在設定 Apache Web 伺服器之前，請先確定您已符合下列要求︰

SUSE Linux Enterprise Server 中的 Apache 預設不會安裝到系統。若要以可「直接」執行的預先定義標準組態進行安裝，請按照以下步驟操作︰

此項安裝會安裝多重處理模組 apache2-prefork 與 PHP5 模組。如需關於各種模組的詳細資訊，請參閱第 31.4 節「安裝、啟用和設定模組」。

您可讓 Apache 在開機時自動啟動或者手動將其啟動。

如需 SUSE Linux Enterprise Server 中執行層級的詳細資訊與 YaST 執行層級編輯器的說明，請參閱第 10.2.3 節「使用 YaST 設定系統服務 (Runlevel)」。

若要使用外圍程序手動啟動 Apache，請執行 rcapache2 start。

現在網頁伺服器已經開始執行，您可以加入自己的文件、根據個人需求調整組態，或是安裝模組來新增功能。

本節提供 Apache 組態檔案的綜覽。如果使用 YaST 設定組態，則無需變更這些檔案。不過，如果您要在以後改為以手動方式設定組態，該資訊可能會對您有用。

您可以在下列兩個不同位置找到 Apache 組態檔案：

/etc/apache2/
     |
     |- charset.conv 
     |- conf.d/
     |   |
     |   |- *.conf
     |
     |- default-server.conf
     |- errors.conf
     |- httpd.conf
     |- listen.conf
     |- magic
     |- mime.types
     |- mod_*.conf
     |- server-tuning.conf
     |- ssl.*
     |- ssl-global.conf
     |- sysconfig.d
     |   |
     |   |- global.conf
     |   |- include.conf
     |   |- loadmodule.conf . .
     |
     |- uid.conf
     |- vhosts.d
     |   |- *.conf

以手動方式設定 Apache 是指以 root 使用者身分來編輯純文字組態檔案。

31.2.2.1. 虛擬主機組態¶

「虛擬主機」一詞，是形容 Apache 從同一部實體機器提供多個通用資源識別字串 (URI，Universal Resource Identifier) 的能力。這是指同時由一部實體電腦的單一網頁伺服器來執行多個領域 (例如，www.example.com 和 www.example.net)。

使用虛擬主機的目的，經常是為了節省管理工作 (只需要維護一部網頁伺服器) 和硬體開銷 (不需要將各個網域安裝在專屬伺服器上)。虛擬主機可以使用名稱、IP 或是連接埠作為基礎。

若要列出所有現有的虛擬主機，請使用指令 httpd2 -S。該指令將輸出一份清單，顯示預設伺服器和所有虛擬主機，以及它們的 IP 位址和監聽埠。此外，該清單還顯示每個虛擬主機在組態檔案中的位置。

虛擬主機可依照第 31.2.3.1.4 節「虛擬主機」中所述透過 YaST 設定，或是手動編輯組態檔案來設定。依預設，系統會根據 /etc/apache2/vhosts.d/ 中每部虛擬主機一個組態檔案的設定，為在 SUSE Linux Enterprise Server 中執行的 Apache 做好準備。此目錄中副檔名為 .conf 的所有檔案，都會自動包含至組態中。這個目錄會提供虛擬主機的基本樣板 (vhost.template，或是適用於提供 SSL 支援之虛擬主機的 vhost-ssl.template)。

	永遠要建立虛擬主機組態
建議您務必要建立虛擬主機組態檔案，即使網頁伺服器只代管一個網域。如此，您不但可以將網域專屬組態存放在一個檔案中，還可以隨時回復至運作正常的基本組態，只需移動、刪除或重新命名虛擬主機的組態檔案即可。同樣地，您應該也要分別為每個虛擬主機建立組態。 使用名稱型虛擬主機時，建議設定預設組態，以便在網域名稱與虛擬主機組態不相符時使用。系統會首先載入預設虛擬主機的組態。由於組態檔案的順序由檔案名稱決定，因此請在預設虛擬主機組態檔案名稱的開頭使用底線字元 (_)，以確定該檔案最先載入 (例如︰_default_vhost.conf)。

<VirtualHost></VirtualHost> 區塊包含要套用到特定網域的資訊。當 Apache 接收到來自定義的虛擬主機的用戶端要求時，就會使用本節所包含的指示詞。幾乎所有指示詞都可以用於虛擬主機網路位置。如需更多有關 Apache 組態指示詞的詳細資訊，請參閱http://httpd.apache.org/docs/2.2/mod/quickreference.html。

31.2.2.1.1. 以名稱為基礎的虛擬主機¶

使用以名稱為基礎的虛擬主機時，每個 IP 位址可以為數個網站提供服務。Apache 會使用用戶端所傳送之 HTTP 標頭中的主機欄位，將要求連接到與其中一個虛擬主機宣告相符的 ServerName 項目。如果沒有找到相符的 ServerName，就會預設使用第一個指定的虛擬主機。

