在尝试设置 Apache Web 服务器之前，请确保满足以下要求

在 openSUSE Leap 上，Apache 默认情况下未安装。要使用标准、预定义的配置进行安装，该配置可以“开箱即用”地运行，请按以下步骤操作

您可以自动在启动时启动 Apache，也可以手动启动它。

要确保 Apache 在 multi-user.target 和 graphical.target 目标期间启动，请执行以下命令

> sudo systemctl enable apache2.service

有关 openSUSE Leap 中 systemd 目标以及 YaST 服务管理器的描述的更多信息，请参阅 第 10.4 节，“使用 YaST 管理服务”。

要使用 shell 手动启动 Apache，请运行 systemctl start apache2.service。

现在 Web 服务器正在运行，您可以添加自己的文档，根据需要调整配置，或通过安装模块添加功能。

本节概述了 Apache 配置文件。如果您使用 YaST 进行配置，则无需触摸这些文件，但是这些信息对您以后切换到手动配置可能很有用。

Apache 配置文件位于两个不同的位置

/etc/apache2/
     |
     |- charset.conv
     |- conf.d/
     |   |
     |   |- *.conf
     |
     |- default-server.conf
     |- errors.conf
     |- global.conf
     |- httpd.conf
     |- listen.conf
     |- loadmodule.conf
     |- magic
     |- mime.types
     |- mod_*.conf
     |- protocols.conf
     |- server-tuning.conf
     |- ssl-global.conf
     |- ssl.*
     |- sysconfig.d
     |   |
     |   |- global.conf
     |   |- include.conf
     |   |- loadmodule.conf . .
     |
     |- uid.conf
     |- vhosts.d
     |   |- *.conf

手动配置 Apache 涉及编辑用户 root 的纯文本配置文件。

24.2.2.1 虚拟主机配置 #编辑源文件

术语 虚拟主机 指的是 Apache 能够从同一物理机器提供多个统一资源标识符 (URI)。这意味着由一台物理机器上的单个 Web 服务器运行多个域，例如 www.example.com 和 www.example.net。

使用虚拟主机是一种常见的做法，可以节省管理工作（只需要维护一台 Web 服务器）和硬件费用（每个域不需要专用服务器）。虚拟主机可以是基于名称的、基于 IP 的或基于端口的。

要列出所有现有的虚拟主机，请使用命令 apache2ctl -S。这将输出一个列表，显示默认服务器和所有虚拟主机以及它们的 IP 地址和监听端口。此外，该列表还包含一个条目，显示每个虚拟主机在配置文件中的位置。

可以通过 YaST（如 第 24.2.3.1.4 节，“虚拟主机” 中所述）或通过手动编辑配置文件来配置虚拟主机。默认情况下，openSUSE Leap 准备在 /etc/apache2/vhosts.d/ 中为每个虚拟主机创建一个配置文件。此目录中的所有以 .conf 结尾的文件都会自动包含到配置中。此目录中提供了一个基本虚拟主机模板（vhost.template 或 vhost-ssl.template 用于带有 SSL 支持的虚拟主机）。

提示：始终创建一个虚拟主机配置文件

建议始终创建一个虚拟主机配置文件，即使您的 Web 服务器仅托管一个域。通过这样做，您不仅将特定于域的配置放在一个文件中，而且可以通过简单地移动、删除或重命名虚拟主机配置文件来恢复到工作基本配置。出于相同的原因，您还应该为每个虚拟主机创建单独的配置文件。

在使用基于名称的虚拟主机时，建议设置一个默认配置，当域名与虚拟主机配置不匹配时使用。默认虚拟主机是首先加载的配置。由于配置文件顺序由文件名决定，因此请使用下划线字符（_）作为默认虚拟主机配置文件的名称开头，以确保它首先被加载（例如：_default_vhost.conf）。

<VirtualHost></VirtualHost> 块包含适用于特定域的信息。当 Apache 接收到对已定义虚拟主机的客户端请求时，它会使用此部分中包含的指令。几乎所有指令都可以在虚拟主机上下文中使用的。有关 Apache 配置指令的更多信息，请参阅 https://httpd.apache.ac.cn/docs/2.4/mod/quickreference.html。

24.2.2.1.1 基于名称的虚拟主机 #编辑源文件

使用基于名称的虚拟主机，每个 IP 地址可以提供多个网站。Apache 使用客户端发送的 HTTP 标头中的 host 字段将请求连接到其中一个虚拟主机声明的匹配 ServerName 条目。如果没有找到匹配的 ServerName，则第一个指定的虚拟主机将用作默认值。

