在尝试设置 Apache Web 服务器之前，请确保满足以下要求：

SUSE Linux Enterprise Server 中的 Apache 默认不会安装到系统中。要用“即装即用”的标准预定义配置来安装它，请按如下所示继续：

安装包括多处理模块 apache2-prefork 和 PHP5 模块。有关模块的详细信息，请参见第 31.4 节 “安装、激活和配置模块”。

可以自动在引导时启动 Apache 或手动启动它。

有关 SUSE Linux Enterprise Server 中的运行级别的详细信息和 YaST 运行级别编辑器的描述，请参见第 10.2.3 节 “使用 YaST 配置系统服务（运行级别）”。

要使用外壳手动启动 Apache，请运行 rcapache2 start。

既然 Web 服务器已在运行，因此可以添加您自己的文档、根据需要调整配置或通过安装模块来添加功能。

本部分概述了 Apache 配置文件。如果使用 YaST 进行配置，则不需要使用这些文件；但如果以后要切换到手动配置，则此信息可能有用。

Apache 配置文件可在两个不同位置处获取：

/etc/apache2/
     |
     |- charset.conv 
     |- conf.d/
     |   |
     |   |- *.conf
     |
     |- default-server.conf
     |- errors.conf
     |- httpd.conf
     |- listen.conf
     |- magic
     |- mime.types
     |- mod_*.conf
     |- server-tuning.conf
     |- ssl.*
     |- ssl-global.conf
     |- sysconfig.d
     |   |
     |   |- global.conf
     |   |- include.conf
     |   |- loadmodule.conf . .
     |
     |- uid.conf
     |- vhosts.d
     |   |- *.conf

手动配置 Apache 包括作为 root 用户来编辑纯文本配置文件。

31.2.2.1. 虚拟主机配置¶

术语虚拟主机指的是 Apache 在一台物理计算机上为多个统一资源标识符 (URI) 提供服务的能力。这意味着在一个物理计算机上的一个 Web 服务器可以运行几个域（例如 www.example.com 和 www.example.net）。

通常的做法是使用虚拟主机来节省管理精力（只需维护一个 Web 服务器即可）和硬件费用（每个域不需要专用的服务器）。虚拟主机可以是基于名称、基于 IP 或基于端口的。

要列出所有现有虚拟主机，请使用命令 httpd2 -S。这将输出一个列表，显示默认服务器和所有虚拟主机以及它们的 IP 地址和侦听端口。此外，该列表还针对每个虚拟主机包含一项，显示其在配置文件中的位置。

可以通过 YaST（如第 31.2.3.1.4 节 “虚拟主机”中所述）或通过手动编辑配置文件来配置虚拟主机。默认情况下，系统会根据 /etc/apache2/vhosts.d/ 中每个虚拟主机一个配置文件的设置，为 SUSE Linux Enterprise Server 中的 Apache 做好准备。该目录中扩展名为 .conf 的所有文件均会自动包含到配置中。虚拟主机的基本模板将在目录 vhost.template 或 vhost-ssl.template 中提供，以用于带有 SSL 支持的虚拟主机。

	始终创建虚拟主机配置
建议您始终创建虚拟主机配置文件，即使您的 Web 服务器仅主管一个域。这样不但可以将特定于域的配置保存在一个文件中，还可以只需移动、删除或重命名虚拟主机的配置文件就能始终回退到有效的基本配置。因此，还应该为每个虚拟主机创建单独的配置文件。 使用基于名称的虚拟主机时，建议设置将在域名与虚拟主机配置不匹配时使用的默认配置。默认虚拟主机即最先装载其配置的虚拟主机。由于配置文件的装载顺序取决于文件名，因此请以下划线字符 (_) 作为默认虚拟主机配置的文件名开头，以确保最先装载它（例如：_default_vhost.conf）。

<VirtualHost></VirtualHost> 块保存适用于特定域的信息。当 Apache 接收到客户端对某已定义虚拟主机的请求时，将使用此部分包含的指令。几乎所有指令均可用在虚拟主机环境中。请参见 http://httpd.apache.org/docs/2.2/mod/quickreference.html 来获取有关 Apache 的配置指令的进一步信息。

31.2.2.1.1. 基于名称的虚拟主机¶

使用基于名称的虚拟主机，每个 IP 地址能服务于多个网站。Apache 使用客户端发送的 HTTP 报头中的主机字段来将请求连接到某个虚拟主机声明中匹配的 ServerName 项。如果找不到匹配的 ServerName，则默认使用第一个指定的虚拟主机。