NameVirtualHost 指示詞通知 Apache 要在哪個 IP 位址及哪個連接埠 (選擇性) 上監聽 HTTP 標頭中包含網域名稱的用戶端要求。這個選項會設定在組態檔案 /etc/apache2/listen.conf。

第一個引數可以是完全合格的網域名稱 (Fully Qualified Domain Name)，但是建議最好使用 IP 位址。第二個引數是連接埠，此引數是可選的。預設會使用連接埠 80，並且您可以透過 Listen 指示詞對其進行設定。

IP 位址和連接埠號碼都可以使用萬用字元 *，來接收所有介面上的要求。IPv6 位址必須包在方括號中。

範例 31.1. 以名稱為基礎的 VirtualHost 項目變化¶

# NameVirtualHost IP-address[:Port]
NameVirtualHost 192.168.3.100:80
NameVirtualHost 192.168.3.100
NameVirtualHost *:80
NameVirtualHost *
NameVirtualHost [2002:c0a8:364::]:80

開啟的 VirtualHost 標籤會將前面經由 NameVirtualHost 宣告的 IP 位址 (或完全合格的網域名稱) 當作以名稱為基礎之虛擬主機的組態引數。先前使用 NameVirtualHost 指示詞宣告的連接埠號碼屬於選擇性。

允許使用萬用字元 * 做為 IP 位址的替代符號。此語法只適用於在 NameVirtualHost * 中結合使用萬用字元的情形。如果是使用 IPv6 位址，該位址就必須用方括號包住。

範例 31.2. 以名稱為基礎的 VirtualHost 指示詞¶

<VirtualHost 192.168.3.100:80>
  ...
</VirtualHost>

<VirtualHost 192.168.3.100>
  ...
</VirtualHost>

<VirtualHost *:80>
  ...
</VirtualHost>

<VirtualHost *>
  ...
</VirtualHost>

<VirtualHost [2002:c0a8:364::]>
  ...
</VirtualHost>

31.2.2.1.2. 以 IP 為基礎的虛擬主機¶

此虛擬主機組態替代方法需要為一台機器設定多個 IP。一個 Apache 例項可裝載多個網域，每個網域都會指定不同的 IP。

實體伺服器必須為每部以 IP 為基礎的虛擬主機設定一個 IP 位址。當該電腦沒有安裝多張網路卡時，也可以使用虛擬網路介面 (IP 別名)。

下列範例將示範，Apache 正執行於 IP 192.168.3.100 的電腦上，並負責代管 IP 192.168.3.101 與 192.168.3.102 兩個領域。每部虛擬伺服器都必須具備個別的 VirtualHost 區塊。

範例 31.3. 以 IP 為基礎的 VirtualHost 指示詞¶

<VirtualHost 192.168.3.101>
  ...
</VirtualHost>

<VirtualHost 192.168.3.102>
  ...
</VirtualHost>

這裡出淚的 VirtualHost 指示詞，只能指定給 192.168.3.100 以外的其他介面。如果 192.168.3.100 也有設定 Listen 指示詞，這時就必須建立另一個以 IP 為基礎的虛擬主機，來回應 HTTP 要求給該介面 -- 另一種做法是套用預設伺服器組態 (/etc/apache2/default-server.conf) 所顯示的指示詞。

31.2.2.1.3. 基本虛擬主機組態¶

每個虛擬主機組態中至少要出現下列指示詞，才能設定虛擬主機。如需瞭解更多選項的詳細資訊，請參閱 /etc/apache2/vhosts.d/vhost.template。

ServerName

完全合格網域名稱，其下是應該要建立位址的主機。

DocumentRoot

目錄路徑，Apache 會從此路徑為此主機提供檔案。基於安全性考量，存取整個檔案系統是預設禁止的動作，所以您必須明確解除鎖定這個位在 Directory 容器中的目錄。

ServerAdmin

伺服器管理員的電子郵件地址. 這個地址可顯示在 Apache 建立的錯誤頁面 (舉例說明)。

ErrorLog

此虛擬主機的錯誤記錄檔案。雖然沒必要為每個虛擬主機分別建立錯誤記錄檔案，但是多數人會這樣做，以便除錯更加容易。/var/log/apache2/ 是 Apache 記錄檔案的預設目錄。

CustomLog

此虛擬主機的存取記錄檔案。雖然沒必要為每個虛擬主機分別建立存取記錄檔案，但是多數人會這樣做，以便分別為每部主機分析存取統計資料。/var/log/apache2/ 是 Apache 記錄檔案的預設目錄。

正如前面所述，存取整個檔案系統已因安全性考量而預設為禁止動作。因此，請將 Apache 要處理之檔案所在的目錄明確解除鎖定 — 例如 DocumentRoot。

<Directory "/srv/www/www.example.com/htdocs">
  Order allow,deny
  Allow from all
</Directory>