第一步是为要提供的每个不同的基于名称的主机创建一个 <VirtualHost> 块。在每个 <VirtualHost> 块内，您至少需要一个 ServerName 指令来指定提供哪个主机，以及一个 DocumentRoot 指令来显示该主机的内容在文件系统中的位置。

示例 24.1： 基于名称的 VirtualHost 条目的基本示例 #

<VirtualHost *:80>
# This first-listed virtual host is also the default for *:80
ServerName www.example.com
ServerAlias example.com
DocumentRoot /srv/www/htdocs/domain
</VirtualHost>

<VirtualHost *:80>
ServerName other.example.com
DocumentRoot /srv/www/htdocs/otherdomain
</VirtualHost>

在基于名称的虚拟主机配置中，打开 VirtualHost 标签将 IP 地址（或完全限定域名）作为参数。端口号指令是可选的。

通配符 * 也可以用作 IP 地址的替代。在使用 IPv6 地址时，必须将地址包含在方括号中。

示例 24.2： 基于名称的 VirtualHost 指令 #

<VirtualHost 192.168.3.100:80>
  ...
</VirtualHost>

<VirtualHost 192.168.3.100>
  ...
</VirtualHost>

<VirtualHost *:80>
  ...
</VirtualHost>

<VirtualHost *>
  ...
</VirtualHost>

<VirtualHost [2002:c0a8:364::]>
  ...
</VirtualHost>

24.2.2.1.2 基于 IP 的虚拟主机 #编辑源文件

这种替代的虚拟主机配置需要为机器设置多个 IP 地址。一台 Apache 实例托管多个域，每个域分配不同的 IP。

物理服务器必须为每个基于 IP 的虚拟主机提供一个 IP 地址。如果机器没有多个网卡，也可以使用虚拟网络接口（IP 别名）。

以下示例显示了在 IP 192.168.3.100 上运行 Apache 的机器，在其他 IP 地址 192.168.3.101 和 192.168.3.102 上托管两个域。每个虚拟服务器都需要一个单独的 VirtualHost 块。

示例 24.3： 基于 IP 的 VirtualHost 指令 #

<VirtualHost 192.168.3.101>
  ...
</VirtualHost>

<VirtualHost 192.168.3.102>
  ...
</VirtualHost>

这里，VirtualHost 指令仅针对除 192.168.3.100 之外的接口指定。当也为 192.168.3.100 配置了 Listen 指令时，必须创建单独的基于 IP 的虚拟主机来响应对该接口的 HTTP 请求——否则将应用默认服务器配置 (/etc/apache2/default-server.conf) 中找到的指令。

24.2.2.1.3 基本虚拟主机配置 #编辑源文件

为了设置虚拟主机，每个虚拟主机配置中至少应包含以下指令。有关更多选项，请参阅 /etc/apache2/vhosts.d/vhost.template。

ServerName

应将主机置于哪个完全限定域名下。

DocumentRoot

Apache 应该为该主机提供文件的目录路径。出于安全原因，默认情况下禁止访问整个文件系统，因此您必须在 Directory 容器内显式解锁此目录。

ServerAdmin

服务器管理员的电子邮件地址。此地址例如显示在 Apache 创建的错误页面上。

ErrorLog

此虚拟主机的错误日志文件。虽然不必为每个虚拟主机创建单独的错误日志文件，但这样做是一种常见的做法，因为它使调试错误更容易。 /var/log/apache2/ 是 Apache 日志文件的默认目录。

CustomLog

此虚拟主机的访问日志文件。虽然不必为每个虚拟主机创建单独的访问日志文件，但这样做是一种常见的做法，因为它允许对每个主机的访问统计信息进行单独分析。 /var/log/apache2/ 是 Apache 日志文件的默认目录。