指令 NameVirtualHost 告诉 Apache 在哪个 IP 地址以及（可选）哪个端口上侦听客户端发出的在 HTTP 报头中包含域名的请求。此选项是在配置文件 /etc/apache2/listen.conf 中配置的。

第一个自变量是完全限定的域名，但建议使用 IP 地址。第二个自变量是可选的端口。默认情况下，使用端口 80 并通过 Listen 指令进行配置。

IP 地址和端口号都可以使用通配符 * 来接收所有接口上的请求。IPv6 地址必须括在方括号中。

例 31.1. 基于名称的 VirtualHost 项的变体¶

# NameVirtualHost IP-address[:Port]
NameVirtualHost 192.168.3.100:80
NameVirtualHost 192.168.3.100
NameVirtualHost *:80
NameVirtualHost *
NameVirtualHost [2002:c0a8:364::]:80

打开 VirtualHost 标记将使先前使用 NameVirtualHost 声明的 IP 地址（或全限定域名）在基于名称的虚拟主机配置中显示为参数。之前使用 NameVirtualHost 指令声明的端口号是可选的。

允许使用通配符 * 代替 IP 地址。该语法仅当和 NameVirtualHost * 中的通配符一起使用时才有效。当使用 IPv6 地址时，地址必须括在方括号中。

例 31.2. 基于名称的 VirtualHost 指令¶

<VirtualHost 192.168.3.100:80>
  ...
</VirtualHost>

<VirtualHost 192.168.3.100>
  ...
</VirtualHost>

<VirtualHost *:80>
  ...
</VirtualHost>

<VirtualHost *>
  ...
</VirtualHost>

<VirtualHost [2002:c0a8:364::]>
  ...
</VirtualHost>

31.2.2.1.2. 基于 IP 的虚拟主机¶

这种备选的虚拟主机配置要求为计算机设置多个 IP。Apache 的一个实例储存多个域，并为每个域指派一个不同的 IP。

物理服务器必须为每个基于 IP 的虚拟主机指定一个 IP 地址。如果计算机没有多个网卡，也可以使用虚拟网络接口（IP 别名）。

以下示例显示，Apache 在 IP 为 192.168.3.100 且储存着其它两个 IP 为 192.168.3.101 和 192.168.3.102 的域的计算机上运行的情况。请为每个虚拟服务器指定一个单独的 VirtualHost 块。

例 31.3. 基于 IP 的 VirtualHost 指令¶

<VirtualHost 192.168.3.101>
  ...
</VirtualHost>

<VirtualHost 192.168.3.102>
  ...
</VirtualHost>

在此，VirtualHost 指令只针对除 192.168.3.100 以外的接口。在也为 192.168.3.100 配置监听指令时，必须创建单独的、基于 IP 的虚拟主机才能答复对该接口的 HTTP 请求，否则应用在默认服务器配置 (/etc/apache2/default-server.conf) 中找到的指令。

31.2.2.1.3. 基本虚拟主机配置¶

每个虚拟主机配置中至少要有以下指令，这样才能设置虚拟主机。请参见 /etc/apache2/vhosts.d/vhost.template 获取更多选项。

ServerName

主机所在的全限定域名。

DocumentRoot

Apache 应该为此主机提供文件的目录路径。出于安全考虑，在默认情况下禁止访问整个文件系统，所以必须在目录容器中显示地解锁此目录。

ServerAdmin

服务器管理员的电子邮件地址。例如，此地址将显示在 Apache 创建的错误页面上。

ErrorLog

该虚拟主机的错误日志文件。尽管不必为每个虚拟主机创建单独的错误日志文件，但是通常建议执行此操作，因为这样能使错误调试变得容易些。/var/log/apache2/ 是 Apache 日志文件的默认目录。

CustomLog

该虚拟主机的访问日志文件。尽管不必为每个虚拟主机创建单独的访问日志文件，但是通常建议执行此操作，因为这样可单独分析每个主机的访问统计数字。/var/log/apache2/ 是 Apache 日志文件的默认目录。

综上所述，出于安全考虑，在默认情况下禁止访问整个文件系统。因此，明确对您放置了 Apache 应为其提供服务的文件所在的目录解除锁 定，例如 DocumentRoot：

<Directory "/srv/www/www.example.com/htdocs">
  Order allow,deny
  Allow from all
</Directory>