此完整組態看起來如下：

範例 31.4. 基本 VirtualHost 組態¶

<VirtualHost 192.168.3.100>
  ServerName www.example.com
  DocumentRoot /srv/www/www.example.com/htdocs
  ServerAdmin webmaster@example.com
  ErrorLog /var/log/apache2/www.example.com_log
  CustomLog /var/log/apache2/www.example.com-access_log common
  <Directory "/srv/www/www.example.com/htdocs">
    Order allow,deny
    Allow from all
  </Directory>
</VirtualHost>

若要使用 YaST 來設定您的 Web 伺服器，請啟動 YaST 並選取網路服務+HTTP 伺服器。第一次啟動模組時，HTTP 伺服器精靈會啟動，提示您對伺服器管理進行一些基本設定。完成精靈之後，每當您呼叫HTTP 伺服器模組時，HTTP 伺服器組態對話方塊就會啟動。如需詳細資訊，請參閱第 31.2.3.2 節「HTTP 伺服器組態」。

31.2.3.1. HTTP 伺服器精靈¶

HTTP 伺服器精靈包含有五個步驟。在最後一個步驟的對話方塊中，您可以進入進階組態模式以進行更多特定的設定。

31.2.3.1.1. 網路裝置選擇¶

在此，您可以指定 Apache 用來傾聽內送要求的網路介面和連接埠。您可以選取任何現有網路介面及其 IP 位址的組合。若連接埠 (連接埠隸屬以下三種：已知埠、註冊埠和動態或私人埠) 不供其他服務使用，則皆可供您使用。預設設定為在連接埠 80 上監聽所有網路介面 (IP 位址)。

核取在防火牆中開啟埠選項，可在防火牆中開啟 Web 伺服器監聽的連接埠。若要使網頁伺服器在網路 (包括 LAN、WAN 或公用網際網路) 上為可用狀態，請核取此選項。只有在測試時，並且此時不須由外部網路存取 Web 伺服器，才可以關閉該連接埠。如果您有多個網路介面，請按一下防火牆細節...以指定應對何介面開啟連接埠。

按下一步繼續設定組態。

31.2.3.1.2. 模組¶

使用模組組態選項，可以啟用或停用 Web 伺服器應支援的程序檔語言。如需有關啟用或停用其他模組的詳細資訊，請參閱第 31.2.3.2.2 節「伺服器模組」。按一下下一步，繼續進行下一個對話方塊。

31.2.3.1.3. 預設主機¶

此選項與預設網頁伺服器相關。正如第 31.2.2.1 節「虛擬主機組態」內容所述，Apache 可以在一部實體機器上提供多個虛擬主機。組態檔案中第一個宣告的虛擬主機通常會被視為預設主機。每部虛擬主機都會繼承預設主機的組態。

若要編輯主機設定 (又稱為指示詞)，請在表格中選擇適當項目，然後按一下編輯。若要新增指示詞，請按一下新增。若要刪除指示詞，請選取該指示詞，然後按一下刪除。

圖形 31.1. HTTP 伺服器精靈：預設主機¶

這是伺服器預設值的清單：

Document Root

目錄路徑，Apache 會從此路徑為此主機提供檔案。/srv/www/htdocs 是預設位置。

Alias

在配合 Alias 指示詞時，URL 可以映射到實體檔案系統位置。這表示某個路徑即使不在檔案系統的 Document Root 中，仍可藉由該路徑別名的 URL 進行存取。

預設的 SUSE Linux Enterprise Server Alias /icons 指向 /usr/share/apache2/icons，做為目錄索引檢視中顯示的 Apache 圖示。

ScriptAlias

功能相似於 Alias 指示詞，ScriptAlias 指示詞可以將 URL 映射到檔案系統位置。兩者差別在於 ScriptAlias 可以將目標目錄指定作為 CGI 位置，表示該 CGI 程序檔必須在該位置執行。

Directory

使用 Directory 設定時，您可以指定一組組態選項，只將其中的選項套用到特定目錄。

在此可以設定 /srv/www/htdocs、/usr/share/apache2/icons 和 /srv/www/cgi-bin 目錄的存取和顯示選項。其中預設值應該不需要進行改變。

Include

使用 Include 可以指定其他的組態檔案。預先設定的 Include 指令有兩個︰/etc/apache2/conf.d/ 為外部模組隨附之組態檔案所在的目錄。使用此指示詞時，此目錄中所有以 .conf 結尾的檔案都會包含在內。使用第二個指示詞時，/etc/apache2/conf.d/apache2-manual.conf，即 apache2-manual 組態檔將包含在內。

Server Name

這個項目可以指定用戶端用來聯絡網頁伺服器的預設 URL。請使用完全合格的網域名稱 (FQDN) 來連接 http://FQDN/ 的網頁伺服器或其 IP 位址。您不能在此選擇任意名稱 -- 該伺服器必須是「已知」採用這個名稱。

