|
本文介绍在Debian 10操作系统上加密来保护Apache服务器，即配置及更新免费的Let's Encrypt SSL证书，同时配置Apache以使用SSL证书并启用HTTP/2，我们可以从安装Certbot开始。
先决条件 在继续操作之前，请确保满足以下先决条件： 1、以root或具有sudo特权的用户身份登录。 2、您要获取SSL证书的域必须指向您的公共服务器IP，我们将使用example.com，请自行更改为自己的域名。同时已经安装好Apache服务器，参考在Debian 10 Linux上安装Apache Web Server的方法。
安装Certbot 我们将使用certbot工具获取并更新证书。 Certbot是功能齐全且易于使用的工具，可自动执行获取和更新Let's Encrypt SSL证书以及配置网络服务器以使用证书的任务。 certbot软件包包含在默认的Debian 10存储库中，运行以下命令以安装certbot： sudo apt update sudo apt install certbot
产生强Dh（Diffie-Hellman）组 Diffie-Hellman密钥交换（DH）是一种在不安全的通信通道上安全地交换加密密钥的方法。 运行以下命令以生成新的2048位DH密钥： sudo openssl dhparam -out /etc/ssl/certs/dhparam.pem 2048 如果愿意，可以将大小最多更改为4096位，但生成时间可能会超过30分钟。
获取“Let's Encrypt SSL”证书 要获得该域的SSL证书，我们将使用Webroot插件，该插件通过在${webroot-path}/.well-known/acme-challenge目录中创建一个用于验证请求的域的临时文件来工作，Let’s Encrypt服务器向临时文件发出HTTP请求，以验证请求的域是否解析为运行certbot的服务器。 为了更简单，我们将所有针对.well-known/acme-challenge的HTTP请求映射到单个目录/var/lib/letsencrypt。 运行以下命令以创建目录并使该目录可用于Apache服务器： sudo mkdir -p /var/lib/letsencrypt/.well-known sudo chgrp www-data /var/lib/letsencrypt sudo chmod g+s /var/lib/letsencrypt 为避免重复代码，请创建以下两个配置片段，在/etc/apache2/conf-available/letsencrypt.conf文件中： /etc/apache2/conf-available/letsencrypt.conf Alias /.well-known/acme-challenge/ "/var/lib/letsencrypt/.well-known/acme-challenge/" <Directory "/var/lib/letsencrypt/"> AllowOverride None Options MultiViews Indexes SymLinksIfOwnerMatch IncludesNoExec Require method GET POST OPTIONS </Directory> 在/etc/apache2/conf-available/ssl-params.conf文件中： SLCipherSuite EECDH+AESGCM:EDH+AESGCM SSLProtocol -all +TLSv1.3 +TLSv1.2 SSLOpenSSLConfCmd Curves X25519:secp521r1:secp384r1:prime256v1 SSLHonorCipherOrder On Header always set Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" Header always set X-Frame-Options DENY Header always set X-Content-Type-Options nosniff SSLCompression off SSLUseStapling on SSLStaplingCache "shmcb:logs/stapling-cache(150000)" SSLSessionTickets Off SSLOpenSSLConfCmd DHParameters "/etc/ssl/certs/dhparam.pem" 上面代码段中的代码使用的是Cipherli.st建议的削片程序，可启用OCSP装订，HTTP严格传输安全性（HSTS）并强制执行少量以安全性为重点的HTTP标头。 确保同时加载了mod_ssl和mod_headers： sudo a2enmod ssl sudo a2enmod headers 启用HTTP/2模块，这将使您的网站更快，更稳定： sudo a2enmod http2 启用SSL配置文件： sudo a2enconf letsencrypt sudo a2enconf ssl-params 重新加载Apache配置以使更改生效： sudo systemctl reload apache2 使用带有Webroot插件的Certbot工具来获取SSL证书文件： sudo certbot certonly --agree-tos --email admin@example.com --webroot -w /var/lib/letsencrypt/ -d example.com -d www.example.com 如果成功获得SSL证书，certbot将显示以下图消息（请注意里面的到期时间，在到期前必须续订才能继续使用）：
有了证书文件后，请按如下所示编辑域virtual host配置，在/etc/apache2/sites-available/example.com.conf文件中： <VirtualHost *:80> ServerName example.com ServerAlias www.example.com Redirect permanent / https://example.com/ </VirtualHost> <VirtualHost *:443> ServerName example.com ServerAlias www.example.com Protocols h2 http:/1.1 <If "%{HTTP_HOST} == 'www.example.com'"> Redirect permanent / https://example.com/ </If> DocumentRoot /var/www/example.com/public_html ErrorLog ${APACHE_LOG_DIR}/example.com-error.log CustomLog ${APACHE_LOG_DIR}/example.com-access.log combined SSLEngine On SSLCertificateFile /etc/letsencrypt/live/example.com/fullchain.pem SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem # Other Apache Configuration </VirtualHost> 使用上述配置，我们将强制HTTPS并从www重定向到非www版本，请根据您的需要调整配置。 重新加载Apache服务以使更改生效： sudo systemctl reload apache2 使用https://example.com打开您的网站，您会在网址的左侧看到一个锁定图标，比如：
如果您使用SSL Labs服务器测试来测试您的域，则将获得A+等级，如下所示：
自动更新加密SSL证书（Let's Encrypt SSL证书） 加密的证书有效期为90天，要在证书过期之前自动更新证书，certbot程序包会创建一个cronjob，该程序每天运行两次，并将在证书过期前30天自动更新任何证书。 证书更新后，我们还必须重新加载Apache服务，将--renew-hook "systemctl reload apache2"附加到/etc/cron.d/certbot文件中，如下： 0 */12 * * * root test -x /usr/bin/certbot -a \! -d /run/systemd/system && perl -e 'sleep int(rand(43200))' && certbot -q renew --renew-hook "systemctl reload apache2" 要测试续订过程，请使用certbot --dry-run参数： sudo certbot renew --dry-run 如果没有错误，则表示更新过程成功。
结论 在本文中，我们讨论了如何在Debian 10上使用Let's Encrypt客户端certbot获得您域的SSL证书。我们还向您展示了如何配置Apache以使用证书并设置cronjob来自动更新证书。
相关主题 |