完整的配置文件外观如下所示：

例 31.4. 基本 VirtualHost 配置¶

<VirtualHost 192.168.3.100>
  ServerName www.example.com
  DocumentRoot /srv/www/www.example.com/htdocs
  ServerAdmin webmaster@example.com
  ErrorLog /var/log/apache2/www.example.com_log
  CustomLog /var/log/apache2/www.example.com-access_log common
  <Directory "/srv/www/www.example.com/htdocs">
    Order allow,deny
    Allow from all
  </Directory>
</VirtualHost>

要使用 YaST 配置 Web 服务器，请启动 YaST，并选择网络服务+HTTP 服务器。第一次启动此模块时，HTTP 服务器向导会启动，提示您做出一些有关服务器管理的基本决定。完成向导后，在您每次调用 HTTP 服务器模块时，HTTP 服务器配置对话框都会启动。有关详细信息，请参见第 31.2.3.2 节 “HTTP 服务器配置”。

31.2.3.1. HTTP 服务器向导¶

HTTP 服务器向导包括五个步骤。在对话框的最后一步中，您可以进入专家配置方式进行更特定的设置。

31.2.3.1.1. 网络设备选择¶

在这里，指定 Apache 用以侦听进来的请求的网络接口和端口。可以选择现有网络接口及其各自 IP 地址的任意组合。可以使用其他服务未预留的所有三个范围内的端口（公认端口、注册端口和动态或私用端口）。默认设置是在端口 80 上侦听所有网络接口（IP 地址）。

选中打开防火墙中的端口，在防火墙中打开 Web 服务器侦听的端口。要使 Web 服务器在网络（LAN、WAN 或公共因特网）中可用，这样做是必要的。仅在测试时不必对 Web 服务器进行外部访问的情况下，关闭端口是有用的。如果有多个网络接口，请单击防火墙细节... 以指定要在哪些接口上打开端口。

单击下一步继续配置。

31.2.3.1.2. 模块¶

模块配置选项允许激活或停用 Web 服务器应支持的脚本语言。要激活或停用其他模块，请参见第 31.2.3.2.2 节 “服务器模块”。单击下一步进入下一个对话框。

31.2.3.1.3. 默认主机¶

该选项与默认的 Web 服务器相关。正如第 31.2.2.1 节 “虚拟主机配置”中所述，Apache 可以在一台物理计算机上为多台虚拟主机提供服务。配置文件中首先声明的虚拟主机通常被称为默认主机。每个虚拟主机都将继承默认主机的配置。

要编辑主机设置（也称为指令），在表中选择适当的项，然后单击编辑。要添加新指令，请单击添加。要删除指令，请选择该主机，然后单击删除。

图 31.1. HTTP 服务器向导：默认主机¶

这里是服务器默认设置的列表：

Document Root

Apache 为此主机提供文件的目录路径。/srv/www/htdocs 是默认位置。

Alias

借助 Alias 指令，URL 可以被映射到物理文件系统位置。这意味着可以通过对某路径进行 URL 别名判别来访问该路径（即使是在文件系统中文档根目录之外的路径）。

默认的 SUSE Linux Enterprise Server Alias /icons 指向 /usr/share/apache2/icons，作为显示在目录索引视图中的 Apache 图标。

ScriptAlias

和 Alias 指令类似，ScriptAlias 指令将 URL 映射到文件系统位置。不同之处在于 ScriptAlias 将目标目录指定为 CGI 位置，意味着 CGI 脚本应该在此位置执行。

Directory

设置 Directory 后，便可包含一组只能应用于指定目录的配置选项。

目录 /srv/www/htdocs、/usr/share/apache2/icons 和 /srv/www/cgi-bin 的访问和显示选项是在此处配置的。不需要更改默认值。

Include

使用 include，还可指定其他配置文件。系统中已预配置两个 Include 指令：/etc/apache2/conf.d/ 是包含随外部模块一起提供的配置文件的目录。使用此指令可包含该目录中以 .conf 结尾的所有文件。使用第二个指令可包含 /etc/apache2/conf.d/apache2-manual.conf（apache2-manual 配置文件）。

Server Name

这指定了客户端用来联系 Web 服务器的默认 URL。使用完全限定的域名 (FQDN) 到达 Web 服务器（位于 http://FQDN/）或其 IP 地址。不能在此处随意选择名称 － 服务器在此名称下必须是“已知”的。