Server Administrator E-Mail

伺服器管理員的電子郵件地址. 這個地址可顯示在 Apache 建立的錯誤頁面 (舉例說明)。

完成設定預設主機步驟後，請按一下下一步，繼續下一個組態步驟。

31.2.3.1.4. 虛擬主機¶

在此步驟中，精靈會顯示已完成設定之虛擬主機的清單 (請參閱第 31.2.2.1 節「虛擬主機組態」)。如果在啟動 YaST HTTP 精靈之前尚未進行手動變更，則不會顯示虛擬主機。

若要新增主機，請按一下新增開啟對應的對話方塊，並在其中輸入主機的基本資訊，例如伺服器名稱、伺服器內容根目錄(DocumentRoot) 和管理員電子郵件。伺服器解析可用來決定主機的識別方式 (以名稱為基礎或是以 IP 為基礎)。透過變更虛擬主機 ID指定名稱或 IP 位址

按一下下一步，繼續進入虛擬主機組態對話方塊的第二部分。

在虛擬主機組態對話方塊的第二部分中，您可以指定是否要啟用 CGI 程序檔、以及這些程序檔要使用哪個目錄。您也可以在此啟用 SSL。如果執行了這個動作，您就必須同時指定憑證的路徑。如需有關 SSL 和憑證的詳細資訊，請參閱第 31.6.2 節「設定提供 SSL 的 Apache」。使用目錄索引選項，可以指定當用戶端要求目錄時要顯示哪個檔案 (預設為 index.html)。如果您要變更這個設定，請新增一個或多個檔名 (以空格分隔)。使用啟用公用 HTML時，使用者公用目錄 (~user/public_html/) 的內容將在伺服器的 http://www.example.com/~user 下公開。

	建立虛擬主機
您不能在此隨意新增虛擬主機。如果使用以名稱為基礎的虛擬主機，就必須在網路上解析每部主機名稱。如果是使用以 IP 為基礎的虛擬主機，每個可用 IP 位址就只能指派一部主機。

31.2.3.1.5. 摘要¶

這是精靈的最後一個步驟。您可以在此處決定 Apache 伺服器啟動的方式和時間：開機時啟動或手動啟動。同時可檢視目前已完成之組態的簡短摘要。如果您接受目前設定，請按一下完成以完成組態設定。如果要變更某些設定，請按上一步，直到出現您需要的對話方塊。按一下 HTTP 伺服器進階組態便可開啟第 31.2.3.2 節「HTTP 伺服器組態」 所介紹的對話方塊。

圖形 31.2. HTTP 伺服器精靈：摘要¶

31.2.3.2. HTTP 伺服器組態¶

HTTP 伺服器組態對話方塊可提供比精靈更多的組態調整 (精靈 只會在第一次設定網頁伺服器時執行)。其中包含下列要介紹的四個索引標籤。在此變更的任何選項都無法立即生效 -- 您必須先按一下完成進行確認之後，它們才會生效。按一下中止，系統將不變更組態模組，並會捨棄您的變更。

31.2.3.2.1. 傾聽連接埠和位址¶

在HTTP 服務中，選取執行 (啟用) 或停止 (停用) Apache。在傾聽埠中，新增、編輯或刪除可透過其使用伺服器的位址和連接埠。預設會在連接埠 80 上監聽所有介面。任何情況下都必須核取在防火牆中開啟埠，否則將無法從外部連接 Web 伺服器。只有在測試時，並且此時不須由外部網路存取 Web 伺服器，才可以關閉該連接埠。如果您有多個網路介面，請按一下防火牆細節...以指定應對何介面開啟連接埠。

使用記錄檔案時，可檢視存取記錄或錯誤記錄。測試組態時此選項非常有用。記錄檔案會在另一個視窗中開啟，您也可以在此處重新啟動或重新載入 Web 伺服器。如需詳細資料，請參閱第 31.3 節「啟動和停止 Apache」。這些指令會立即生效，其記錄訊息也會即刻顯示。

圖形 31.3. HTTP 伺服器組態：傾聽連接埠和位址¶

31.2.3.2.2. 伺服器模組¶

您可以按一下切換狀態，變更 Apache2 模組的狀態 (啟用或停用)。按一下新增模組，可新增已經安裝但是未列出的新模組。若要更進一步認識模組，請參閱第 31.4 節「安裝、啟用和設定模組」。

圖形 31.4. HTTP 伺服器組態：伺服器模組¶

31.2.3.2.3. 主要主機¶

這些對話方塊相同於前面已介紹過的對話方塊。請參閱第 31.2.3.1.3 節「預設主機」和第 31.2.3.1.4 節「虛擬主機」。

如果您已依照第 31.1.2 節「安裝」 中所述完成預設安裝，則下列模組此時都已安裝︰所有基礎模組與延伸模組、多重處理模組 Prefork MPM 以及外部模組 mod_php5 與 mod_python。

您可以啟動 YaST，然後選擇軟體+軟體管理，來安裝其他的外部模組。現在，請依序選擇過濾器+搜尋，然後搜尋 apache。結果清單中除其他套件之外，還會包含所有可用的外部 Apache 模組。