如上所述，出于安全原因，默认情况下禁止访问整个文件系统。因此，显式解锁您放置 Apache 应该提供文件的目录，例如 DocumentRoot

<Directory "/srv/www/www.example.com/htdocs">
  Require all granted
</Directory>

注意：Require all granted

在 Apache 的早期版本中，语句 Require all granted 表示为

Order allow,deny
Allow from all

此旧语法仍然受 mod_access_compat 模块的支持。

完整的配置文件如下所示

示例 24.4： 基本 VirtualHost 配置 #

<VirtualHost 192.168.3.100>
  ServerName www.example.com
  DocumentRoot /srv/www/www.example.com/htdocs
  ServerAdmin webmaster@example.com
  ErrorLog /var/log/apache2/www.example.com_log
  CustomLog /var/log/apache2/www.example.com-access_log common
  <Directory "/srv/www/www.example.com/htdocs">
  Require all granted
  </Directory>
</VirtualHost>

要使用 YaST 配置 Web 服务器，请启动 YaST 并选择 网络服务 › HTTP 服务器。首次启动模块时，将启动 HTTP 服务器向导，提示您就服务器管理做出一些基本决策。完成向导后，每次调用 HTTP 服务器 模块时，将启动 HTTP 服务器配置 对话框。有关更多信息，请参阅 第 24.2.3.2 节，“HTTP 服务器配置”。

24.2.3.1 HTTP 服务器向导 #编辑源文件

HTTP 服务器向导由五个步骤组成。在对话框的最后一步中，您可以进入专家配置模式以进行更具体的设置。

24.2.3.1.1 网络设备选择 #编辑源文件

在这里，指定 Apache 用于侦听传入请求的网络接口和端口。您可以选择任何现有网络接口及其各自的 IP 地址的组合。可以从所有三个范围（知名端口、已注册端口和动态或专用端口）使用未被其他服务保留的端口。默认设置是在所有网络接口（IP 地址）的端口 80 上侦听。

选中 在防火墙中打开端口，以在 Web 服务器侦听的防火墙中打开端口。这对于使 Web 服务器在网络上可用（可以是 LAN、WAN 或公共互联网）是必要的。仅在测试情况下，不需要对 Web 服务器的外部访问时，才保持端口关闭是有用的。如果您有多个网络接口，请单击 防火墙详细信息 以指定应在哪个接口上打开端口。

单击 下一步 以继续配置。

24.2.3.1.2 模块 #编辑源文件

模块 配置选项允许激活或停用 Web 服务器应支持的脚本语言。要激活或停用其他模块，请参阅 第 24.2.3.2.2 节，“服务器模块”。单击 下一步 以进入下一个对话框。

24.2.3.1.3 默认主机 #编辑源文件

此选项与默认 Web 服务器有关。如 第 24.2.2.1 节，“虚拟主机配置” 中所述，Apache 可以从一台物理机器提供多个虚拟主机。配置文件中首先声明的虚拟主机通常称为 默认主机。每个虚拟主机继承默认主机的配置。

要编辑主机设置（也称为 指令），请在表中选择相应的条目，然后单击 编辑。要添加新指令，请单击 添加。要删除指令，请选择它并单击 删除。

图 24.1： HTTP 服务器向导：默认主机 #

以下是服务器的默认设置列表

文档根目录

Apache 提供此主机文件的目录路径。 /srv/www/htdocs 是默认位置。

别名

使用 Alias 指令，可以将 URL 映射到文件系统位置。这意味着即使在文件系统中的 DocumentRoot 之外的某个路径也可以通过将该路径别名的 URL 访问。

默认 openSUSE Leap Alias /icons 指向 /usr/share/apache2/icons，用于在目录索引视图中显示的 Apache 图标。

ScriptAlias

与 Alias 指令类似，ScriptAlias 指令将 URL 映射到文件系统位置。不同之处在于，ScriptAlias 将目标目录指定为 CGI 位置，这意味着在该位置应执行 CGI 脚本。

目录

使用 Directory 设置，您可以封闭仅适用于指定目录的配置选项组。

此处配置了目录 /srv/www/htdocs、/usr/share/apache2/icons 和 /srv/www/cgi-bin 的访问和显示选项。通常不需要更改默认值。

包含

使用 include，可以指定其他配置文件。预配置了两个 Include 指令：/etc/apache2/conf.d/ 是包含来自外部模块的配置文件的目录。使用此指令，所有以 .conf 结尾的该目录中的文件都将被包含。使用第二个指令，/etc/apache2/conf.d/apache2-manual.conf，将包含 apache2-manual 配置文件。

服务器名称

这指定了客户端用于联系 Web 服务器的默认 URL。使用完全限定域名 (FQDN) 来访问 Web 服务器 http://FQDN/ 或其 IP 地址。您不能在此处选择任意名称——服务器必须以该名称 “已知”。