Server Administrator E-Mail

服务器管理员的电子邮件地址。例如，此地址将显示在 Apache 创建的错误页面上。

完成默认主机步骤后，单击下一步继续完成配置。

31.2.3.1.4. 虚拟主机¶

在本步骤中，向导显示已配置的虚拟主机（请参见第 31.2.2.1 节 “虚拟主机配置”）的列表。如果启动 YaST HTTP 向导前未进行手动更改，将不显示虚拟主机。

要添加主机，请单击添加以打开一个对话框，可在其中输入有关该主机的基本信息，如服务器名称、服务器内容根 (DocumentRoot) 和管理员电子邮件。服务器解析用来确定如何识别主机（基于名称或基于 IP）。通过更改虚拟主机 ID 指定名称或 IP 地址

单击下一步进入虚拟主机配置对话框的第二部分。

在虚拟主机配置的第二部分中，可以指定是否启用 CGI 脚本以及用于这些脚本的目录。还可启用 SSL。如果要启用，还必须指定证书的路径。请参见第 31.6.2 节 “使用 SSL 配置 Apache”了解有关 SSL 和证书的细节。使用目录索引选项，可指定在客户端请求目录时所显示的文件（默认情况下为 index.html）。如果要更改此选项，请添加一个或多个文件名（用空格分隔）。使用启用公共 HTML，用户公共目录 (~user/public_html/) 的内容将在服务器的 http://www.example.com/~user 下公开。

	创建虚拟主机
不能随意添加虚拟主机。如果使用基于名称的虚拟主机，必须在网络上解析每个主机名。如果使用基于 IP 的虚拟主机，则仅可向每个可用的 IP 地址指定一个主机。

31.2.3.1.5. 摘要¶

这是本向导的最后一步。在此，确定 Apache 服务器启动的方式和时间：何时引导或手动引导。另请参见迄今为止所作配置的简短摘要。如果对设置满意，单击完成以完成配置。如果要进行更改，请单击后退直至显示所需的对话框。单击 HTTP 服务器专家配置打开第 31.2.3.2 节 “HTTP 服务器配置”中所述的对话框。

图 31.2. HTTP 服务器向导：摘要¶

31.2.3.2. HTTP 服务器配置¶

HTTP 服务器配置对话框还允许您对配置进行比在向导（它只在您首次配置 Web 服务器时运行）中更多的调整。它由四个如下所述的选项卡组成。在此处更改的任何配置选项都不会立即生效，总是需要使用完成来确认更改从而使其生效。单击中止退出配置模块并丢弃所作更改。

31.2.3.2.1. 监听端口和地址¶

在 HTTP Service 中，选择应该运行（启用）还是停止（禁用）Apache。在侦听端口中，添加、编辑或删除服务器可用的地址和端口。默认设置是在端口 80 上侦听所有接口。应始终选中打开防火墙中的端口，否则无法从外部访问 Web 服务器。仅在测试时不必对 Web 服务器进行外部访问的情况下，关闭端口是有用的。如果有多个网络接口，请单击防火墙细节... 以指定要在哪些接口上打开端口。

使用日志文件查阅访问日志或错误日志。如果要测试配置，这很有用。该日志文件将在单独的窗口中打开，您还可从该窗口重启动或重新装载 Web 服务器。有关详细信息，请参见 第 31.3 节 “启动和停止 Apache”. 这些命令将立即生效，并且其日志消息也会立即显示。

图 31.3. HTTP 服务器配置：侦听端口和地址¶

31.2.3.2.2. 服务器模块¶

可以通过单击切换状态来更改 Apache2 模块的状态（启用或禁用）。单击添加模块可添加已安装但还未列出的新模块。要了解模块的更多信息，请参见第 31.4 节 “安装、激活和配置模块”。

图 31.4. HTTP 服务器配置：服务器模块¶

31.2.3.2.3. 主要主机¶

这些对话框与上述对话框相同。请参见第 31.2.3.1.3 节 “默认主机”和第 31.2.3.1.4 节 “虚拟主机”。

如果如第 31.1.2 节 “安装”中所述执行了默认安装，则表示已安装以下模块：所有基本和扩展模块、多处理模块 Prefork MPM 以及外部模块 mod_php5 和 mod_python。

您可以启动 YaST，然后选择软件+软件管理，来安装其他外部模块。现在请选择过滤器+搜索并搜索 apache。在其他包中，结果列表将包含所有可用的外部 Apache 模块。