以手動方式或透過 YaST 啟用或停用特定模組。在 YaST 中，若要啟用或停用程序檔語言模組 (PHP5、Perl 和 Python)，需要使用第 31.2.3.1 節「HTTP 伺服器精靈」中所述的模組組態。所有其他模組都可以依據第 31.2.3.2.2 節「伺服器模組」說明步驟來啟用或停用。

如果您偏好手動啟用或停用模組，請分別使用 a2enmod mod_foo 或 a2dismod mod_foo 指令。a2enmod -l 會輸出目前所有的使用中模組清單。

	包含外部模組的組態檔案
如果您已經手動啟用外部模組，請確定將其組態檔案載入至所有的虛擬主機組態。外部模組的組態檔案會存放在 /etc/apache2/conf.d/ 之下，而且不會預設載入。如果您需要在每個虛擬主機上載入相同模組，您可以含入此目錄中的 *.conf。另一種做法是含入個別檔案。如需取得範例說明，請參閱/etc/apache2/vhost.d/vhost.template。

Apache 說明文件中詳細介紹了所有的基本模組和延伸模組。本文件只提供最重要模組的概要說明。如需關於每個模組的詳細資訊，請參閱 http://httpd.apache.org/docs/2.2/mod/。

SUSE Linux Enterprise Server 提供了兩種不同的多重處理模組 (MPM) 來搭配 Apache 使用。

31.4.4.1. Prefork MPM¶

Prefork MPM 會實作非執行緒、預衍生的 Web 伺服器。這個模組會讓 Web 伺服器以類似 Apache 1.x 版的行為作業。在此版本中，Apache 會透過衍生出獨立的子程序，將各個要求分開處理。這樣發生問題的要求就不會影響其他要求，進而避免網頁伺服器出現鎖定現象。

雖然透過這種以處理程序為主的方法可以提供穩定性，但是比起 Worker MPM，Prefork MPM 會耗用較多的系統資源。Unix 作業系統會將 Prefork MPM 當作預設 MPM。

	本文件的 MPM
本文件會假設 Apache 是使用 Prefork MPM。

31.4.4.2. Worker MPM¶

Worker MPM 會提供多執行緒 Web 伺服器。執行緒是「輕量級」的處理程序。執行緒和處理程序相比的優點是，它消耗的資源較少。Worker MPM 不只會衍生子處理程序，它還可使用執行緒和伺服器處理程序，來為要求提供服務。預衍生的子程序具有多重執行緒。這種方法因為耗用比 Prefork MPM 更少的系統資源，因此可以提高 Apache 的執行效能。

一個主要缺點就是 Worker MPM 的穩定性：當某執行緒毀損時，處理程序的所有執行緒都會受到影響。最嚴重的情況下，甚至還會造成伺服器當機。尤其是在負載量高的 Apache 上使用通用閘道介面 (CGI) 時，可能就會因線串無法與系統資源進行通訊而產生內部伺服器錯誤。在 Apache 上使用 worker MPM 的另外一點爭議，就是並非所有可用的 Apache 模組都能安全地使用執行緒，這樣就無法配合 worker MPM 使用。

	搭配 MPM 使用 PHP 模組
並非所有可用的 PHP 模組都是安全執行緒。因此最好不要搭配 worker MPM 來使用 mod_php。

此處提供了 SUSE Linux Enterprise Server 隨附的所有外部模組的清單。

Apache 允許進階使用者編寫自定模組進行延伸。若要開發 Apache 模組或編譯協力廠商模組，除了相對應開發工具外，還需要套件 apache2-devel。apache2-devel 也包含了 apxs2 工具，這是在編譯 Apache 其他模組時，需要用到的工具。

apxs2 可以從原始程式碼進行模組編譯和安裝 (其中包括必要的組態檔案變更)，並建立可於 Runtime 載入 Apache 的動態共享物件 (DSO)。

apxs2 二進位檔案位在 /usr/sbin 下方：

請使用下列指令透過原始碼安裝並啟用模組︰

cd /path/to/module/source; apxs2 -cia
    mod_foo.c

其中，-c 用於編譯模組，-i 用於安裝模組，-a 用於啟用模組。如需有關 apxs2 的其他選項資訊，請參閱 apxs2(1) man 頁面。

在 SUSE Linux Enterprise Server 中，CGI 程序檔只能在 /srv/www/cgi-bin/ 目錄中執行。這個位置已設定用來執行 CGI 程序檔。如果您已經建立虛擬主機組態 (請參閱第 31.2.2.1 節「虛擬主機組態」) 並想要將程序檔放置到主機特定的目錄，則必須解除鎖定和設定此目錄。

ScriptAlias /cgi-bin/ "/srv/www/www.example.com/cgi-bin/"

<Directory "/srv/www/www.example.com/cgi-bin/">
 Options +ExecCGI
 AddHandler cgi-script .cgi .pl
 Order allow,deny
 Allow from all
</Directory>

