云网牛站
所在位置:首页 > Linux云服务器 > 在Debian 10服务器上加密保护Apache(配置Let's Encrypt SSL证书)

在Debian 10服务器上加密保护Apache(配置Let's Encrypt SSL证书)

2020-01-04 09:22:51作者:申仲稿源:云网牛站

本文介绍在Debian 10操作系统上加密来保护Apache服务器,即配置及更新免费的Let's Encrypt SSL证书,同时配置Apache以使用SSL证书并启用HTTP/2,我们可以从安装Certbot开始。

在Debian 10服务器上加密保护Apache(配置Let's Encrypt SSL证书)

 

先决条件

在继续操作之前,请确保满足以下先决条件:

1、以root或具有sudo特权的用户身份登录。

2、您要获取SSL证书的域必须指向您的公共服务器IP,我们将使用example.com,请自行更改为自己的域名。同时已经安装好Apache服务器,参考在Debian 10 Linux上安装Apache Web Server的方法

 

安装Certbot

我们将使用certbot工具获取并更新证书。

Certbot是功能齐全且易于使用的工具,可自动执行获取和更新Let's Encrypt SSL证书以及配置网络服务器以使用证书的任务。

certbot软件包包含在默认的Debian 10存储库中,运行以下命令以安装certbot:

sudo apt update

sudo apt install certbot

 

产生强Dh(Diffie-Hellman)组

Diffie-Hellman密钥交换(DH)是一种在不安全的通信通道上安全地交换加密密钥的方法。

运行以下命令以生成新的2048位DH密钥:

sudo openssl dhparam -out /etc/ssl/certs/dhparam.pem 2048

如果愿意,可以将大小最多更改为4096位,但生成时间可能会超过30分钟。

 

获取“Let's Encrypt SSL”证书

要获得该域的SSL证书,我们将使用Webroot插件,该插件通过在${webroot-path}/.well-known/acme-challenge目录中创建一个用于验证请求的域的临时文件来工作,Let’s Encrypt服务器向临时文件发出HTTP请求,以验证请求的域是否解析为运行certbot的服务器。

为了更简单,我们将所有针对.well-known/acme-challenge的HTTP请求映射到单个目录/var/lib/letsencrypt。

运行以下命令以创建目录并使该目录可用于Apache服务器:

sudo mkdir -p /var/lib/letsencrypt/.well-known

sudo chgrp www-data /var/lib/letsencrypt

sudo chmod g+s /var/lib/letsencrypt

为避免重复代码,请创建以下两个配置片段,在/etc/apache2/conf-available/letsencrypt.conf文件中:

/etc/apache2/conf-available/letsencrypt.conf

Alias /.well-known/acme-challenge/ "/var/lib/letsencrypt/.well-known/acme-challenge/"

<Directory "/var/lib/letsencrypt/">

AllowOverride None

Options MultiViews Indexes SymLinksIfOwnerMatch IncludesNoExec

Require method GET POST OPTIONS

</Directory>

在/etc/apache2/conf-available/ssl-params.conf文件中:

SLCipherSuite EECDH+AESGCM:EDH+AESGCM

SSLProtocol -all +TLSv1.3 +TLSv1.2

SSLOpenSSLConfCmd Curves X25519:secp521r1:secp384r1:prime256v1

SSLHonorCipherOrder On

Header always set Strict-Transport-Security "max-age=63072000; includeSubDomains; preload"

Header always set X-Frame-Options DENY

Header always set X-Content-Type-Options nosniff

SSLCompression off

SSLUseStapling on

SSLStaplingCache "shmcb:logs/stapling-cache(150000)"

SSLSessionTickets Off

SSLOpenSSLConfCmd DHParameters "/etc/ssl/certs/dhparam.pem"

上面代码段中的代码使用的是Cipherli.st建议的削片程序,可启用OCSP装订,HTTP严格传输安全性(HSTS)并强制执行少量以安全性为重点的HTTP标头。

确保同时加载了mod_ssl和mod_headers:

sudo a2enmod ssl

sudo a2enmod headers

启用HTTP/2模块,这将使您的网站更快,更稳定:

sudo a2enmod http2

启用S​​SL配置文件:

sudo a2enconf letsencrypt

sudo a2enconf ssl-params

重新加载Apache配置以使更改生效:

sudo systemctl reload apache2

使用带有Webroot插件的Certbot工具来获取SSL证书文件:

sudo certbot certonly --agree-tos --email admin@example.com --webroot -w /var/lib/letsencrypt/ -d example.com -d www.example.com

如果成功获得SSL证书,certbot将显示以下图消息(请注意里面的到期时间,在到期前必须续订才能继续使用):

在Debian 10服务器上加密保护Apache(配置Let's Encrypt SSL证书)

有了证书文件后,请按如下所示编辑域virtual host配置,在/etc/apache2/sites-available/example.com.conf文件中:

<VirtualHost *:80> 

ServerName example.com

ServerAlias www.example.com

Redirect permanent / https://example.com/

</VirtualHost>

<VirtualHost *:443>

ServerName example.com

ServerAlias www.example.com

Protocols h2 http:/1.1

<If "%{HTTP_HOST} == 'www.example.com'">

Redirect permanent / https://example.com/

</If>

DocumentRoot /var/www/example.com/public_html

ErrorLog ${APACHE_LOG_DIR}/example.com-error.log

CustomLog ${APACHE_LOG_DIR}/example.com-access.log combined

SSLEngine On

SSLCertificateFile /etc/letsencrypt/live/example.com/fullchain.pem

SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem

# Other Apache Configuration

</VirtualHost>

使用上述配置,我们将强制HTTPS并从www重定向到非www版本,请根据您的需要调整配置。

重新加载Apache服务以使更改生效:

sudo systemctl reload apache2

使用https://example.com打开您的网站,您会在网址的左侧看到一个锁定图标,比如:

在Debian 10服务器上加密保护Apache(配置Let's Encrypt SSL证书)

如果您使用SSL Labs服务器测试来测试您的域,则将获得A+等级,如下所示:

在Debian 10服务器上加密保护Apache(配置Let's Encrypt SSL证书)

 

自动更新加密SSL证书(Let's Encrypt SSL证书)

加密的证书有效期为90天,要在证书过期之前自动更新证书,certbot程序包会创建一个cronjob,该程序每天运行两次,并将在证书过期前30天自动更新任何证书。

证书更新后,我们还必须重新加载Apache服务,将--renew-hook "systemctl reload apache2"附加到/etc/cron.d/certbot文件中,如下:

0 */12 * * * root test -x /usr/bin/certbot -a \! -d /run/systemd/system && perl -e 'sleep int(rand(43200))' && certbot -q renew --renew-hook "systemctl reload apache2"

要测试续订过程,请使用certbot --dry-run参数:

sudo certbot renew --dry-run

如果没有错误,则表示更新过程成功。

 

结论

在本文中,我们讨论了如何在Debian 10上使用Let's Encrypt客户端certbot获得您域的SSL证书。我们还向您展示了如何配置Apache以使用证书并设置cronjob来自动更新证书。

 

相关主题

Debian 10 Nginx服务器上安装和更新Let’s Encrypt SSL并启用HTTP/2

精选文章
热门文章