手动或用 YaST 激活或停用特定模块。在 YaST 中，需要使用第 31.2.3.1 节 “HTTP 服务器向导”中所述的模块配置启用或禁用脚本语言模块（PHP5、Perl 和 Python）。可以按第 31.2.3.2.2 节 “服务器模块”中所述启用或禁用所有其他模块。

如果要手动激活或停用模块，则分别使用命令 a2enmod mod_foo 或 a2dismodmod_foo。a2enmod -l 将输出当前所有活动模块的列表。

	包含外部模块的配置文件
如果已经手动激活外部模块，则确保在所有虚拟主机配置中装载其配置文件。外部模块的配置文件位于 /etc/apache2/conf.d/ 下，并且在默认情况下不装载。如果每个虚拟主机上都需要相同的模块，则可以从此目录包含 *.conf。否则包含各个文件。请参见 /etc/apache2/vhost.d/vhost.template 获取示例。

Apache 文档中对所有基础模块和扩展模块均进行了详细的描述。此处仅提供大多数重要模块的简短描述。请参见 http://httpd.apache.org/docs/2.2/mod/ 以了解有关每个模块的详细信息。

SUSE Linux Enterprise Server 提供了两个不同的多处理模块 (MPM) 来结合 Apache 使用：

31.4.4.1. Prefork MPM¶

prefork MPM 实现非线程的预生成 Web 服务器。它使 Web 服务器在行为上类似于 Apache 版本 1.x。在该版本中，它隔离每个请求并通过派生单独的子进程来处理请求。这样，有问题的请求就不会影响其他请求，避免了 Web 服务器被锁定。

此基于进程的方法 prefork MPM 虽然提供了稳定性，但比相应的 worker MPM 消耗更多的系统资源。prefork MPM 被视为是基于 Unix 操作系统的默认 MPM。

	本文档中的 MPM
本文档假设 Apache 使用 prefork MPM。

31.4.4.2. Worker MPM¶

worker MPM 提供一种多线程 Web 服务器。线程是一种“更小”的进程。线程相对于进程的优点是它占用较少的资源。worker MPM 并非仅生成子进程，还通过在服务器进程中使用线程来处理请求。预派生的子进程是多线程的。此方法相比 prefork MPM，使 Apache 消耗更少的系统资源，从而提高了 Apache 的执行效率。

一个主要缺点是 worker MPM 的稳定性：如果一个线程损坏，进程的所有线程都会受影响。最严重的情况会导致服务器崩溃。特别是在负载很重的情况下，如果将通用网关接口 (CGI) 与 Apache 一起使用，则可能由于线程无法与系统资源通信而发生内部服务器错误。将 worker MPM 与 Apache 一起使用的另一个争议是并非所有可用的 Apache 模块都是线程安全的，因此它不能与 worker MPM 结合使用。

	将 PHP 模块与 MPM 一起使用
并非所有可用的 PHP 模块都是线程安全的。强烈建议不要将 worker MPM 与 mod_php 一起使用。

此处提供了 SUSE Linux Enterprise Server 随附的所有外部模块的列表。

高级用户可以通过编写自定义模块来扩展 Apache。要开发 Apache 模块或编译第三方模块，就需要 apache2-devel 包以及相应的开发工具。apache2-devel 还包含 apxs2 工具，此工具是编译其他 Apache 模块所必需的。

apxs2 允许从源代码编译和安装模块（包括对配置文件进行必要的更改），这将创建可在运行时装载入 Apache 的动态共享对象 (DSO)。

apxs2 二进制文件在 /usr/sbin 中：

使用以下命令从源代码安装并激活模块：

cd /path/to/module/source; apxs2 -cia
    mod_foo.c

其中，-c 编译该模块，-i 安装该模块，-a 激活该模块。apxs2 的其他选项在 apxs2(1) 手册页中有描述。

在 SUSE Linux Enterprise Server 中，仅允许在目录 /srv/www/cgi-bin/ 中执行 CGI 脚本。已配置此位置来执行 CGI 脚本。如果已经创建了虚拟主机配置（请参见第 31.2.2.1 节 “虚拟主机配置”）并且想将脚本放置在特定于主机的目录中，必须解锁并配置此目录。

ScriptAlias /cgi-bin/ "/srv/www/www.example.com/cgi-bin/"