CGI 程式設計不同於「一般」程式設計；因為 CGI 程式和程序檔的最前面必須是 MIME-Type 標頭，例如 Content-type: text/html。這個標頭會傳送到用戶端，使其瞭解所接收內容的類型。其次，程序檔的輸出一定是用戶端 (通常是指網頁瀏覽器) 可了解的內容 -- 舉例來說，在多數情況下是指 HTML，或者是純文字或影像。

Apache 套件會在 /usr/share/doc/packages/apache2/test-cgi 提供簡單的測試程序檔。這個程序檔會以純文字方式輸出部分環境變數的內容。請將這段程序檔複製到 /srv/www/cgi-bin/ 或虛擬主機的程序檔目錄 (/srv/www/www.example.com/cgi-bin/)，並將其命名為 test.cgi。

可由 Web 伺服器存取的檔案應該屬於 root 使用者所有。如需其他資訊，請參閱第 31.8 節「避免安全性問題」。因為網頁伺服器可由不同使用者身分執行，所以 CGI 程序檔必須具備可供全球執行和可供全球讀取等特性。變更 CGI 目錄和使用 chmod 755 test.cgi 指令，便可套用適當的許可權。

現在，請呼叫 http://localhost/cgi-bin/test.cgi 或 http://www.example.com/cgi-bin/test.cgi。這時應該會顯示 「CGI/1.0 測試程序檔報告」。

如果這時沒有顯示測試程式的輸出結果，而是出現錯誤訊息，請檢查下列項目：

為了搭配使用 SSL/TSL 與網頁伺服器，您必須建立 SSL 憑證。網頁伺服器和用戶端在彼此驗證時要用到這項憑證，以便讓任一方可以清楚識別對方。為了確保憑證的完整性，其必須由每位使用者信任的一方加以簽章。

您可以建立下列三種類型的憑證：僅供測試使用的 「虛擬」 憑證、供已定義信任圈使用者使用的自我簽發憑證，以及由獨立、公開的憑證授權機構 (CA) 簽發的憑證。

憑證建立基本上可分為兩個步驟。首先產生憑證授權機構的私密金鑰，接著再使用該金鑰簽發伺服器憑證。

	更多資訊
若要更進一步蓋識 SSL/TSL 的概念和定義，請參閱 http://httpd.apache.org/docs/2.2/ssl/ssl_intro.html。

31.6.1.1. 建立 「虛擬」 憑證¶

產生虛構憑證的步驟很簡單。您只要呼叫程序檔 /usr/bin/gensslcert，此操作會建立或覆寫下列檔案。使用 gensslcert 的可選參數可以校調證書。如需詳細資訊，可呼叫 /usr/bin/gensslcert -h。

• /etc/apache2/ssl.crt/ca.crt

• /etc/apache2/ssl.crt/server.crt

• /etc/apache2/ssl.key/server.key

• /etc/apache2/ssl.csr/server.csr

• /root/.mkcert.cfg

ca.crt 的複製本也會放在 /srv/www/htdocs/CA.crt 提供下載。

	僅供測試之用
虛構憑證絕對不可用於生產環境系統。這類憑證只能用於測試目的。

31.6.1.2. 建立自我簽發憑證¶

如果您要設定供內部網路或已定義使用者圈使用的安全 Web 伺服器，透過您自己的憑證管理中心 (CA) 簽發憑證就可有效符合此時的憑證需求。

自我簽署憑證的建立程序分為互動的九個步驟。請切換至目錄 /usr/share/doc/packages/apache2，並執行下列指令︰./mkcert.sh make --no-print-directory /usr/bin/openssl /usr/sbin/ custom。請勿嘗試從這個目錄外面執行這個指令。這個程式會提供一系列提示訊息，其中有部分提示需要使用者輸入。

過程 31.4. 使用 mkcert.sh 建立自我簽發憑證¶

1. 決定憑證所使用的簽章演算法

   選擇 RSA (R，此為預設選項)，因為有些早期瀏覽器無法使用 DSA。

2. 產生 CA 的 RSA 私密金鑰 (1024 位元)

   這時不須進行任何互動。

3. 產生 CA 的 X.509 憑證簽發要求

   在此建立 CA 的可辨識名稱。這時系統會要求您回答一些問題，例如國家/地區名或組織名稱。請輸入有效資料，因為您在此輸入的每項資料將來都會顯示在憑證中。您不需要回答每個問題。如果有不適用的問題或是您希望保留空白，請使用 「.」。一般名稱是指 CA 本身的名稱 -- 請選擇明顯的名稱，例如 My company CA。

   	CA 的通用名稱
   CA 的通用名稱必須區別於伺服器的通用名稱，因此不要在此步驟中選擇完全合格的主機名稱。

4. 產生 CA 本身簽發的 X.509 憑證

   選擇憑證版本 3 (預設選項)。

5. 產生 SERVER 的 RSA 私密金鑰 (1024 位元)