服务器管理员电子邮件

服务器管理员的电子邮件地址。此地址例如显示在 Apache 创建的错误页面上。

完成 默认主机 步骤后，单击 下一步 以继续配置。

24.2.3.1.4 虚拟主机 #编辑源文件

在此步骤中，向导将显示已配置的虚拟主机列表（请参阅 第 24.2.2.1 节，“虚拟主机配置”）。如果您在启动 YaST HTTP 向导之前没有进行手动更改，则不存在虚拟主机。

要添加主机，请单击 添加 以打开一个对话框，您可以在其中输入有关主机的基本信息，例如 服务器名称、服务器内容根目录 (DocumentRoot) 和 管理员电子邮件。 服务器解析 用于确定如何识别主机（基于名称或基于 IP）。使用 更改虚拟主机 ID 指定名称或 IP 地址

单击 下一步 将进入虚拟主机配置对话框的第二部分。

在虚拟主机配置的第二部分，您可以指定是否启用 CGI 脚本以及使用哪个目录来存储这些脚本。还可以启用 SSL。如果这样做，则必须指定证书的路径。有关 SSL 和证书的详细信息，请参阅 第 24.6.2 节，“使用 SSL 配置 Apache”。使用 目录索引 选项，您可以指定在客户端请求目录时显示哪个文件（默认情况下，index.html）。要更改此设置，请添加一个或多个文件名（用空格分隔）。使用 启用公共 HTML，用户的公共目录 (~USER/public_html/) 的内容将通过 http://www.example.com/~USER 在服务器上提供。

重要提示：创建虚拟主机

无法随意添加虚拟主机。如果使用基于名称的虚拟主机，则每个主机名必须在网络上解析。如果使用基于 IP 的虚拟主机，则只能将一个主机分配给每个可用的 IP 地址。

24.2.3.1.5 摘要 #编辑源文件

这是向导的最后一步。在这里，确定 Apache 服务器的启动方式和时间：启动时或手动启动。同时，查看迄今为止所做的配置的简短摘要。如果您对您的设置感到满意，请单击 完成 以完成配置。要更改某些内容，请单击 返回，直到您到达所需的对话框。单击 HTTP 服务器专家配置 将打开 第 24.2.3.2 节，“HTTP 服务器配置” 中描述的对话框。

图 24.2： HTTP 服务器向导：摘要 #

24.2.3.2 HTTP 服务器配置 #编辑源文件

“HTTP 服务器配置”对话框还允许您对配置进行比向导（仅在首次配置 Web 服务器时运行）更多的调整。它由以下四个选项卡组成。您所做的任何配置更改都不会立即生效——您始终必须使用 完成 确认您的更改才能使其生效。单击 中止 将离开配置模块并丢弃您的更改。

24.2.3.2.1 监听端口和地址 #编辑源文件

在 HTTP 服务 中，选择 Apache 是否应运行 (启用) 或停止 (禁用)。在 监听端口 中，添加、编辑 或 删除 服务器应可用的地址和端口。默认情况下，监听所有接口上的端口 80。您应始终选中 在防火墙中打开端口，因为否则 Web 服务器将无法从外部访问。仅在测试情况下，不需要对 Web 服务器的外部访问时，才应保持端口关闭。如果您有多个网络接口，请单击 防火墙详细信息 以指定应在哪个接口上打开端口。

使用 日志文件，可以监视访问日志文件或错误日志文件。如果您想测试您的配置，这将很有用。日志文件将在一个单独的窗口中打开，您还可以从该窗口重新启动或重新加载 Web 服务器。有关详细信息，请参阅 第 24.3 节，“启动和停止 Apache”。这些命令立即生效，并且其日志消息也会立即显示。

图 24.3： HTTP 服务器配置：监听端口和地址 #

24.2.3.2.2 服务器模块 #编辑源文件

通过单击 切换状态，可以更改 Apache2 模块的状态（启用或禁用）。单击 添加模块 以添加一个已安装但尚未列出的新模块。有关模块的详细信息，请参阅 第 24.4 节，“安装、激活和配置模块”。

图 24.4： HTTP 服务器配置：服务器模块 #

24.2.3.2.3 主主机或主机 #编辑源文件

这些对话框与已经描述的对话框相同。请参阅 第 24.2.3.1.3 节，“默认主机” 和 第 24.2.3.1.4 节，“虚拟主机”。

如果您执行了如 第 24.1.2 节，“安装” 中所述的默认安装，则已经安装了以下模块：所有基础和扩展模块、多进程模块 Prefork MPM 以及外部模块 mod_python。