<Directory "/srv/www/www.example.com/cgi-bin/">
 Options +ExecCGI
 AddHandler cgi-script .cgi .pl
 Order allow,deny
 Allow from all
</Directory>

CGI 编程不同于“常规”编程，因为 CGI 程序和脚本前面必须有一个 MIME 类型的报头，例如 Content-type: text/html。此报头将发送到客户端，所以它知道所接收内容的类型。其次，脚本的输出必须是客户端（通常是 Web 浏览器）所知道的，比如 HTML（大多数情况）、纯文本或图像。

在 /usr/share/doc/packages/apache2/test-cgi 下提供的简单测试脚本是 Apache 包的一部分。它将某些环境变量的内容输出为纯文本。将此脚本复制到 /srv/www/cgi-bin/ 或您虚拟主机的脚本目录 (/srv/www/www.example.com/cgi-bin/) 中，并将它命名为 test.cgi。

可通过 Web 服务器访问的文件应由用户 root 拥有。有关更多信息，请参见第 31.8 节 “避免安全性问题”。由于该 Web 服务器是由不同用户运行的，所以 CGI 脚本必须可被世界各地的用户执行和读取。更改为 CGI 目录并使用命令 chmod 755 test.cgi 来应用正确的权限。

现在调用 http://localhost/cgi-bin/test.cgi 或 http://www.example.com/cgi-bin/test.cgi。应该能看到 “CGI/1.0 测试脚本报告”。

如果没有看到测试程序的输出而是看到了错误消息，则请检查以下项：

为了将 SSL/TSL 与 Web 服务器一起使用，需要创建 SSL 证书。在 Web 服务器和客户端之间授权时需要此证书，以便每一方都能明确地识别另一方。为了确保证书的完整性，证书必须由所有用户都信任的一方签署。

您可创建三种类型的证书：“虚设”证书（仅用于测试）、自我签名证书（用于信任您的指定用户群）和由独立的、众所周知的证书颁发机构 (CA) 签署的证书。

创建证书一般分为两步。首先，生成证书颁发机构的私用密钥，然后使用此密钥签署服务器证书。

	更多信息
要想更多地了解 SSL/TSL 的概念和定义，请参见 http://httpd.apache.org/docs/2.2/ssl/ssl_intro.html。

31.6.1.1. 创建“虚拟”证书¶

虚设证书的生成非常简单。只需调用脚本 /usr/bin/gensslcert 即可。它创建或重写下列文件。利用 gensslcert 的可选开关调整证书。调用 /usr/bin/gensslcert -h 了解更多信息。

• /etc/apache2/ssl.crt/ca.crt

• /etc/apache2/ssl.crt/server.crt

• /etc/apache2/ssl.key/server.key

• /etc/apache2/ssl.csr/server.csr

• /root/.mkcert.cfg

还会将 ca.crt 的副本放在 /srv/www/htdocs/CA.crt 下以供下载。

	仅供测试
不能在生产系统上使用虚设证书。它只能用来测试。

31.6.1.2. 创建自签署证书¶

如果要为内部网或指定用户群设置安全的 Web 服务器，只需通过您自己的证书颁发机构 (CA) 来签署证书即可。

创建自签署证书由 9 个交互的步骤组成。更改为目录 /usr/share/doc/packages/apache2，然后运行以下命令：./mkcert.sh make --no-print-directory /usr/bin/openssl /usr/sbin/ custom。请勿从此目录外运行该命令。程序将提供一系列的提示，其中一部分需要用户输入。

过程 31.4. 使用 mkcert.sh 创建自签署的证书¶

1. 决定用于证书的签名算法

   选择 RSA（R，默认值），因为一些旧的浏览器在使用 DSA 时存在问题。

2. 生成 CA 的 RSA 私用密钥（1024 位）

   不需要交互。

3. 生成 CA 的 X.509 证书签署请求

   在此处创建 CA 的判别名。这要求您回答几个问题，例如国家/地区名称或组织名称。输入有效数据，因为在此处输入的内容稍后会显示在证书中。无需回答所有问题。如果有问题不适用于您或者您不想回答，请使用“.”. 常用名就是 CA，请选择一个重要的名称，例如我的公司 CA。

   	CA 的常用名
   CA 的常用名必须不同于服务器的常用名，因此请勿在此步骤中选择完全限定的主机名。

4. 为自签署的 CA 生成 X.509 证书

   选择证书版本 3（默认值）。

5. 生成 SERVER 的 RSA 私用密钥（1024 位）

   不需要交互。

6. 生成 SERVER 的 X.509 证书签署请求

   为此处的服务器密钥创建判别名。问题与 CA 判别名的问题几乎相同。在此处输入的数据适用于 Web 服务器，而且可以与 CA 的数据不同。（例如，如果服务器在其他地方）