   這時不須進行任何互動。

6. 產生 SERVER 的 X.509 憑證簽發要求

   在此建立伺服器金鑰的可識別名稱。這時要回答的問題與建立 CA 可識別名稱時回答的問題幾乎一樣。在此輸入的資料會套用到網頁伺服器，因此不需要和 CA 資料完全相同 (例如，伺服器可能會出淚任意位置)。

   	選取通用名稱
   您在此輸入的一般名稱必須是安全伺服器的完整主機名稱 (例如，www.example.com)。否則瀏覽器會在存取網頁伺服器時發出警告，表示憑證與伺服器不相符。

7. 產生本身 CA 簽發的 X.509 憑證

   選擇憑證版本 3 (預設選項)。

8. 使用密碼片語為 CA 的 RSA 私密金鑰加密，以提高安全性

   我們強烈建議您使用密碼來加密 CA 的私密金鑰，請選擇 Y 來輸入密碼。

9. 使用密碼片語為 SERVER 的 RSA 私密金鑰加密，以提高安全性

   若使用密碼為伺服器金鑰加密，則每當要啟動網頁伺服器時就必須輸入這個密碼。如此一來就很難自動在開機時啟動伺服器或是重新啟動網頁伺服器。因此，使用者通常會在回答這個問題時選擇 N。請注意金鑰在沒有使用密碼加密時是不受保護狀態，同時請確定只有經授權人員可以存取該金鑰。

   	加密伺服器金鑰
   如果您選擇使用密碼為伺服器金鑰進行加密，請為存放在 /etc/sysconfig/apache2 的 APACHE_TIMEOUT 提高設定值。否則，您在嘗試啟動伺服器之前可能來不及輸入密碼片語，但是伺服器早就啟動失敗而停止。

程序檔的結果頁面會出現憑證清單，以及其所產生的金鑰。不同於程序檔輸出的結果，這些檔案並不是產生到本地目錄 conf，而是產生到 /etc/apache2/ 下面的正確目錄。

最後一個步驟就是從 /etc/apache2/ssl.crt/ca.crt 將 CA 憑證檔案複製到使用者可存取的位置，以便使用者將該檔案納入其網頁瀏覽器已知和信任的 CA 清單中。否則，瀏覽器會報告該憑證是由不明授權機構所簽發。這類憑證的有效期限是一年。

	自行簽署的證書
僅在供認識您、且信任您為證書管理中心之使用者存取的網頁伺服器上，方可使用自我簽署憑證。我們不建議您在公開商店等場所使用此類證書。

在網頁伺服器端上，SSL 和 TLS 要求的預設連接埠是 443。同時有傾聽連接埠 80 的「一般」Apache 和傾聽連接埠 443 之已啟用 SSL/TLS 的 Apache，並不會產生衝突。事實上，HTTP 和 HTTPS 可以執行相同的 Apache 例項。通常這時會使用不同的虛擬主機，將連接埠 80 和連接埠 443 的要求分派到不同的虛擬伺服器。

	防火牆組態
請不要忘記為連接埠 443 上已啟用 SSL 的 Apache 開啟防火牆。您可以依據Section “Configuring the Firewall with YaST” (Chapter 15, Masquerading and Firewalls, ↑Security Guide)所述方式，透過 YaST 完成這個動作。

在全域伺服器組態中，預設會啟用 SSL 模組。如果主機上停用了該模組，請使用 a2enmod ssl 指令將其啟用。若最終要啟用 SSL，需使用旗標 「SSL」 啟動伺服器。此時，請呼叫 a2enflag SSL。如果選擇使用密碼來加密伺服器證書，您還需要提高 /etc/sysconfig/apache2 中 APACHE_TIMEOUT 的設定值，以便您在啟動 Apache 時有足夠的時間輸入該密碼片語。請重新啟動伺服器來確保這些變更生效。只是重新載入並無法保證變更生效。

虛擬主機組態目錄包含了樣板 /etc/apache2/vhosts.d/vhost-ssl.template 和 SSL 特定指示詞 (將提供詳細文件說明)。如需一般虛擬主機組態的詳細資訊，請參閱第 31.2.2.1 節「虛擬主機組態」。

若要開始，請將樣板複製到 /etc/apache2/vhosts.d/mySSL-host.conf 並進行編輯。充分調整下列指示詞的值︰

31.6.2.1. 以名稱為基礎的虛擬主機和 SSL¶

依預設，在只有一個 IP 位址的伺服器上，無法同時執行多個啟用了 SSL 的虛擬主機。以名稱為基礎的虛擬主機需要 Apache 瞭解所要求的伺服器名稱。使用 SSL 連接的問題在於，此類要求只能在使用預設虛擬主機建立了 SSL 連接後才能讀取。如此一來，使用者將會收到證書與伺服器名稱不符的警告訊息。

SUSE Linux Enterprise Server 提供了一項 SSL 通訊協定的延伸︰伺服器名稱指示 (Server Name Indication，SNI)。該項延伸會在 SSL 協議中傳送虛擬網域的名稱，以此解決這個問題。這可讓伺服器早些「切換」至正確的虛擬網域，並在瀏覽器中顯示正確的證書。

