关于centos版本https错误的求助！

寻道之旅

大家好，我在用centos做http的时候没出问题，[root@server ssl]# curl http://www.rj.com                             
                                                                                                Welcome to 2019 Computer Network Application contest!   
                          但在做https的时候验证出现问题[root@server ssl]# curl https://www.rj.com                                                                                                                                                                                                                                                                                                                                                                                                                                 curl: (35) SSL received a record that exceeded the maximum permissible length.     
                   我基本上是按文档做的，个别的不太一样，但大体相同，求各位帮忙解决一下啊！！！！！！ 文档.txt (7.68 KB, 下载次数: 1)

2019-11-19 16:25 上传

点击文件名下载附件

寻道之旅

第一次发，不知道文档要币的，怎么不收币啊

寻道之旅

这个是文档

寻道之旅

示例：配置http和https虚拟主机站点，仅监听192.168.101.22地址，站点根目录为/data/web_data
                                        软件包安装
                                        [root@node01 ~]# yum install httpd mod_ssl -y
                                       
                                        服务配置
                                        [root@node01 ~]# sed -i 's/Listen 80/#Listen 80/g' /etc/httpd/conf/httpd.conf
                                        [root@node01 ~]# mv /etc/httpd/conf.d/ssl.conf /etc/httpd/conf.d/ssl.conf.bak
                                        [root@node01 ~]# vim /etc/httpd/conf.d/virthost.conf
                                                Listen 192.168.101.22:80
                                                <VirtualHost 192.168.101.22:80>
                                                        ServerName www.rj.com
                                                        DocumentRoot "/data/web_data"
                                                        DirectoryIndex  index.html
                                                        <Directory "/data/web_data">   
                                                                Require all granted      
                                                        </Directory>
                                                </VirtualHost>

                                                Listen 192.168.101.22:443
                                                <VirtualHost 192.168.101.22:443>
                                                        ServerName www.rj.com
                                                        DocumentRoot "/data/web_data"
                                                        DirectoryIndex  index.html
                                                        SSLEngine ON      SSL功能打开
                                                        SSLCertificateFile "/etc/httpd/ssl/httpd.crt"   证书文件
                                                        SSLCertificateKeyFile "/etc/httpd/ssl/httpd.key"   私钥文件
                                                        <Directory "/data/web_data">
                                                                Require all granted
                                                        </Directory>
                                                </VirtualHost>
                                        [root@node01 ~]#
                                       
                                        证书申请
                                        [root@node01 ~]# mkdir /etc/httpd/ssl
                                        [root@node01 ~]# cd /etc/httpd/ssl
                                        [root@node01 ssl]# (umask 077; openssl genrsa -out httpd.key 2048)
                                                Generating RSA private key, 2048 bit long modulus
                                                .....................................................................................................+++
                                                ...............................+++
                                                e is 65537 (0x10001)
                                        [root@node01 ssl]# openssl req -new -key httpd.key -out httpd.csr -days 365
                                                You are about to be asked to enter information that will be incorporated
                                                into your certificate request.
                                                What you are about to enter is what is called a Distinguished Name or a DN.
                                                There are quite a few fields but you can leave some blank
                                                For some fields there will be a default value,
                                                If you enter '.', the field will be left blank.
                                                -----
                                                Country Name (2 letter code) [XX]:CN
                                                State or Province Name (full name) []:GD
                                                Locality Name (eg, city) [Default City]:GZ
                                                Organization Name (eg, company) [Default Company Ltd]:rj.com
                                                Organizational Unit Name (eg, section) []:it
                                                Common Name (eg, your name or your server's hostname) []:www.rj.com
                                                Email Address []:

                                                Please enter the following 'extra' attributes
                                                to be sent with your certificate ruest
                                                A challenge password []:
                                                An optional company name []:
                                        [root@node01 ssl]#
                                       