您可以通过启动 YaST 并选择 软件 › 软件管理 来安装其他外部模块。现在选择 查看 › 搜索 并搜索 apache。在结果列表中，包含所有可用的外部 Apache 模块。

手动或使用 YaST 激活或停用特定模块。在 YaST 中，脚本语言模块（PHP 8 和 Python）需要使用 第 24.2.3.1 节，“HTTP 服务器向导” 中描述的模块配置来启用或禁用。所有其他模块可以按照 第 24.2.3.2.2 节，“服务器模块” 中所述的方式启用或禁用。

如果您希望手动激活或停用模块，请使用命令 a2enmod MODULE 或 a2dismod MODULE。 a2enmod -l 输出当前所有已激活模块的列表。

重要：包含外部模块的配置文件

如果您手动激活了外部模块，请确保在所有虚拟主机配置中加载其配置文件。外部模块的配置文件位于 /etc/apache2/conf.d/ 中，默认在 /etc/apache2/default-server.conf 中加载。为了更精细的控制，您可以取消在 /etc/apache2/default-server.conf 中包含的注释，并仅将其添加到特定的虚拟主机中。请参阅 /etc/apache2/vhosts.d/vhost.template 以获取示例。

所有基础和扩展模块都在 Apache 文档中进行了详细描述。此处仅提供对最重要模块的简要描述。请参阅 https://httpd.apache.ac.cn/docs/2.4/mod/ 以了解有关每个模块的详细信息。

openSUSE Leap 提供两种不同的多进程模块 (MPM) 供 Apache 使用

24.4.4.1 Prefork MPM #编辑源文件

Prefork MPM 实现了一个非线程化的、预分叉的 Web 服务器。它使 Web 服务器的行为类似于 Apache 1.x 版本。在此版本中，它隔离每个请求并由单独的子进程分叉来处理它。因此，有问题请求不会影响其他请求，从而避免 Web 服务器锁定。

虽然通过这种基于进程的方法提供稳定性，但 Prefork MPM 比其对应模块 Worker MPM 消耗更多的系统资源。Prefork MPM 被认为是基于 Unix 的操作系统的默认 MPM。

重要：本文档中的 MPM

本文档假定 Apache 使用 Prefork MPM。

24.4.4.2 Worker MPM #编辑源文件

Worker MPM 提供了一个多线程 Web 服务器。线程是进程的“较轻”形式。线程相对于进程的优势在于其较低的资源消耗。Worker MPM 不仅分叉子进程，还使用线程和服务器进程来服务请求。预分叉的子进程是多线程的。这种方法通过消耗比 Prefork MPM 更少的系统资源来提高 Apache 的性能。

一个主要缺点是 Worker MPM 的稳定性：如果一个线程损坏，则该进程的所有线程都可能受到影响。在最坏的情况下，这可能导致服务器崩溃。尤其是在高负载下使用 Apache 的通用网关接口 (CGI) 时，由于线程无法与系统资源通信，可能会发生内部服务器错误。另一个反对在 Worker MPM 中使用 Apache 的论点是，并非所有可用的 Apache 模块都是线程安全的，因此无法与 Worker MPM 一起使用。

警告：使用 PHP 模块与 MPM

并非所有可用的 PHP 模块都是线程安全的。强烈建议不要使用 Worker MPM 与 mod_php。

在此处查找随 openSUSE Leap 提供的所有外部模块的列表。在列出的目录中查找模块的文档。

Apache 可以通过高级用户编写自定义模块来扩展。要为 Apache 开发模块或编译第三方模块，需要 apache2-devel 软件包以及相应的开发工具。 apache2-devel 还包含 apxs2 工具，这些工具对于为 Apache 编译其他模块是必需的。

apxs2 能够从源代码（包括对配置文件的必要更改）编译和安装模块，从而创建可以在运行时加载到 Apache 中的动态共享对象 (DSO)。

apxs2 二进制文件位于 /usr/sbin

使用以下命令从源代码安装和激活模块

> sudo cd /path/to/module/source
> sudo apxs2 -cia MODULE.c

其中 -c 编译模块，-i 安装模块，-a 激活模块。 apxs2 的其他选项在 apxs2(1) man 页中描述。

在 openSUSE Leap 中，CGI 脚本的执行仅允许在目录 /srv/www/cgi-bin/ 中进行。此位置已配置为执行 CGI 脚本。如果您创建了虚拟主机配置（请参阅 第 24.2.2.1 节，“虚拟主机配置”）并希望将脚本放在特定于主机的目录中，则必须解锁并配置此目录。