SUSE Linux Enterprise Server 中預設會啟用 SNI。若要針對 SSL 啟用以名稱為基礎的虛擬主機，請依照第 31.2.2.1.1 節「以名稱為基礎的虛擬主機」 中所述設定伺服器 (請注意，您需要對 SSL 連線使用連接埠 443 而非 80)。

	SNI 瀏覽器支援
用戶端上也必須支援 SNI。儘管大多數的瀏覽器都支援 SNI，但一些用於行動硬體的瀏覽器以及 Internet Explorer 和 Windows* XP 上的 Safari 不支援 SNI。如需詳細資料，請參閱 http://en.wikipedia.org/wiki/Server_Name_Indication。 請使用指示詞 SSLStrictSNIVHostCheck 設定如何處理不支援 SNI 的瀏覽器。若在伺服器組態中設定為 on，則不支援 SNI 的瀏覽器對所有虛擬主機的存取都會遭到拒絕。若在某個 VirtualHost 指示詞中設定為 on，則對於此特定主機的存取將遭到拒絕。 若在伺服器組態中設定為 off，則伺服器將表現為不支援 SNI。SSL 要求將由為連接埠 443 定義的第一個虛擬主機處理。

SUSE 會在發現 Apache 軟體弱點時，發出安全性建議事項。其中包含應儘速套用的弱點修正指示。請由下列位置取得 SUSE 安全性公告：

依預設，在 SUSE Linux Enterprise Server 中，DocumentRoot 目錄 /srv/www/htdocs 與 CGI 目錄 /srv/www/cgi-bin 的所有權屬於 root 使用者和群組。這些許可權不可變更。如果目錄對所有人開放寫入權限，則任何使用者都可以將檔案放入其中。然後，這些檔案可能會由具有 wwwrun 許可權的 Apache 執行，而這種情況可能會造成使用者取得非預期的檔案系統資源存取權限。使用 /srv/www 子目錄來存放虛擬主機的 DocumentRoot 和 CGI 目錄，並確定這些目錄所有權屬於 root 使用者和群組。

依預設，/etc/apache2/httpd.conf 已設定成拒絕存取整個檔案系統。切勿覆寫這些指示詞，不過您可以特別啟用 Apache 應當能夠讀取之所有目錄的存取權限。如需詳細資料，請參閱第 31.2.2.1.3 節「基本虛擬主機組態」。如果要執行這個動作，請確保沒有任何重要檔案 (例如密碼或系統組態檔案) 可由外界進行讀取。

使用 Perl、PHP、SSI 或是任何其他程式設計語言的互動式程序檔，基本上都可以執行任意指令，因此會產生常見的安全性問題。將從伺服器執行的程序檔，只能由伺服器管理員信任的來源進行安裝 -- 通常最好不要讓使用者執行自己的程序檔。同時建議您為所有程序檔進行安全性稽核。

為了盡可能簡化程序檔的管理工作，通常建議您限制 CGI 程序檔在特定目錄中執行，而不是全域性開放執行。您可以使用 ScriptAlias 和 Option ExecCGI 指示詞來進行組態設定。SUSE Linux Enterprise Server 的預設組態不允許隨處執行 CGI 程序檔。

所有 CGI 程序檔都是以相同使用者身分執行，所以不同的程序檔彼此之間可能會產生衝突。module suEXEC 可讓您以不同使用者和群組身分來執行 CGI 程序檔。

在啟用使用者目錄 (使用 mod_userdir 或 mod_rewrite) 時，您應該審慎考慮不要允許覆寫 .htaccess 檔案，因為這會允許使用者覆寫安全性設定。至少您應該使用 AllowOverRide 指示詞來限制使用者的應用範圍。在 SUSE Linux Enterprise Server 中，.htaccess 檔案預設處於啟用狀態，但使用者不允許在使用 mod_userdir 時覆寫任何 Option 指令 (請參閱 /etc/apache2/mod_userdir.conf 組態檔案)。

如需 Apache 2.2 最新功能的清單，請參閱 http://httpd.apache.org/docs/2.2/new_features_2_2.html。如需從 2.0 升級至 2.2 版的資訊，請參閱下列網址資訊：http://httpd.apache.org/docs-2.2/upgrading.html。

有關第 31.4.5 節「外部模組」 中簡要介紹的外部 Apache 模組的詳細資訊，可在以下位置找到︰

如需更多有關開發 Apache 模組或是參與 Apache 網頁伺服器計畫的詳細資訊，請參閱下列主題內容：

如果您在 SUSE Linux Enterprise Server 中遇到與 Apache 有關的問題，請查閱「技術資訊搜尋」，網址為：http://www.novell.com/support。關於 Apache 的歷程，請參閱 http://httpd.apache.org/ABOUT_APACHE.html。此頁面也說明稱伺服器為 Apache 的原因。