/article/details/118085376
版权

场景

  1. 现在的网站基本都是需要支持https，不然会被谷歌系浏览器给出以下警告. 虽然可以点击继续前往,但是如果跳转到这个网站的其他页面又会有相同的警告,导致打开网页失败，总不能一个个页面去点继续前往。怎么处理？
您的连接不是私密连接
...
NET:ERR_CERT_AUTHORITY_INVALID
...

在这里插入图片描述

在这里插入图片描述

  1. 在给本地网站进行测试时，需要配置https支持，那么需要配置服务器证书，用于https请求的加密。参考网上的文章配置的基本都是生成CA私钥和Server公钥的, 按照其做法还是出现您的连接不是私密连接的问题。

说明

  1. 生成自签名的测试证书并不需要提交给CA进行认证. 只需要在客户端进行导入信任的证书即可。这里只介绍Windows的证书导入，Linux的应该是类似的。

  2. 生成密钥和证书的工具有openssl.exe, 以Apache为例，可以在Apache24\bin\openssl.exe找到这个工具。注意，这个Apache24是Apache安装目录。 关于下载Windows版本的Apache,可以单独下载Apache的压缩包（绿色软件）[4]。也可以下载XAMPP的打包好PHP+Apache+MySQL的集成安装包[5]。当然也可以去Apache Httpd的官网点击important notes。 我下载的是绿色版的单独的httpd压缩包，之后解压到某个目录。

  3. 生成自签名的证书，需要一个测试用的域名，比如mysite1.com, 访问本地网站的时候可以通过https://mysite1.com来访问。可以修改这个例子域名指向我们的127.0.0.1本地ip. 通过修改C:\Windows\System32\drivers\etc\hosts,注意这个文件需要复制到桌面修改完之后再覆盖原文件，不然保存会失败。文件最后增加一行

127.0.0.1 mysite1.com
127.0.0.1 www.mysite1.com

  1. 需要在Apache24\conf\openssl.cnf里启用v3_req扩展和增加一个关键属性配置subjectAltName。

    • 启用v3_req扩展, 搜索文件里的内容v3_req, 把#注释去掉。

       req_extensions = v3_req # The extensions to add to a certificate request

    • 在[ v3_req ]下增加以下的配置，注意，DNS.1增加你的域名配置，如果需要只支持某个二级域名，那么可以可以代替*符号, 比如shop.mysite1.com。

      basicConstraints = CA:FALSE
keyUsage = nonRepudiation, digitalSignature, keyEncipherment

# 以下是增加的
subjectAltName = @alt_names

[ alt_names ]
DNS.1 = *.mysite1.com
DNS.2 = mysite1.com

  2. 生成私钥，公钥和证书的步骤如下，Win+R输入cmd回车，进入命令行。之后进入Apache24\bin所在的目录，为了可以在命令行运行openssl.exe生成ca.key，server.key和server.crt3个文件。

    • 生成CA私钥:
      openssl genrsa -out ca.key 2048
    • 生成server公钥
      openssl rsa -in ca.key -out server.key
    • 生成证书
      openssl req -new -subj "/CN=*.mysite1.com" -x509 -days 3650 -key server.key -out server.crt -config ../conf/openssl.cnf -extensions v3_req

  3. 把生成的server.crt和servier.key复制覆盖Apache24\conf\ssl\目目录下。并在你的Apache24\conf\extra\httpd-ahssl.conf下的VirtualHost里增加启用SSLEngine，并且配置使用这两个文件。注意: ServerName的值要填测试域名mysite1.com。

<VirtualHost _default_:443>
    SSLEngine on
    SSLCertificateFile "${SRVROOT}/conf/ssl/server.crt"
    SSLCertificateKeyFile "${SRVROOT}/conf/ssl/server.key"
    ServerName mysite1.com
    ...
</VirtualHost>

httpd-ahssl.conf默认已经有配置好的htdocs例子，可以直接修改ServerName的值.