   	选择常用名
   在此处输入的常用名必须是安全服务器的全限定主机名（例如，www.example.com）。否则，在访问 Web 服务器时，浏览器将发出一条警告，指示在证书与服务器不匹配。

7. 生成由 CA 签署的 X.509 证书

   选择证书版本 3（默认值）。

8. 使用通行口令加密 CA 的 RSA 私用密钥以确保安全性

   强烈建议使用口令加密 CA 的私用密钥，所以请选择 Y 并输入一个口令。

9. 使用通行口令加密服务器的 RSA 私用密钥以确保安全性

   使用口令加密服务器密钥要求您在每次启动 Web 服务器时输入此口令。这对于在引导时自动启动服务器或重启动 Web 服务器有点困难。因此，通常在回答此问题时选择 N。要了解在没有使用口令加密时您的密钥是不受保护的，并且保证只有授权个人才有权访问此密钥。

   	加密服务器密钥
   如果选择使用口令加密服务器密钥，则请在 /etc/sysconfig/apache2 中增加 APACHE_TIMEOUT 的值。否则，在启动之前您没有足够的时间输入通行口令，这样服务器将无法停止。

脚本结果页面上将出现一个储存它已经生成的证书和密钥的列表。与脚本输出结果不同的是，文件没有在本地目录 conf 中生成，而是在 /etc/apache2/ 下的适当位置处生成。

最后一步就是将 CA 证书文件从 /etc/apache2/ssl.crt/ca.crt 复制到用户可以访问的位置，从而将它合并到 Web 浏览器中已知、可信的 CA 的列表中。否则，浏览器将指示证书是由未知授权者发出的。证书的有效期为 1 年。

	自我签名证书
仅在 Web 服务器上使用自签署证书，此证书必须可由知道并相信您是证书授权者的人员访问。例如，不建议在公共商店使用此类证书。

Web 服务器端的 SSL 和 TLS 请求的默认端口是 443。在端口 80 上的“普通” Apache 侦听和端口 443 上支持 SSL/TLS 的 Apache 侦听之间没有冲突。事实上，HTTP 和 HTTPS 可以使用相同的 Apache 实例运行。通常使用一个虚拟主机将请求发送到端口 80 和端口 443 以区分虚拟服务器。

	防火墙配置
记住在端口 443 上为支持 SSL 的 Apache 打开防火墙。可以按Section “Configuring the Firewall with YaST” (Chapter 15, Masquerading and Firewalls, ↑Security Guide)中的描述使用 YaST 来完成此操作。

在全局服务器配置中，SSL 模块默认情况下处于启用状态。如果它在您的主机上已禁用，请使用以下命令激活它：a2enmod ssl。要最终启用 SSL，需要使用标志“SSL”启动服务器。要执行此操作，请调用 a2enflag SSL。如果打算使用口令加密服务器证书，则还应增加 /etc/sysconfig/apache2 中 APACHE_TIMEOUT 的值，这样在 Apache 启动时，您就有足够的时间输入通行口令。重启动服务器可使这些更改生效。仅重装载是不够的。

虚拟主机配置目录中包含模板 /etc/apache2/vhosts.d/vhost-ssl.template，该模板带有详细记录的特定于 SSL 的指令。请参见第 31.2.2.1 节 “虚拟主机配置”了解通用虚拟主机配置。

要开始操作，请将模板复制到 /etc/apache2/vhosts.d/mySSL-host.conf 并对其进行编辑。调整以下指令的值应该就足够了：

31.6.2.1. 基于名称的虚拟主机和 SSL¶

默认情况下，不能在仅具有一个 IP 地址的服务器上运行多个启用了 SSL 的虚拟主机。基于名称的虚拟主机要求 Apache 了解已请求了哪些服务器名称。SSL 连接问题在于，此类请求只能在已建立 SSL 连接之后读取（通过使用默认虚拟主机）。因此用户将收到警告消息，指示证书与服务器名称不匹配。

SUSE Linux Enterprise Server 提供了一个 SSL 协议扩展：服务器名称指示 (SNI)。该协议会在 SSL 协商过程中发送虚拟域的名称，从而解决了这一问题。这样服务器就能提前“切换”到正确的虚拟域，并向浏览器显示正确的证书。

