本文介绍在Debian 10操作系统上加密来保护Apache服务器,即配置及更新免费的Let's Encrypt SSL证书,同时配置Apache以使用SSL证书并启用HTTP/2,我们可以从安装Certbot开始。
先决条件
在继续操作之前,请确保满足以下先决条件:
1、以root或具有sudo特权的用户身份登录。
2、您要获取SSL证书的域必须指向您的公共服务器IP,我们将使用example.com,请自行更改为自己的域名。同时已经安装好Apache服务器,参考在Debian 10 Linux上安装Apache Web Server的方法。
安装Certbot
我们将使用certbot工具获取并更新证书。
Certbot是功能齐全且易于使用的工具,可自动执行获取和更新Let's Encrypt SSL证书以及配置网络服务器以使用证书的任务。
certbot软件包包含在默认的Debian 10存储库中,运行以下命令以安装certbot:
sudo apt update
sudo apt install certbot
产生强Dh(Diffie-Hellman)组
Diffie-Hellman密钥交换(DH)是一种在不安全的通信通道上安全地交换加密密钥的方法。
运行以下命令以生成新的2048位DH密钥:
sudo openssl dhparam -out /etc/ssl/certs/dhparam.pem 2048
如果愿意,可以将大小最多更改为4096位,但生成时间可能会超过30分钟。
获取“Let's Encrypt SSL”证书
要获得该域的SSL证书,我们将使用Webroot插件,该插件通过在${webroot-path}/.well-known/acme-challenge目录中创建一个用于验证请求的域的临时文件来工作,Let’s Encrypt服务器向临时文件发出HTTP请求,以验证请求的域是否解析为运行certbot的服务器。
为了更简单,我们将所有针对.well-known/acme-challenge的HTTP请求映射到单个目录/var/lib/letsencrypt。
运行以下命令以创建目录并使该目录可用于Apache服务器:
sudo mkdir -p /var/lib/letsencrypt/.well-known
sudo chgrp www-data /var/lib/letsencrypt
sudo chmod g+s /var/lib/letsencrypt
为避免重复代码,请创建以下两个配置片段,在/etc/apache2/conf-available/letsencrypt.conf文件中:
/etc/apache2/conf-available/letsencrypt.conf
Alias /.well-known/acme-challenge/ "/var/lib/letsencrypt/.well-known/acme-challenge/"
AllowOverride None
Options MultiViews Indexes SymLinksIfOwnerMatch IncludesNoExec
Require method GET POST OPTIONS
在/etc/apache2/conf-available/ssl-params.conf文件中:
SLCipherSuite EECDH+AESGCM:EDH+AESGCM
SSLProtocol -all +TLSv1.3 +TLSv1.2
SSLOpenSSLConfCmd Curves X25519:secp521r1:secp384r1:prime256v1
SSLHonorCipherOrder On
Header always set Strict-Transport-Security "max-age=63072000; includeSubDomains; preload"
Header always set X-Frame-Options DENY
Header always set X-Content-Type-Options nosniff
SSLCompression off
SSLUseStapling on
SSLStaplingCache "shmcb:logs/stapling-cache(150000)"
SSLSessionTickets Off
SSLOpenSSLConfCmd DHParameters "/etc/ssl/certs/dhparam.pem"
上面代码段中的代码使用的是Cipherli.st建议的削片程序,可启用OCSP装订,HTTP严格传输安全性(HSTS)并强制执行少量以安全性为重点的HTTP标头。
确保同时加载了mod_ssl和mod_headers:
sudo a2enmod ssl
sudo a2enmod headers
启用HTTP/2模块,这将使您的网站更快,更稳定:
sudo a2enmod http2
启用SSL配置文件:
sudo a2enconf letsencrypt
sudo a2enconf ssl-params
重新加载Apache配置以使更改生效:
sudo systemctl reload apache2
使用带有Webroot插件的Certbot工具来获取SSL证书文件:
sudo certbot certonly --agree-tos --email admin@example.com --webroot -w /var/lib/letsencrypt/ -d example.com -d www.example.com
如果成功获得SSL证书,certbot将显示以下图消息(请注意里面的到期时间,在到期前必须续订才能继续使用):
有了证书文件后,请按如下所示编辑域virtual host配置,在/etc/apache2/sites-available/example.com.conf文件中:
ServerName example.com
ServerAlias www.example.com
Redirect permanent / https://example.com/
ServerName example.com
ServerAlias www.example.com
Protocols h2 http:/1.1
Redirect permanent / https://example.com/
DocumentRoot /var/www/example.com/public_html
ErrorLog ${APACHE_LOG_DIR}/example.com-error.log
CustomLog ${APACHE_LOG_DIR}/example.com-access.log combined
SSLEngine On
SSLCertificateFile /etc/letsencrypt/live/example.com/fullchain.pem
SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem
# Other Apache Configuration
使用上述配置,我们将强制HTTPS并从www重定向到非www版本,请根据您的需要调整配置。
重新加载Apache服务以使更改生效:
sudo systemctl reload apache2
使用https://example.com打开您的网站,您会在网址的左侧看到一个锁定图标,比如:
如果您使用SSL Labs服务器测试来测试您的域,则将获得A+等级,如下所示:
自动更新加密SSL证书(Let's Encrypt SSL证书)
加密的证书有效期为90天,要在证书过期之前自动更新证书,certbot程序包会创建一个cronjob,该程序每天运行两次,并将在证书过期前30天自动更新任何证书。
证书更新后,我们还必须重新加载Apache服务,将--renew-hook "systemctl reload apache2"附加到/etc/cron.d/certbot文件中,如下:
0 */12 * * * root test -x /usr/bin/certbot -a \! -d /run/systemd/system && perl -e 'sleep int(rand(43200))' && certbot -q renew --renew-hook "systemctl reload apache2"
要测试续订过程,请使用certbot --dry-run参数:
sudo certbot renew --dry-run
如果没有错误,则表示更新过程成功。
结论
在本文中,我们讨论了如何在Debian 10上使用Let's Encrypt客户端certbot获得您域的SSL证书。我们还向您展示了如何配置Apache以使用证书并设置cronjob来自动更新证书。
相关主题