ScriptAlias /cgi-bin/ "/srv/www/www.example.com/cgi-bin/"1

<Directory "/srv/www/www.example.com/cgi-bin/">
 Options +ExecCGI2
 AddHandler cgi-script .cgi .pl3
 Require all granted4
</Directory>

CGI 编程与“常规”编程的不同之处在于，CGI 程序和脚本必须以 MIME 类型标头开头，例如 Content-type: text/html。此标头发送给客户端，以便客户端了解它接收到的内容类型。其次，脚本的输出必须是客户端（通常是 Web 浏览器）可以理解的内容——HTML 或纯文本或图像，例如。

Apache 包中的一个简单测试脚本位于 /usr/share/doc/packages/apache2/test-cgi。它以纯文本形式输出某些环境变量的内容。将此脚本复制到 /srv/www/cgi-bin/ 或虚拟主机的脚本目录（/srv/www/www.example.com/cgi-bin/）并将其命名为 test.cgi。将文件编辑为以 #!/bin/sh 作为第一行。

Web 服务器可访问的文件应由用户 root 拥有。有关更多信息，请参阅 第 24.8 节，“避免安全问题”。由于 Web 服务器以不同的用户身份运行，因此 CGI 脚本必须是世界可执行和世界可读的。更改到 CGI 目录并使用命令 chmod 755 test.cgi 应用适当的权限。

现在调用 https:///cgi-bin/test.cgi 或 http://www.example.com/cgi-bin/test.cgi。你应该看到“CGI/1.0 测试脚本报告”。

如果您没有看到测试程序的输出，而是看到错误消息，请检查以下内容

要使用 Web 服务器的 TLS/SSL，您需要创建一个 SSL 证书。此证书是 Web 服务器和客户端之间授权所必需的，以便双方可以识别对方。为了确保证书的完整性，必须由每个用户信任的方对其进行签名。

您可以创建三种类型的证书：仅用于测试目的的“测试”证书，为信任您的特定用户群提供的自签名证书，以及由独立的、公开已知的证书颁发机构 (CA) 签名的证书。

创建证书是一个两步过程。首先，生成证书颁发机构的私钥，然后使用此密钥对服务器证书进行签名。

提示：更多信息

要了解有关 TLS/SSL 概念和定义的更多信息，请参阅 https://httpd.apache.ac.cn/docs/2.4/ssl/ssl_intro.html。

24.6.1.1 创建“测试”证书 #编辑源文件

要生成测试证书，请调用脚本 `/usr/bin/gensslcert`。它会创建或覆盖以下文件。使用 `gensslcert` 的可选开关来微调证书。调用 `/usr/bin/gensslcert` `-h` 以获取更多信息。

• /etc/apache2/ssl.crt/ca.crt

• /etc/apache2/ssl.crt/server.crt

• /etc/apache2/ssl.key/server.key

• /etc/apache2/ssl.csr/server.csr

`ca.crt` 的副本也放置在 `/srv/www/htdocs/CA.crt` 以供下载。

重要提示：仅用于测试目的

测试证书绝不能在生产系统中使用。仅将其用于测试目的。

24.6.1.2 创建自签名证书 #编辑源文件

如果您正在为内联网或为信任您的特定用户群设置安全的 Web 服务器，则使用您自己的证书颁发机构 (CA) 对证书进行签名就足够了。访问此类网站的访问者会看到类似“此站点不受信任”的警告，因为 Web 浏览器不识别自签名证书。

重要提示：自签名证书

仅在 Web 服务器由知道并信任您作为证书颁发机构的人员访问时才使用自签名证书。例如，不建议在公共商店中使用此类证书。

首先，您需要生成一个证书签名请求 (CSR)。您将使用 `openssl`，证书格式为 `PEM`。在此步骤中，系统会要求您输入密码，并回答几个问题。请记住您输入密码，因为将来需要它。