<VirtualHost _default_:443>
  SSLEngine on
  ServerName mysite1.com
  SSLCertificateFile "${SRVROOT}/conf/ssl/server.crt"
  SSLCertificateKeyFile "${SRVROOT}/conf/ssl/server.key"
  DocumentRoot "${SRVROOT}/htdocs"
# DocumentRoot access handled globally in httpd.conf
	CustomLog "${SRVROOT}/logs/ssl_request.log" \
          "%t %h %{SSL_PROTOCOL}x %{SSL_CIPHER}x \"%r\" %b"
	<Directory "${SRVROOT}/htdocs">
		Options Indexes Includes FollowSymLinks
		AllowOverride AuthConfig Limit FileInfo
    Require all granted
	</Directory>
</virtualhost>

  1. 如果已经配置SSL好VirtualHost的话，直接就加上上边4行即可，如果没有配置SSL扩展支持，那么还需要修改在Apache24\conf\httpd.conf文件，有以下步骤：

    • 搜索相关SSL/TLS的模块配置位置，添加或去掉注释，我的httpd是2.4.48默认启用的.
      # Secure (SSL/TLS) connections
# Note: The following must must be present to support
#       starting without SSL on platforms with no /dev/random equivalent
#       but a statically compiled-in mod_ssl.
#
<IfModule ssl_module>
#Include conf/extra/httpd-ssl.conf
Include conf/extra/httpd-ahssl.conf
SSLRandomSeed startup builtin
SSLRandomSeed connect builtin
</IfModule>
    • 同样，如果没有加载以下扩展，也要去掉注释启用。
      LoadModule ssl_module modules/mod_ssl.so
    • 配置正确的SRVROOT值为你的Apache httpd的正确安装绝对路径,使用/.
      Define SRVROOT "E:/software/Apache24/"

  2. 安装证书，以便浏览器能使用公钥进行签名. 双击server.crt，安装证书并选择把证书放入受信任的根证书颁发机构。因为以上并没有申请第三方CA颁发证书，所以我们把自己的证书作为根证书，这样浏览器就不会自下而上的去检查证书。

在这里插入图片描述

  1. 安装好证书之后，需要检查证书是否正确安装. Windows系统快捷键Win+R, 输入certmgr.msc回车， 检查受信任的根证书颁发机构里有没有你颁发的对应网站的颁发者.

在这里插入图片描述

  1. 双击Apache24/bin/httpd.exe启动Apache httpd,之后通过https://mysite1.com访问本地网站。如果启动有错误，可以看Apache24\logs下的error.log文件查找原因。如果启动之后还是显示您的连接不是私密连接，那么关闭浏览器重新打开。

在这里插入图片描述

其他

  1. 如果是发布的网站，那么需要获取权威机构颁发的证书，需要先得到私钥的key文件（.key），然后使用私钥的key文件生成sign req 文件（.csr），最后把csr文件发给权威机构，等待权威机构认证，认证成功后，会返回证书文件（.crt）

本地方式的:

openssl req -new -subj "/CN=local" -config ../conf/openssl.cnf -key ca.key -out ca.csr

需要提交认证的:

openssl req -new -config ../conf/openssl.cnf -key ca.key -out ca.csr
  1. subjectAltName指定了附加的主题标识，但用于主机名.。CN只在subjectAltName不存在且仅为了与旧的、不兼容的软件兼容时进行评估。因此，如果您设置了subjectAltName，就必须将其用于所有主机名。

