已解决|Apache(LAMP)网站如何升级配置https

基本概念&＃xff1a;

HTTP: 是互联网上应用最为广泛的一种网络协议&＃xff0c;是一个客户端和服务器端请求和应答的标准&＃xff0c;用于从WWW服务器传输超文本到本地浏览器的传输协议&＃xff0c;它可以使浏览器更加高效&＃xff0c;使网络传输减少。

HTTPS:是以安全为目标的HTTP通道&＃xff0c;简单讲是HTTP的安全版。即HTTP下加入SSL层&＃xff0c;HTTPS的安全基础是SSL&＃xff0c;因此加密的详细内容就需要SSL。

谷歌、火狐等浏览器厂商也已经扛起HTTPS大旗&＃xff0c;对于HTTP站点会提示不安全警告。而且像谷歌、百度等搜索引擎也早已响应HTTPS号召&＃xff0c;都声称对HTTPS站点页面友好甚至优先抓取&＃xff0c;排名靠前&＃xff0c;当然具体实际实施情况就另当别论了。要让互联网站点都升级到HTTPS协议还需一段时间&＃xff0c;但不可否认HTTPS是大势所趋。

网站环境&＃xff1a;

操作系统&＃xff1a;centos6.5 x64 &＃xff08;阿里云ECS服务器&＃xff09;

web服务&＃xff1a;Apache 2.4&＃43; 

免费证书商家&＃xff1a;Let&＃39;s Encrypt SSL

网站程序&＃xff1a; ZSITE建站系统

操作流程&＃xff1a;

1.安装证书

Let&＃39;s Encrypt SSL免费证书&＃xff0c;有效期3个月&＃xff0c;需要定期更新。&＃xff08; 更多国内外免费SSL证书推荐参考&＃xff09;

安装SSL证书可以使用 certbot 工具&＃xff0c;操作十分简单方便。

下载 certbot&＃xff0c;并设置权限&＃xff1a;

wget https://dl.eff.org/certbot-auto
chmod a&＃43;x certbot-auto

使用certbot申请安装证书&＃xff1a;

./certbot-auto certonly --webroot --apache -w /data/wwwroot/www.chanzhicms.com -d www.chanzhicms.com --no-self-upgrade

 -w后面是网站的根目录路径&＃xff0c;-d后面是申请证书的域名&＃xff0c;多个域名的话&＃xff0c;在后面继续添加设置多个-d即可。

申请成功后&＃xff0c;可以查看到SSL证书的有效截止日期。申请的证书默认存放在 /etc/letsencrypt 目录下。

2.修改Apache配置文件

设置apache的配置文件 /usr/local/apache/conf/httpd.conf&＃xff0c;要修改两个地方&＃xff0c;找到下面两行将其前面的#去掉即可。

LoadModule ssl_module modules/mod_ssl.so
Include conf/extra/httpd-ssl.conf
然后修改/usr/local/apache/conf/extra/httpd-ssl.conf 文件&＃xff0c;将里面内容清空&＃xff0c;放入下面内容&＃xff1a;
Listen 443
AddType application/x-x509-ca-cert .crt
AddType application/x-pkcs7-crl .crl
SSLCipherSuite EECDH&＃43;CHACHA20:EECDH&＃43;CHACHA20-draft:EECDH&＃43;AES128:RSA&＃43;AES128:EECDH&＃43;AES256:RSA&＃43;AES256:EECDH&＃43;3DES:RSA&＃43;3DES:!MD5
SSLProxyCipherSuite EECDH&＃43;CHACHA20:EECDH&＃43;CHACHA20-draft:EECDH&＃43;AES128:RSA&＃43;AES128:EECDH&＃43;AES256:RSA&＃43;AES256:EECDH&＃43;3DES:RSA&＃43;3DES:!MD5
SSLHonorCipherOrder on
SSLProtocol all -SSLv2 -SSLv3
SSLProxyProtocol all -SSLv2 -SSLv3
SSLPassPhraseDialog builtin
SSLSessionCache "shmcb:/usr/local/apache/logs/ssl_scache(512000)"
SSLSessionCacheTimeout 300
Mutex sysvsem default
SSLStrictSNIVHostCheck on

