我有 SSL 憑證檔案：
- Root2023.crt
- t1.crt
- t1.pem
- t1.pk8
在我的 apache 上，我如何確定這些文件中的哪些應該用於 SSLCertificateFile、SSLCertificateKeyFile 和 SSLCertificateChainFile 等，
000-default.conf：
<VirtualHost *:80>
ServerAdmin webmaster@localhost
DocumentRoot /var/www/html
ErrorLog ${APACHE_LOG_DIR}/error.log
CustomLog ${APACHE_LOG_DIR}/access.log combined
</VirtualHost>
<VirtualHost *:443>
ServerAdmin webmaster@localhost
DocumentRoot /var/www/html
SSLEngine on
SSLCertificateFile /etc/ssl/t1.crt
SSLCertificateKeyFile /etc/ssl/t1.pem
SSLCertificateKeyFile /etc/ssl/t1.pk8
SSLCertificateChainFile /etc/ssl/Root2023.crt
ErrorLog ${APACHE_LOG_DIR}/error.log
CustomLog ${APACHE_LOG_DIR}/access.log combined
</VirtualHost>
我嘗試這個配置但不起作用
更新：
openssl x509 -in t1.pem -text -noout
openssl x509 -in t1.crt -text -noout
has similar output like this:
Certificate:
Data:
Version: 3 (0x2)
Serial Number: 508... (0x468dc...8)
Signature Algorithm: sha256WithRSAEncryption
Issuer: CN = rcii
Validity
Not Before: Feb 14 07:34:00 2023 GMT
Not After : Feb 14 07:34:00 2026 GMT
Subject: C = IR, ST = TEH, L = TEH, CN = 172.....
Subject Public Key Info:
Public Key Algorithm: rsaEncryption
Public-Key: (4096 bit)
Modulus:
00:c4:.....
Exponent: 65537 (0x10001)
X509v3 extensions:
X509v3 Basic Constraints: critical
CA:FALSE
X509v3 Key Usage:
Digital Signature, Non Repudiation, Key Encipherment, Data Encipherment, Key Agreement
X509v3 Extended Key Usage:
TLS Web Server Authentication, TLS Web Client Authentication
X509v3 Subject Alternative Name:
IP Address:172.....
Netscape Comment:
xca certificate
Signature Algorithm: sha256WithRSAEncryption
Signature Value:
34:bd:9
t1.pk8 有密碼短語
openssl rsa -in t1.pk8 -text -noout
輸出：
Private-Key: (4096 bit, 2 primes)
modulus:
00:c4:58:f7:e8:bf:ad:f1:f9:aa:33:e7:3c:b3:48:
publicExponent: 65537 (0x10001)
privateExponent:
65:a0:6b:08:84:15:c3:55:e7:3b:a0:27:31:e0:74:
prime1:
00:f2:e1:d3:4e:3f:2e:b3:69:60:cd:8c:8c:78:91:
prime2:
00:ce:f3:bd:36:44:6e:bd:ae:65:43:62:59:8a:ec:
af:03
exponent1:
00:e1:cd:10:a5:ae:17:bc:b4:3b:4a:dd:5f:ba:b7:
63:0d:e2:0b:18:93:35:8b:3c:df:4b:7e:d5:63:84:
75
exponent2:
1f:b9:21:21:f6:6f:7b:48:06:61:c3:eb:b1:ed:fc:
7d
coefficient:
37:ff:02:03:bf:37:c0:7f:6f:f8:a6:b1:51:9b:b3:
fd:cf:fd:49:e3:c5:fb:6d:47:79:a0:0e:2d:99:50:
eb
答案1
這mod_ssl每個參數的文檔都會告訴您預期的內容，這或多或少回答了您的問題。
私鑰
描述： 伺服器 PEM 編碼的私鑰文件
該指令指向伺服器的 PEM 編碼私鑰文件，或透過配置的加密令牌指向金鑰 ID。如果包含的私鑰已加密，則在啟動時強制使用密碼短語對話方塊。
其中t1.pk8包含此處所需的信息，但您可能希望刪除密碼，以便每次重新啟動 Apache 時都不會出現提示：
openssl rsa -in /etc/ssl/t1.pk8 -out /etc/ssl/t1.key
產生的文件應以-----BEGIN PRIVATE KEY----.
由於密鑰檔案不再受密碼保護，因此您應該使用檔案系統權限來保護它：
chown root:root /etc/ssl/t1.key
chmod 600 /etc/ssl/t1.key
憑證鏈
SSLCertificateChainFile在版本 2.4.8 中已過時，並SSLCertificateFile擴展為也可以從伺服器憑證檔案載入中間 CA 憑證。
這應該是不言自明的。從您的配置中完全刪除該指令。
SSLCertificateFile指示描述： 伺服器 PEM 編碼的 X.509 憑證資料檔案或令牌標識符
該指令指向具有 PEM 格式的憑證資料的文件，或透過配置的加密令牌的憑證識別碼。如果使用 PEM 文件，則該文件必須至少包含最終實體（葉）憑證。 - -
這些文件還可能包括從葉到根排序的中間 CA 證書。
如果您的t1.crt文件由 直接簽署，Root2023.crt並且Root2023.crt存在於客戶端的 CA 儲存中，您可以t1.crt按原樣使用。
如果您需要任何中間的證書，您應該建立一個組合文件，其中包含從葉到根的所有證書。如果Root2023.crt恰好是包含中間憑證的檔案並且兩者都已經是 PEM 格式，您可以將它們與以下內容結合：
cat /etc/ssl/t1.crt /etc/ssl/Root2023.crt > /etc/ssl/fullchain.pem
產生的文件結構應如下所示：
-----BEGIN CERTIFICATE-----
Base 64 encoded contents of the leaf certificate.
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
Base 64 encoded contents of an intermediate certificate.
-----END CERTIFICATE-----
接下來是所需數量的中間體（以及可選的 CA 憑證）。
配置
現在，如果這些說明適合您的需求並且您遵循了這些說明，您的配置將如下所示：
SSLEngine on
SSLCertificateFile /etc/ssl/fullchain.pem
SSLCertificateKeyFile /etc/ssl/t1.key