参考

  1. 记自签ssl证书在Chrome下无法访问

  2. subjectAltName

  3. OpenSSL生成root CA及签发证书

  4. Apache Httpd 2.4.48 Windows版本官方压缩包

  5. XAMPP 集成工具包

Peter(阿斯拉达)
关注
专栏目录
安全与加密常识（5）自签名证书
二进制君
06-27 1155
自签名证书是由不受信的CA机构颁发的数字证书，也就是自己签发的证书。与受信任的CA签发的传统数字证书不同，自签名证书是由一些公司或软件开发商创建、颁发和签名的。虽然自签名证书使用的是与X.509证书相同的加密密钥对架构，但是却缺少受信任第三方的验证。在颁发过程中缺乏独立验证会产生额外的风险，这就是为什么对于面向公众的网站和应用程序来说，自签名证书是不安全的。
[网络安全自学篇] 六十五.Vulnhub靶机渗透之环境搭建及JIS-CTF入门和蚁剑提权示例（一）
热门推荐
杨秀璋的专栏
04-10 1万+
这是作者的网络安全自学教程系列，主要是关于安全工具和实践操作的在线笔记，特分享出来与博友们学习，希望您们喜欢，一起进步。前文分享了SMBv3服务远程代码执行漏洞（CVE-2020-0796），攻击者可能利用此漏洞远程无需用户验证，执行恶意代码并获取机器的完全控制。本文将详细讲解Vulnhub靶机渗透的环境搭建和JIS-CTF题目，采用Nmap、Dirb、中国蚁剑、敏感文件分析、SSH远程连接、Shell提权等获取5个flag。由于hack the box速度堪忧，作者选择了Vulnhub靶场，希望深入分析来
apache 开启https访问
最新发布
qq_25096749的博客
05-24 373
SSLCertificateFile /etc/pki/tls/mycert/server.crt （服务器证书）SSLCertificateKeyFile /etc/pki/tls/mycert/server.key （证书私钥）2、使用openssl 手动创建证书（这里我们不用默认证书） ，如果是购买的证书就不用创建了。购买ssl证书网站：https://www.wosign.com/二、多域名使用一张SSL证书（通配证书），要求SSL证书支持通配。
新配置的https证书提示无效
蔚可云的博客
09-29 3381
现在什么都离不开网络，人们对网络的需求也越来越广泛。为了保证我们用户的信息安全，我们建议朋友们安装一个https证书，当然了，随之而来的问题也就相继的出现了。比如说证书怎么安装，安装了以后该注意什么?新配置的https证书提示无效该怎么办等等的一些问题。在此我现为大家讲解一下最后一个问题的解决方法。 一、新配置的https证书提示无效了该怎么办呢 在使用证书的时候，如果我们新配置的https证书提示无效的话，可能是因为服务器的网址和证书的网址不符合，一般我们的证书里都有配置好的网址，我们需要把相关的
apache自签名证书
Vivian200920的博客
09-14 2641
博主小白一个，博主小白一个，博主小白一个重要的事情说三遍。有错请指出 要提高网站的安全性，所以把http转成https，因此需要签名，网上一查那个啥通好贵。。又一查原来还可以自签名。于是乎自签名的道路开始了。。查了很多资料，都不齐，或者很乱，或者根本就行不通。当然是行不通啥的只是针对我的个人电脑啊之类的情况。以下的分享参考了网上的教程以及自己实践过程中对教程的一些修改。在此记录一下，以备不时之需
windows服务器apache配置https
GMYcode的博客
01-25 1544
windows服务器apache配置https Listen 443 <VirtualHost *:443> DocumentRoot "项目文件路径" ServerName www.jkmmf.com ServerAlias jkmmf.com <Directory "项目文件路径"> Options FollowSymLinks ExecCGI AllowOverride All
Apache自签ssl证书
weixin_34198453的博客
03-05 288
Apache的web服务的ssl证书申请配置，这里是自签证书！！！关于ssl证书相关原理啥的，请先自行搜索了解下。操作系统环境，如下：[root@localhost~]#cat/etc/issue CentOSrelease6.4(Final) Kernel\ronan\m [root@localhost~]#uname-r 2.6.32-358.e...
Windows下Apache2.4配置SSL（HTTPS）
AugustTheodor的博客
07-15 4501
前言 说实话关于apache配置SSL的教程网上已经一抓一大把了，但是它们都有两个共同的缺点，一是不指明操作系统和apache版本，也不指名是自签证书还是购买的证书；二是重复内容太多，往往找十个教程里面有五个甚至以上内容是一样的，垃圾信息满天飞。 准备SSL证书 对于https而言，我们可以准备两种SSL证书，一种是自签名证书，一种是向证书颁发机构（CA）购买的证书。 1 自签名证书与CA证书 自签名，顾名思义就是自己签名，自签名证书的证书颁发机构是服务端本身，而CA证书的证书颁发机构是可信的证书
HTTP和HTTPS
weixin_44658227的博客
08-21 1293
目录： 一、HTTP概念部分 1.web服务器的概念 1.1apache和nginx 1.2网页、网页文件和网站 1.3www 1.4HTTP 1.5web服务器的类型 1.6动态网站架构lamp （1）LAMP （2）搭建动态网站的需求 1.7网址的意义 1.8URL、协议、主机地址或者主机名、端口 2.http协议运行原理 3.请求相应过程 3.1请求流程图 3.2浏览器与服务器之间传递数据...
