https会话建立过程
1、client发起三次握手请求
2、完成tcp/ip三次握手
3、client和server协商使用的加密算法
4、协商完成后，server发送自己的证书给client
5、client验证server端证书，验证完成后生成一个对称秘钥发送给服务器端
6、client发送请求页面给server端，server通过client发送的秘钥加密后回送给client
证书生成过程
1、client和server端验证对方证书都是通过第三方颁发机构CA来验证。
2、CA给server端下发证书
3、客户端信任CA机构，把CA的验证证书放在自己家中，来验证对方的证书
4、服务器端生成一对秘钥，把公钥发送给CA。CA签署生成证书，回送给server
5、server配置自己的服务器以使用证书，在客户端请求时把证书发送给client。
6、client使用保存在自己的证书来验证server端。最终完成ssl会话。
注：ssl会话是不可以通过主机名来区分的，仅能支持IP地址来进行。也就是说如果服务器配置多个虚拟主机，只可配置一个虚拟主机来支持
实验拓扑
| CA：192.168.11.101 web服务器：192.168.11.100 client：192.168.11.7 |
实验过程
1、要使http支持ssl功能，需要先安装mod_sll功能（192.168.11.100）
| yum -y install mod_ssl #主配置文件在/etc/httpd/conf.d/ssl.conf |
2、生成CA字签证书（192.168.11.101）
| cd /etc/pki/CA #生成秘钥 (umask 077; openssl genrsa -out private/cakey.pem 2048) #使用genrsa加密算法，-out表示存放路径，2048表示加密位数，umask 077表示秘钥权限 |
编辑生成证书的默认信息
| vim /etc/pki/tls/openssl.cnf #配置文件 countryName_default = CN #国家 stateOrProvinceName_default = HeNan #省份 localityName_default = zhengzhou #城市 0.organizationName_default = yuliang #公司 organizationalUnitName_default = Tec #部门 |
生成自签证书
| #openssl req -new -x509 -key private/cakey.pem -out cacert.pem -days 3655 （-new表示新创建证书，-x509表示使用的协议，-days 3655表示证书有效期） You are about to be asked to enter information that will be incorporated into your certificate request. What you are about to enter is what is called a Distinguished Name or a DN. There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter '.', the field will be left blank. ----- Country Name (2 letter code) [CN]: #国家 State or Province Name (full name) [HeNan]: #省份 Locality Name (eg, city) [ZhengZhou]: #城市 Organization Name (eg, company) [yuliang]: #公司 Organizational Unit Name (eg, section) [Tech]: #部门 Common Name (eg, your name or your server's hostname) []:ca.yuliang.com 服务器名称 Email Address []:admin@yuliang.com #联系邮箱 |
修改CA服务器证书路径
| [ CA_default ] dir = /etc/pki/CA # Where everything is kept certs = $dir/certs # Where the issued certs are kept crl_dir = $dir/crl # Where the issued crl are kept database = $dir/index.txt # database index file. #unique_subject = no # Set to 'no' to allow creation of # several ctificates with same subject. new_certs_dir = $dir/newcerts # default place for new certs. certificate = $dir/cacert.pem # The CA certificate serial = $dir/serial # The current serial number crlnumber = $dir/crlnumber # the current crl number # must be commented out to leave a V1 CRL crl = $dir/crl.pem # The current CRL private_key = $dir/private/cakey.pem# The private key RANDFILE = $dir/private/.rand # private random number file x509_extensions = usr_cert # The extentions to add to the cert |
根据配置中的路径，创建所需文件
| mkdir certs crl newcerts touch index.txt echo 01 > serial #01表示证书颁发序列号从01开始 |
至此，CA准备完成。如果有web server需要申请证书，只需要自己生成一对密钥，并且把申请发送给CA，发出证书申请请求到CA服务器上，由CA来做签署。
3、在web server中生成密钥（192.168.11.100）
| cd /etc/httpd/ mkdir ssl && cd ssl (umask 077; openssl genrsa 1024 >httpd.key) #生成密钥，>和上面的-out用法一样 |
在web server中生成证书请求
| openssl req -new -key httpd.key -out httpd.csr 依次输入国家，城市，公司等信息。注意要与CA保持一致 ps：需注意Common Name项一定要填写最终让用户访问ssl的域名 |
生成完成后将证书申请请求发送到CA服务器
| scp httpd.csr 192.168.11.101:/tmp |
4、CA服务器签署web server证书请求（192.168.11.101）
| openssl ca -in /tmp/httpd.csr -out /tmp/httpd.crt -days 3650 #生成名叫httpd.crt的证书，证书有效期为10年 |
生成完成后将证书发送会web server（这里从web server直接拷会）
| scp 192.168.11.101:/tmp/httpd.crt /etc/httpd/ssl/ |
注意：在证书申请完成后一定要把/tmp目录下的临时文件删除
5、配置web server可以使用证书(192.168.11.100)
| vim /etc/httpd/conf.d/ssl.conf (注意先备份) Listen 443 #监听端口 AddType application/x-x509-ca-cert .crt #支持的证书类型 AddType application/x-pkcs7-crl .crl #证书吊销列表 SSLSessionCache shmcb:/var/cache/mod_ssl/scache(512000) #ssl缓存机制 SSLSessionCacheTimeout 300 #缓存清空时间 <VirtualHost _default_:443> #_default_表示使用本机默认地址，如果本机有多个地址，需要将_default_改为指定地址 ServerName www.margan.com #还需增加指定服务名称 DocumentRoot "/www/html/" #指定服务目录，需注意要和web保持一致 ErrorLog /logs/ssl_errot_log #错误日志保存目录 TransferLog /log/ssl_access_log #指定访问日志保存目录 LogLevel #日志级别 SSLEngine on #表示启用ssl SSLProtocol all -SSLv2 #指定ssl可用协议，但不支持SSLv2 SSLCipherSuite ALL:!ADH:!EXPORT:!SSLv2:RC4+RSA:+HIGH:+MEDIUM:+LOW #指定加密机制 SSLCertificateFile /etc/httpd/ssl/httpd.crt #指定证书路径 SSLCertificateKeyFile /etc/httpd/ssl/http.key #指定web server私钥 |
至此配置结束，检测配置语法，并重启服务器
| httpd -t service httpd restart |
在客户端修改hosts文件，即可通过https://www.morgan.com访问
但访问时会提示证书不可信
可将服务器证书下载下来，并改为cacert.crt文件，并放入到可信任的根证书颁发机构。
注：如果web server不小心丢失或者损坏了CA签署的证书，再次申请会报错
| failed to update database TXT_DB error number 2 |
解决办法是：
| 删除/etc/pki/CA下的index.txt文件 然后touch index.txt 本文转自 亮公子 51CTO博客，原文链接:http://blog.51cto.com/iyull/1864368 |
