Използване на множество SSL сертификати в Apache с един IP адрес

Rsdaa 10/02/2022 1758

Относно TLS Extension Server Name Indication (SNI)

Когато администраторите на уебсайтове и ИТ персоналът са ограничени да използват единичен SSL сертификат за сокет (комбинация на IP адрес и сокет) може да струва много пари. Това ограничение ги кара да купуват множество IP адреси за обикновени https уебсайтове от своя хост на домейн или да купуват хардуер, който им позволява да използват множество мрежови адаптери.

Въпреки това, с Apache v2.2.12 и OpenSSL v0.9.8j и по-нови можете да използвате защита на транспортния слой (TLS), наречена SNI. SNI може да защити множество сайтове на Apache с помощта на един SSL сертификат и да използва множество SSL сертификати за защита на различни уебсайтове в един домейн (напр. www.yourdomain.com, site2.yourdomain.com) или в множество домейни (www.domain1.com, www .domain2.com)—всичко от един IP адрес. Ползите от използването на SNI са очевидни – можете да защитите повече уебсайтове, без да купувате повече IP адреси или допълнителен хардуер.

Тъй като това е сравнително скорошна актуализация с Apache, браузърите едва наскоро поддържат SNI. Повечето настоящи основни настолни и мобилни браузъри поддържат SNI. Едно забележително изключение е, че нито една версия на Internet Explorer на Windows XP не поддържа SNI. За повече информация кои браузъри поддържат SNI, моля, вижте Поддръжка на SNI браузър.

Използване на множество SSL сертификати в Apache с един IP адрес

За да използвате SNI на Apache, моля, уверете се, че сте изпълнили инструкциите на страницата за инсталиране на Apache SSL. След това продължете със стъпките на тази страница.

Настройване на SNI с Apache

За да използвате допълнителни SSL сертификати на вашия сървър, трябва да създадете друг виртуален хост. Като най-добра практика препоръчваме да направите резервно копие на вашия съществуващ .conf файл, преди да продължите. Можете да създадете нов виртуален хост във вашия съществуващ .conf файл или можете да създадете нов .conf файл за новия виртуален хост. Ако създадете нов .conf файл, добавете следния ред към съществуващия .conf файл:

Включете my_other_site.conf

След това в директивата NameVirtualHost избройте публичния IP адрес на вашия сървър, *:443, или друг порт, който използвате за SSL (вижте примера по-долу).

След това насочете SSLCertificateFile, SSLCertificateKeyFile и SSLCertificateChainFile към местоположенията на файловете със сертификати за всеки уебсайт, както е показано по-долу:

ИмеVirtualHost *:443<VirtualHost *:443> ServerName www.yoursite.com DocumentRoot /var/www/site SSLEngine на SSLCertificateFile /path/to/www_yoursite_com.crt SSLCertificateKeyFile /path/to/www_yoursite_com.key SSLCertificateChainFile /path/to/DigiCertCA.crt<VirtualHost *:443> ServerName www.yoursite2.com DocumentRoot /var/www/site2 SSLEngine на SSLCertificateFile /path/to/www_yoursite2_com.crt SSLCertificateKeyFile /path/to/www_yoursite2_com.key SSLCertificateChainFile /path/to/DigiCertCA.crt

Ако имате заместващ знак или многодомейнен SSL сертификат, всички уебсайтове, използващи същия сертификат, трябва да препратят към един и същ IP адрес в секцията IP адрес на VirtualHost:443, както в примера по-долу:

<VirtualHost 192.168.1.1:443> ServerName www.domain.com DocumentRoot /var/www/ SSLEngine на SSLCertificateFile /path/to/your_domain_name.crt SSLCertificateKeyFile /path/to/your_private.key SSLCertificateChainFile /path/to/DigiCertCA.crt<VirtualHost 192.168.1.1 :443> ServerName site2.domain.com DocumentRoot /var/www/site2 SSLEngine на SSLCertificateFile /path/to/your_domain_name.crt SSLCertificateKeyFile /path/to/your_private.key SSLCertificateChainFile /path/to/DigiCertCA.crt

Сега рестартирайте Apache и отворете https сайта от браузър, който поддържа SNI. Ако го настроите правилно, ще получите достъп до сайта без никакви предупреждения или проблеми. Можете да добавите толкова уебсайтове или SSL сертификати, колкото са ви необходими, като използвате горния процес.

PREV: Помощ, моля. Проблем за настройка на Oculus rift

NEXT: Поправка: Не може да се достигне до услугата за изпълнение на Oculus - Appuals.com