> sudo openssl req -new > new.cert.csr
Generating a 1024 bit RSA private key
..++++++
.........++++++
writing new private key to 'privkey.pem'
Enter PEM pass phrase:1
Verifying - Enter PEM pass phrase:2
-----
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:3
State or Province Name (full name) [Some-State]:4
Locality Name (eg, city) []:5
Organization Name (eg, company) [Internet Widgits Pty Ltd]:6
Organizational Unit Name (eg, section) []:7
Common Name (for example server FQDN, or YOUR name) []:8
Email Address []:9

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:10
An optional company name []:11

1	填写您的密码。
2	再次填写它（并记住它）。
3	填写您的两位字母国家/地区代码，例如 `GB` 或 `CZ`。
4	填写您居住的州/省名称。
5	填写城市名称，例如 `Prague`。
6	填写您工作的组织名称。
7	填写您的组织单位，或者如果您没有组织单位，则留空。
8	填写服务器的域名，或您的名字和姓氏。
9	填写您的工作电子邮件地址。
10	将挑战密码留空，否则每次重新启动 Apache Web 服务器时都需要输入它。
11	填写可选的公司名称，或留空。

现在您可以生成证书了。您将再次使用 `openssl`，证书格式为默认的 `PEM`。

Procedure 24.3: 生成证书 #

1. 将密钥的私有部分导出到 `new.cert.key`。系统会提示您输入创建证书签名请求 (CSR) 时输入的密码。

   > sudo openssl rsa -in privkey.pem -out new.cert.key

2. 根据您在签名请求中填写的信息生成证书的公共部分。`-days` 选项指定证书到期之前的时间长度。您可以撤销证书，或在到期之前更换一个。

   > sudo openssl x509 -in new.cert.csr -out new.cert.cert -req \
   -signkey new.cert.key -days 365

3. 将证书文件复制到相关目录，以便 Apache 服务器可以读取它们。确保私钥 `/etc/apache2/ssl.key/server.key` 不可被全局读取，而公共 PEM 证书 `/etc/apache2/ssl.crt/server.crt` 可以被读取。

   > sudo cp new.cert.cert /etc/apache2/ssl.crt/server.crt
   > sudo cp new.cert.key /etc/apache2/ssl.key/server.key

提示：公共证书位置

最后一步是将公共证书文件从 `/etc/apache2/ssl.crt/server.crt` 复制到用户可以访问的位置，以便将其合并到 Web 浏览器中已知和受信任的 CA 列表中。否则，浏览器会抱怨证书是由未知机构颁发的。

> openssl req -new -newkey rsa:2048 -nodes -keyout newkey.pem -out newreq.pem

Web 服务器侧 TLS/SSL 请求的默认端口是 443。在侦听端口 80 的“常规”Apache 和侦听端口 443 的 TLS/SSL 启用的 Apache 之间没有冲突。实际上，HTTP 和 HTTPS 可以在同一个 Apache 实例上运行。通常使用单独的虚拟主机将请求分派到端口 80 和端口 443，以分派到单独的虚拟服务器。

重要提示：防火墙配置

不要忘记为 SSL 启用的 Apache 在端口 443 上打开防火墙。可以使用 `firewalld` 执行此操作，如“安全和加固指南”第 23 章“伪装和防火墙”第 23.4.1 节“在命令行上配置防火墙”中所述。

SSL 模块在全局服务器配置中默认启用。如果它在您的主机上已被禁用，请使用以下命令激活它：`a2enmod ssl`。要最终启用 SSL，需要使用标志“SSL”启动服务器。为此，调用 `a2enflag SSL`（区分大小写！）。如果您选择使用密码加密服务器证书，还应增加 `/etc/sysconfig/apache2` 中 `APACHE_TIMEOUT` 的值，以便在 Apache 启动时有足够的时间输入密码。重新启动服务器以使这些更改生效。重新加载是不够的。

虚拟主机配置目录包含一个带有 SSL 特定指令的模板 `/etc/apache2/vhosts.d/vhost-ssl.template`，这些指令有详细的文档说明。请参阅第 24.2.2.1 节“虚拟主机配置”，了解常规虚拟主机配置。