超详细面试准备（10分钟打遍所有初级后端开发面试）
weixin_44540766的博客
02-23 4665
面试知识汇总 如何介绍项目： https://www.sohu.com/a/259724527_775404 自我介绍：https://www.jianshu.com/p/008fc86a1f28 4W字的后端面试知识点总结： https://www.cnblogs.com/aobing/p/12849591.html 后端技术框架： https://www.cnblogs.com/loren-Yang/p/11073536.html 数据结构 Java HashMap原理： https://yikun.g
PHP 面试总结（持续更新） --小丑
Yan 小铁匠
03-18 1925
Session与cookie的区别？ cookie数据存放在客户的浏览器上，session数据放在服务器上，以文件的形式存放，可以从php.ini里面的session.save_path找到存放位置 cookie不是很安全 ，cookie可以进行cookie欺骗，别人可以获取cookie中的session id考虑到安全应当使用session。 session会在一定时间内保存在服务器...
实践apache2+ssl(自签名)
06-08
在ubuntu12虚拟机条件下为apache2服务器实现ssl协议
SSO 原理浅谈
sunlen的专栏(编程技术探讨)
02-26 2818
[转自：http://www.dotnet-tech.cn/post/86.html]SSO 原理浅谈      SSO 是一个非常大的主题，我对这个主题有着深深的感受，自从广州 UserGroup 的论坛成立以来，无数网友都在尝试使用开源的 CAS ， Kerberos 也提供另外一种方式的 SSO ，即基于 Windows 域的 SSO ，还有就是从 2005 年开始一直兴旺不衰的
TCP/IP基础总结性学习（7）
weixin_34129145的博客
04-23 208
确保 Web 安全的 HTTPS 在 HTTP 协议中有可能存在信息窃听或身份伪装等安全问题。使用 HTTPS 通信机制可以有效地防止这些问题。 一. HTTP 的缺点 HTTP 主要有这些不足，例举如下： 通信使用明文（不加密），内容可能会被窃听 不验证通信方的身份，因此有可能遭遇伪装 无法证明报文的完整性，所以有可能已遭篡改 H...
apache的https访问配置
08-19 980
1.sudo a2enmod ssl 2生成自签名证书apache.pem sudo openssl req -x509 -newkey rsa:1024 -keyout apache.pem -out apache.pem -nodes -days 999 3. apache.pem拷贝至/etc/apache2/ssl/目录下 4.在工程配置文件里加入配置，如下：
Nginx解决通过openssl自签名证书访问Https报不安全告警的问题
冰之杍的博客
05-10 5555
定义自签名证书扩展文件(解决chrome安全告警)。在默认情况下生成的证书一旦选择信任，在 Edge, Firefox 等浏览器都显示为安全，但是Chrome仍然会标记为不安全并警告拦截，这是因为 Chrome 需要证书支持扩展 Subject Alternative Name, 因此生成时需要特别指定 SAN 扩展并添加相关参数,将下述内容放到一个文件中,命名为private.ext。
Apache服务器（2）-https协议
wayne8910的专栏
07-16 764
HTTPS协议简介 HTTPS（Hypertext Transfer Protocol over Secure Socket Layer，基于SSL的HTTP协议）使用了HTTP协议，但HTTPS使用不同于HTTP协议的默认端口及一个加密、身份验证层（HTTP与TCP之间）。这个协议的最初研发由网警公司进行，提供了身份验证与加密通信方法，现在它被广泛应用于互联网上安全敏感的通信。 在访问HTTPS网站时，客户端输入的URL路径中的http必须改为https。 客户端在使用...
windows下安装Apache2.4+php环境搭建并开启https
qq_38291198的博客
04-28 647
首先下载apache和php。 Apache2.4：http://httpd.apache.org/download.cgi php：https://www.php.net/downloads.php 我下的都是vc15版 所以需要vc15 一、安装Apache： 进入Apache的下载页面发现找不到download，但是在第三方处可以下载 选择ApacheHaus进入下载...
自签证书，浏览器显示无效
weixin_35753291的博客
01-16 1217
自签名证书是由个人或组织自己制作和签发的证书，而不是由受信任的证书颁发机构颁发的。因此，浏览器会显示它为无效，因为它不能确定证书是否是可信的。如果要解决这个问题，需要将自签名证书安装到浏览器的信任证书存储中。 ...
RedHat Linux + Apache + Tomcat + mod_jk 负载均衡配置指南
- 修改Apache配置文件（httpd.conf）：设置监听端口为80，服务器名称，以及将默认索引文件设置为index.jsp，以便支持Java Web应用。 3. 安装Tomcat： - 下载Tomcat 5.5.9并解压到适当位置，例如/usr/local。 - ...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

Peter(阿斯拉达)

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值