SUSE Linux Enterprise Server 上默认会启用 SNI。为了使基于名称的虚拟主机能够使用 SSL，可如第 31.2.2.1.1 节 “基于名称的虚拟主机”中所述配置服务器（请注意，需要将端口 443 而不是端口 80 用于 SSL）。

	SNI 浏览器支持
客户端也必须支持 SNI。尽管大多数浏览器都支持 SNI，但一些用于移动硬件的浏览器以及 Windows* XP 上的 Internet Explorer 和 Safari 仍缺少 SNI 支持。有关详细信息，请参见http://en.wikipedia.org/wiki/Server_Name_Indication。 使用指令 SSLStrictSNIVHostCheck 配置如何处理不支持 SNI 的浏览器。在服务器配置中设置为 on 时，所有虚拟主机都将拒绝不支持 SNI 的浏览器。在 VirtualHost 指令中设置为 on 时，对此特定主机的访问将被拒。 在服务器配置中设置为 off 时，服务器的行为类似于不支持 SNI。SSL 请求将由定义的第一个虚拟主机（端口 443）处理。

在 Apache 软件中发现漏洞时，SUSE 将会发出安全忠告。其中包含修复漏洞的描述，用户应该尽快地依次采纳这些描述。SUSE 安全性声明可以从以下位置处获取：

在 SUSE Linux Enterprise Server 中，默认情况下，DocumentRoot 目录 (/srv/www/htdocs) 和 CGI 目录 (/srv/www/cgi-bin) 的所有权属于 root 用户和组。您不能更改这些权限。如果任何用户都可写入这些目录，则任何用户都可以将文件放入这些目录中。之后，具有 wwwrun 权限（该权限允许用户随意访问文件系统资源）的 Apache 可能会执行这些文件。使用 /srv/www 的子目录可存放虚拟主机的 DocumentRoot 和 CGI 指令，并确保目录和文件属于用户和组 root。

默认情况下，在 /etc/apache2/httpd.conf 中拒绝对整个文件系统的访问。不应该重写这些指令，而是要明确启用对 Apache 可读的所有目录的访问权。有关详细信息，请参见 第 31.2.2.1.3 节 “基本虚拟主机配置”. 如此操作后，请确保任何重要文件（例如口令或系统配置文件）均不能从外部读取。

Perl、PHP、SSI 或任何其他编程语言中的交互脚本基本上可以运行任意命令，因此存在通常的安全性问题。从服务器执行的脚本只能从服务器管理员信任的源安装，允许用户运行他们拥有的所有脚本通常不是好的做法。还建议对所有脚本执行安全性审计。

为了尽可能简化脚本的管理，通常会将 CGI 脚本的执行限制于特定目录而不是全局使用它们。指令 ScriptAlias 和 Option ExecCGI 用于配置。SUSE Linux Enterprise Server 的默认配置不允许随处执行 CGI 脚本。

所有 CGI 脚本都会作为同一个用户运行，所以不同的脚本可能会彼此冲突。模块 suEXEC 允许您在不同的用户和组下运行 CGI 脚本。

启用用户目录（使用 mod_userdir 或 mod_rewrite）时，一定不要使用 .htaccess 文件，这些文件允许用户重写安全设置。至少应该使用指令 AllowOverRide 来限制用户的注册。在 SUSE Linux Enterprise Server 中，.htaccess 文件默认处于启用状态，但用户在使用 mod_userdir（请参见 /etc/apache2/mod_userdir.conf 配置文件）时不允许覆盖任何 Option 指令。

有关 Apache 2.2 中新功能的列表，请参见 http://httpd.apache.org/docs/2.2/new_features_2_2.html。可以在 http://httpd.apache.org/docs-2.2/upgrading.html 获得有关从版本 2.0 升级到 2.2 的信息。

有关第 31.4.5 节 “外部模块”中简述的外部 Apache 模块的更多信息，可在以下位置找到：

有关开发 Apache 模块和涉及 Apache Web 服务器项目的更多信息，可以从以下位置处获得：

如果遇到特定于 SUSE Linux Enterprise Server 中的 Apache 的问题，请查看“技术信息搜索”，网址为：http://www.novell.com/support。http://httpd.apache.org/ABOUT_APACHE.html 提供了对 Apache 历史的介绍。此页还解释此服务器为什么被称为 Apache。