要开始，将模板复制到 `/etc/apache2/vhosts.d/MYSSL-HOST.conf` 并对其进行编辑。调整以下指令的值就足够了

24.6.2.1 基于名称的虚拟主机和 SSL #编辑源文件

默认情况下，在仅有一个 IP 地址的服务器上运行多个 SSL 启用的虚拟主机是不可能的。基于名称的虚拟主机要求 Apache 知道请求了哪个服务器名称。SSL 连接的问题在于，只有在 SSL 连接已经建立（通过默认虚拟主机）后才能读取此类请求。因此，用户会收到一条警告消息，指出证书与服务器名称不匹配。

openSUSE Leap 附带了 SSL 协议的扩展，称为服务器名称指示 (SNI)，它通过在 SSL 协商期间发送虚拟域的名称来解决此问题。这使服务器能够尽早“切换”到正确的虚拟域，并向浏览器呈现正确的证书。

SNI 在 openSUSE Leap 上默认启用。要启用基于名称的虚拟主机进行 SSL，请按照第 24.2.2.1.1 节“基于名称的虚拟主机”中的描述进行配置（您需要使用端口 443 而不是 SSL 的端口 80）。

重要提示：SNI 浏览器支持

客户端也必须支持 SNI。但是，大多数浏览器都支持 SNI，除了某些旧浏览器。有关更多信息，请参阅 https://en.wikipedia.org/wiki/Server_Name_Indication#Support。

要配置非 SNI 功能浏览器的处理，请使用指令 `SSLStrictSNIVHostCheck`。如果将其设置为服务器配置中的 `on`，则所有虚拟主机的所有非 SNI 功能浏览器将被拒绝。如果将其设置为 `VirtualHost` 指令中的 `on`，则将拒绝对该特定主机的访问。

如果将其设置为服务器配置中的 `off`，则服务器将表现得好像没有 SNI 支持。SSL 请求将由第一个定义的虚拟主机（端口 443）处理。

如果在 Apache 软件中发现漏洞，SUSE 将发布安全公告。它包含修复漏洞的说明，这些说明应尽可能应用。SUSE 安全公告可在以下位置获取

默认情况下，在 openSUSE Leap 中，DocumentRoot 目录 /srv/www/htdocs 和 CGI 目录 /srv/www/cgi-bin 属于用户和组 root。您不应更改这些权限。如果这些目录对所有人都是可写的，任何用户都可以将文件放入其中。然后，这些文件可能会以 wwwrun 的权限被 Apache 执行，这可能会给用户提供对文件系统资源的意外访问权限。使用 /srv/www 的子目录来放置虚拟主机的 DocumentRoot 和 CGI 目录，并确保目录和文件属于用户和组 root。

默认情况下，在 /etc/apache2/httpd.conf 中拒绝对整个文件系统的访问。您永远不应覆盖这些指令，而应专门启用 Apache 应该能够读取的所有目录的访问权限。有关详细信息，请参阅 第 24.2.2.1.3 节，“基本虚拟主机配置”。在这样做时，请确保无法从外部读取任何关键文件，例如密码或系统配置文件。

PHP、SSI 或任何其他编程语言中的交互式脚本可以运行任意命令，因此存在一般的安全问题。应仅从服务器管理员信任的来源安装将在服务器上执行的脚本——允许用户运行自己的脚本通常不是一个好主意。建议对所有脚本进行安全审核。

为了使脚本管理尽可能容易，通常的做法是将 CGI 脚本的执行限制到特定目录，而不是全局允许它们。指令 ScriptAlias 和 Option ExecCGI 用于配置。 openSUSE Leap 默认配置不允许从任何地方执行 CGI 脚本。

所有 CGI 脚本都以相同的用户身份运行，因此不同的脚本可能会相互冲突。suEXEC 模块允许您以不同的用户和组身份运行 CGI 脚本。

在启用用户目录（使用 mod_userdir 或 mod_rewrite）时，您应强烈考虑不允许 .htaccess 文件，这将允许用户覆盖安全设置。至少您应使用指令 AllowOverRide 限制用户的参与度。在 openSUSE Leap 中，默认情况下启用 .htaccess 文件，但用户在使用 mod_userdir 时不允许覆盖任何 Option 指令（请参阅 /etc/apache2/mod_userdir.conf 配置文件）。

有关 Apache 2.4 中的新功能列表，请参阅 https://httpd.apache.ac.cn/docs/2.4/new_features_2_4.html。有关从版本 2.2 升级到 2.4 的信息，请参阅 https://httpd.apache.ac.cn/docs/2.4/upgrading.html。

有关在 第 24.4.5 节，“外部模块” 中简要描述的外部 Apache 模块的更多信息，请访问以下位置

有关开发 Apache 模块或参与 Apache Web 服务器项目的更多信息，请访问以下位置