บันทึกนี้ดูแลโดยวิบูลย์
ปรับปรุงล่าสุดเมื่อ 14-02-2563
ตัวอย่างนี้ผมทดสอบกับ web server opensource.cc.psu.ac.th ครับ โดยสรุปความรู้มาจากหลาย ๆ เว็บเพจ
โดยที่ ubuntu server ที่ใช้งาน เป็น 16.04
1. เข้าทำงานเป็น root
sudo su -
2.เอาไฟล์ SSLCertificate มาเก็บไว้อย่างปลอดภัย (ตัวอย่าง cc.psu.ac.th)
เอาไฟล์ SSLCertificate ที่ซื้อมาไว้ที่ server สมมติที่ไดเรกทอรี /home/mama จากนั้นทำคำสั่ง
สมมติว่าจะวาง certificate files ไว้ที่ /etc/ssl/private/
cd /etc/ssl/private/
unzip /home/mama/star.cc.psu.zip
chmod -R 640 star.cc.psu/
3.สร้างไฟล์ที่จะ start https
สมมติว่าใน /etc/ssl/private/ มี 5 ไฟล์ คือ alphassl.ca-bundle, ccpsu.crt, ccpsu.key, ccpsu.pem, ccpsu.pfx
SSLCertificateFile /etc/ssl/private/star.cc.psu/ccpsu.crt SSLCertificateKeyFile /etc/ssl/private/star.cc.psu/ccpsu.key SSLCertificateChainFile /etc/ssl/private/star.cc.psu/alphassl.ca-bundle
หรืออีกตัวอย่าง สมมติว่าใน /etc/ssl/private/ มี 3 ไฟล์ คือ intermediate_domain_ca.crt, STAR_psu_ac_th.crt, STAR_psu_ac_th.key
SSLCertificateFile /etc/ssl/private/STAR_psu_ac_th.crt SSLCertificateKeyFile /etc/ssl/private/STAR_psu_ac_th.key SSLCertificateChainFile /etc/ssl/private/intermediate_domain_ca.crt
สมมติว่าเราจะตั้งชื่อ config file ว่า opensource-ssl.conf (ตั้งชื่ออื่นได้ เช่น ให้ตรงกับชื่อเว็บไซต์ เป็นต้น)
cd /etc/apache2/sites-available/
cp default-ssl.conf opensource-ssl.conf
nano opensource-ssl.conf
ตำแหน่งนี้คือตอนต้นของไฟล์
<IfModule mod_ssl.c>
<VirtualHost _default_:443>
ServerName opensource.cc.psu.ac.th
ServerAdmin webmaster@localhost
DocumentRoot /var/www/
<Directory /var/www/>
Options FollowSymLinks MultiViews
AllowOverride None
Order allow,deny
allow from all
</Directory>
# Available loglevels: trace8, ..., trace1, debug, info, notice, warn,
# error, crit, alert, emerg.
# It is also possible to configure the loglevel for particular
# modules, e.g.
#LogLevel info ssl:warn
ErrorLog ${APACHE_LOG_DIR}/opensource-ssl_error.log
CustomLog ${APACHE_LOG_DIR}/opensource-ssl_access.log common
SSLEngine on
SSLCertificateFile /etc/ssl/private/star.cc.psu/ccpsu.crt
SSLCertificateKeyFile /etc/ssl/private/star.cc.psu/ccpsu.key
SSLCertificateChainFile /etc/ssl/private/star.cc.psu/alphassl.ca-bundle
# Do this Line for SSL very secure
Header add Strict-Transport-Security "max-age=15768000;includeSubDomains"
ยังมีบรรทัดอื่น ๆ ไม่เกี่ยว
save ไฟล์
4. enable module ที่ต้องใช้
a2enmod headers
a2enmod ssl
5. ขั้นตอนทำให้ได้ SSL ที่ secure มาก ๆ
nano /etc/apache2/mods-enabled/ssl.conf
SSLCipherSuite ECDH+AESGCM:DH+AESGCM:ECDH+AES256:DH+AES256:ECDH+AES128:DH+AES:RSA+AESGCM:RSA+AES:!aNULL:!MD5:!DSS SSLHonorCipherOrder on SSLProtocol all -SSLv3 -TLSv1 -TLSv1.1 SSLCompression off </IfModule> ตำแหน่งนี้คือตอนท้ายของไฟล์
Save ไฟล์
6. enable web site ssl ที่สร้างขึ้นใหม่
a2ensite opensource-ssl.conf
7. restart apache2 web server
service apache2 restart
เสร็จแล้ว
หาก error ก็ต้องหาว่า พิมพ์ผิดอะไรบ้าง บางบรรทัดก็ยาวมาก ระวังอย่าให้เกิดการตัดบรรทัด
References:
การแก้ไข Certificate สำหรับ Apache Web Server (Ubuntu 14.04 LTS)
https://sysadmin.psu.ac.th/2015/11/10/certificate-apache-web-server-ubuntu-14-04-lts/
เปลี่ยน Certificate!?
https://sysadmin.psu.ac.th/2014/12/18/เปลี่ยน-certificate/
Byeๆ TLS1.0 TLS1.1
https://sysadmin.psu.ac.th/2020/02/14/bye-tls1-0-tls1-1/