                                        拷贝请求证书到CA服务器
                                        [root@node01 ssl]# scp httpd.csr 192.168.101.33:/root
                                                The authenticity of host '192.168.101.33 (192.168.101.33)' can't be established.
                                                ECDSA key fingerprint is SHA256:AmZ3Lj7MRaZDHUxg+IjXNXjDkx3DmqJwrxxbg1weoU4.
                                                ECDSA key fingerprint is MD5:1b:ea:97:65:8d:55:4a:28:e5:ce:2d:27:d0:75:b9:05.
                                                Are you sure you want to continue connecting (yes/no)? yes
                                                Warning: Permanently added '192.168.101.33' (ECDSA) to the list of known hosts.
                                                httpd.csr                                        100%  985     1.2MB/s   00:00   
                                        [root@node01 ssl]#


                                        CA配置
                                        [root@node02 ~]# (umask 077 ; openssl genrsa -out /etc/pki/CA/private/cakey.pem 2048)
                                                Generating RSA private key, 2048 bit long modulus
                                                .................................................................................................................+++
                                                ..........................................+++
                                                e is 65537 (0x10001)
                                                [root@node02 ~]# openssl req -new -x509 -key /etc/pki/CA/private/cakey.pem -out  /etc/pki/CA/cacert.pem
                                                You are about to be asked to enter information that will be incorporated
                                                into your certificate request.
                                                What you are about to enter is what is called a Distinguished Name or a DN.
                                                There are quite a few fields but you can leave some blank
                                                For some fields there will be a default value,
                                                If you enter '.', the field will be left blank.
                                                -----
                                                Country Name (2 letter code) [XX]:CN
                                                State or Province Name (full name) []:GD
                                                Locality Name (eg, city) [Default City]:GZ
                                                Organization Name (eg, company) [Default Company Ltd]:rj.com
                                                Organizational Unit Name (eg, section) []:it
                                                Common Name (eg, your name or your server's hostname) []:ca.rj.com
                                                Email Address []:
                                        [root@node02 ~]# touch /etc/pki/CA/index.txt
                                        [root@node02 ~]# echo 01 > /etc/pki/CA/serial
                                       
                                        签署httpd证书
                                        [root@node02 ~]# openssl ca -in httpd.csr -out httpd.crt
                                                Using configuration from /etc/pki/tls/openssl.cnf
                                                Check that the request matches the signature
                                                Signature ok
                                                Certificate Details:
                                                                Serial Number: 1 (0x1)
                                                                Validity
                                                                        Not Before: May 29 14:49:56 2019 GMT
                                                                        Not After : May 28 14:49:56 2020 GMT
                                                                Subject:
                                                                        countryName               = CN
                                                                        stateOrProvinceName       = GD
                                                                        organizationName          = rj.com
                                                                        organizationalUnitName    = it
                                                                        commonName                = www.rj.com
                                                                X509v3 extensions:
                                                                        X509v3 Basic Constraints:
                                                                                CA:FALSE
                                                                        Netscape Comment:
                                                                                OpenSSL Generated Certificate
                                                                        X509v3 Subject Key Identifier:
                                                                                1B:83:2A:81:B1:D8:DC:42:E5:CE:4D:5C:5F:E8:27:FC:A6:68:C3:5F
                                                                        X509v3 Authority Key Identifier:
                                                                                keyid:65:C4:73:4C:50:01:77:F7:D6:FD:B7:0E:00:F7:55:50:C4:FB:07:75

                                                Certificate is to be certified until May 28 14:49:56 2020 GMT (365 days)
                                                Sign the certificate? [y/n]:y


                                                1 out of 1 certificate requests certified, commit? [y/n]y
                                                Write out database with 1 new entries
                                                Data Base Updated
                                        [root@node02 ~]#
                                       
                                        拷贝签署好的证书
                                        [root@node02 ~]# scp httpd.crt 192.168.101.22:/etc/httpd/ssl
                                                httpd.crt                            100% 4401     4.9MB/s   00:00   
                                        [root@node02 ~]#
                                       