最后修改网站的单独配置文件&＃xff0c;/usr/local/apache/conf/vhost/www.chanzhicm.com.conf &＃xff0c;原本只有80端口配置&＃xff0c;这里需要我们加上443端口的配置&＃xff1a;

    ServerAdmin admin&＃64;linuxeye.comDocumentRoot "/data/wwwroot/www.chanzhicms.com"ServerName www.chanzhicms.comServerAlias chanzhicms.comErrorLog "/data/wwwlogs/www.chanzhicms.com_error_apache.log"CustomLog "/data/wwwlogs/www.chanzhicms.com_apache.log" combined    SetOutputFilter DEFLATEOptions FollowSymLinks ExecCGIRequire all grantedAllowOverride AllOrder allow,denyAllow from allDirectoryIndex index.html index.phpListen 443    DocumentRoot "/data/wwwroot/www.chanzhicms.com"ServerName www.chanzhicms.com:443ServerAlias www.chanzhicms.comErrorLog "/data/wwwlogs/www.chanzhicms.com_error_apache.log"ServerAdmin admin&＃64;linuxeye.comSSLEngine onSSLCertificateFile /etc/letsencrypt/live/www.chanzhicms.com/fullchain.pemSSLCertificateKeyFile /etc/letsencrypt/live/www.chanzhicms.com/privkey.pemSetOutputFilter DEFLATEOptions FollowSymLinksAllowOverride AllOrder allow,denyAllow from allDirectoryIndex index.html index.phpRequire all granted

上面配置中的网站名称、网站路径、证书路径等信息&＃xff0c;大家根据自己的具体情况填写。

注意&＃xff1a;

这里必须要特别强调一点&＃xff0c;因为我的Apache版本是2.4&＃43;的&＃xff0c;在Directory中&＃xff0c;一定要加上一条 Require all granted &＃xff0c;否侧会出现网站HTTP访问正常&＃xff0c;但https访问提示 403 forbidden。这条命令是apache2.4新增加的&＃xff0c;用以替代allow,deny以及order指令。

最后&＃xff0c; 重启Apache&＃xff01;重启Apache&＃xff01;重启Apache&＃xff01;

使用https访问网站&＃xff0c;查看是否生效。

3.更新证书

证书快到期时&＃xff0c;我在使用 certbot-auto renew 命令进行证书更新&＃xff1a;

certbot-auto renew --no-self-upgrade

成功后&＃xff0c;检查更新到期日期

./certbot-auto certificates

证书到期之前会有邮件提醒&＃xff0c;这里介绍修改新订阅邮箱的方法&＃xff1a;

./certbot-auto update_account --email 963370407&＃64;qq.com --no-self-upgrade

使用 crontab 自动续期证书

每隔两三个月更新一次证书&＃xff0c;万一忘了怎么办&＃xff1f;有木有版本让系统自动定期更新呢&＃xff1f;当然可以&＃xff0c;这里就需要用到 crontab 工具。

如果系统没有 crontab &＃xff0c;则先安装&＃xff1a;

yum install vixie-cron crontabs //安装Crontab
chkconfig crond on //设为开机自启动
service crond start //启动

/var/spool/cron 这里是所有的自动执行任务的 cron 文件存放位置&＃xff08;root文件&＃xff09;
在/var/spool/cron/root文件里添加:

30 20 1 * * /root/certbot-auto renew --no-self-upgrade

即每月1号晚上8点半更新证书。

重启服务生效&＃xff1a;

service crond restart

查看crontab定时执行任务列表

crontab -l

常见问题与更多内容&＃xff0c;可参考原文&＃xff1a;https://www.zsite.com/cms/340.html