                                        启动服务
                                        [root@node01 ~]# systemctl start httpd
                                        [root@node01 ~]# systemctl status httpd
                                                ● httpd.service - The Apache HTTP Server
                                                   Loaded: loaded (/usr/lib/systemd/system/httpd.service; disabled; vendor preset: disabled)
                                                   Active: active (running) since 三 2019-05-29 22:55:28 CST; 6s ago
                                                         Docs: man:httpd(8)
                                                                   man:apachectl(8)
                                                  Process: 9246 ExecStop=/bin/kill -WINCH ${MAINPID} (code=exited, status=1/FAILURE)
                                                 Main PID: 9259 (httpd)
                                                   Status: "Processing requests..."
                                                   CGroup: /system.slice/httpd.service
                                                                   ├─9259 /usr/sbin/httpd -DFOREGROUND
                                                                   ├─9260 /usr/sbin/httpd -DFOREGROUND
                                                                   ├─9261 /usr/sbin/httpd -DFOREGROUND
                                                                   ├─9262 /usr/sbin/httpd -DFOREGROUND
                                                                   ├─9263 /usr/sbin/httpd -DFOREGROUND
                                                                   └─9264 /usr/sbin/httpd -DFOREGROUND

                                                5月 29 22:55:28 node01.zsjshao.com systemd[1]: Starting The Apache HTTP Server...
                                                5月 29 22:55:28 node01.zsjshao.com systemd[1]: Started The Apache HTTP Server.
                                        [root@node01 ~]#
                                       
                                        提供主页内容
                                        [root@node01 ~]# echo 'Welcome to 2019 Computer Network Application contest!' > /data/web_data/index.html
                                        [root@node01 ~]# curl http://www.rj.com
                                                Welcome to 2019 Computer Network Application contest!
                                        [root@node01 ~]#
                                       
                                        导入CA证书，请求https内容
                                        [root@node01 ~]# scp 192.168.101.33:/etc/pki/CA/cacert.pem .
                                                cacert.pem                                   100% 1281     1.9MB/s   00:00   
                                        [root@node01 ~]# cat cacert.pem >> /etc/pki/tls/certs/ca-bundle.crt
                                        [root@node01 ~]# curl https://www.rj.com
                                                Welcome to 2019 Computer Network Application contest!
                                    这个是文档

lucka

可以装个宝塔面板 比较方便

寻道之旅

不能装，要求是这样，还有其他方法吗，用命令行的方式解决的方法

无情绝恋

之前的文档

apache+openssl
生成CA私钥及证书
[root@localhost ~]# sed -i 's#\(basicConstraints=\).*#\1CA:TRUE#g' /etc/pki/tls/openssl.cnf
[root@localhost ~]# touch /etc/pki/CA/index.txt
[root@localhost ~]# echo '01' > /etc/pki/CA/serial
[root@localhost ~]# openssl genrsa -des3 -out ca.key 2048
Generating RSA private key, 2048 bit long modulus
..............+++
...........+++
e is 65537 (0x10001)
Enter pass phrase for ca.key:
Verifying - Enter pass phrase for ca.key:
[root@localhost ~]# openssl req -new -x509 -days 7305 -key ca.key -out ca.crt
Enter pass phrase for ca.key:
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [XX]:
State or Province Name (full name) []:
Locality Name (eg, city) [Default City]:
Organization Name (eg, company) [Default Company Ltd]:
Organizational Unit Name (eg, section) []:
Common Name (eg, your name or your server's hostname) []:localhost.localdomain
Email Address []:
生成域名私钥及证书
[root@localhost ~]# openssl genrsa -des3 -out www.baidu.com.pem 1024
Generating RSA private key, 1024 bit long modulus
..........++++++
.......................................++++++
e is 65537 (0x10001)
Enter pass phrase for www.baidu.com.pem:
Verifying - Enter pass phrase for www.baidu.com.pem:
[root@localhost ~]# openssl rsa -in www.baidu.com.pem -out www.baidu.com.key
Enter pass phrase for www.baidu.com.pem:
writing RSA key
[root@localhost ~]# openssl req -new -key www.baidu.com.pem -out www.baidu.com.csr
Enter pass phrase for www.baidu.com.pem:
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [XX]:
State or Province Name (full name) []:
Locality Name (eg, city) [Default City]:
Organization Name (eg, company) [Default Company Ltd]:
Organizational Unit Name (eg, section) []:
Common Name (eg, your name or your server's hostname) []:www.baidu.com
Email Address []:

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:
[root@localhost ~]# openssl ca -policy policy_anything -days 1460 -cert ca.crt -keyfile ca.key -in www.baidu.com.csr -out www.baidu.com.crt
Using configuration from /etc/pki/tls/openssl.cnf
Enter pass phrase for ca.key:
Check that the request matches the signature
Signature ok
Certificate Details:
        Serial Number: 1 (0x1)
        Validity
            Not Before: May 30 12:35:26 2018 GMT
            Not After : May 29 12:35:26 2022 GMT
        Subject:
            countryName               = XX
            localityName              = Default City
            organizationName          = Default Company Ltd
            commonName                = www.baidu.com
        X509v3 extensions:
            X509v3 Basic Constraints:
                CA:TRUE
            Netscape Comment:
                OpenSSL Generated Certificate
            X509v3 Subject Key Identifier:
                2A:A7:78:CB:20:DC:97:60:67:7D:DA:AE:AB:11:3E:D8:37:01:F7:87
            X509v3 Authority Key Identifier:
                keyid:8B:25:74:1F:98:D9:9E:DD:1D:53:7A:2A:D8:B2:E1:0B:C8:05:35:A3

Certificate is to be certified until May 29 12:35:26 2022 GMT (1460 days)
Sign the certificate? [y/n]:y
1 out of 1 certificate requests certified, commit? [y/n]y
Write out database with 1 new entries
Data Base Updated
验证访问
[root@localhost ~]# httpd -v
Server version: Apache/2.4.33 (Unix)
Server built:   May 30 2018 20:50:43

设置apache支持openssl
[root@localhost ~]# sed -i 's/#\(.*httpd-ssl.conf\)/\1/g' /usr/local/apache/conf/httpd.conf
[root@localhost ~]# sed -i 's/#\(.*mod_ssl.so\)/\1/g' /usr/local/apache/conf/httpd.conf
[root@localhost ~]# sed -i 's/#\(.*mod_socache_shmcb.so\)/\1/g' /usr/local/apache/conf/httpd.conf
[root@localhost ~]# echo 'Listen 443' > /usr/local/apache/conf/extra/httpd-ssl.conf
[root@localhost ~]# /usr/local/apache/conf/extra/httpd-ssl.conf
<VirtualHost *:443>
        DocumentRoot /usr/local/apache/htdocs/
        ServerName baidu.com
        ServerAlias '"www.baidu.com"'
        ErrorLog "/usr/local/apache/logs/lamp_error_log"
        TransferLog "/usr/local/apache/logs/lamp_access_log"

        SSLEngine on
        SSLProtocol All -SSLv2 -SSLv3
        SSLHonorCipherOrder on
        SSLCipherSuite ALL:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH:!EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA

        SSLCertificateFile /root/'"www.baidu.com"'.crt
        SSLCertificateKeyFile /root/'"www.baidu.com"'.key

        CustomLog "/usr/local/apache/logs/lamp_ssl_request_log" \
                "%t %h %{SSL_PROTOCOL}x %{SSL_CIPHER}x \"%r\" %b \"%{Referer}i\" \"%{User-Agent}i\""

        BrowserMatch "MSIE [2-5]" \
                nokeepalive ssl-unclean-shutdown \
                downgrade-1.0 force-response-1.0

        <Directory /data/www/default/>
                Options -Indexes +FollowSymLinks
                AllowOverride All
                Require all granted
        </Directory>
</VirtualHost>

寻道之旅

无情绝恋 发表于 2019-11-20 11:06
之前的文档

apache+openssl

感谢你对我的帮助，谢谢