Web网页的不同安全机制
Linux通过apach的httpd服务建立的web服务有3种不同的安全方式
- 身份验证 （通过账号密码验证用户的身份）
- 来源控制 （通过ip地址的过滤限定访问的用户）
- 加密访问 （通过数字证书保证数据的安全性）
一：身份验证的实现：
Centos安装完成httpd服务后启动
[[email protected] Packages]# vim /etc/httpd/conf/httpd.conf 编辑配置文件
将none改为all（开启身份验证）
[[email protected] Packages]# cd /var/www/html/ 进入网页主目录
[[email protected] html]# vim .htaccess 创建点开头的隐含文件
authuserfile /var/www/.htpasswd //账号库密码的位置
authname "please input your name and passwd" //说明文字
authtype basic //安全类型
require valid-user //针对的用户
将文件编辑为如此
[[email protected] html]# cd .. 进入账号库文件放置的目录下
[[email protected] www]# htpasswd -c .htpasswd wang 创建一个账号库文件且加入一个用户名为wang
然后提示输入密码
[[email protected] www]# htpasswd .htpasswd centos 创建第二个账户
[[email protected] www]# service httpd restart 重启httpd服务
然后浏览器访问测试下
提示需要输入账号密码
输入账号密码后成功访问
二：来源控制的实现
[[email protected] www]# vim /etc/httpd/conf/httpd.conf 编辑配置文件
将342行修改为
Order deny,allow
343 Allow from 192.168.2.10
344 deny from all
先deny all，然后allow 192.168.2.10访问
[[email protected] www]# service httpd restart 重启httpd
现在我虚拟机ip为192.168.2.100，访问测试下
无法登陆
将ip改为192.168.2.10访问
成功访问
从日志可以看到访问情况
三．加密访问的实现
Openca
[[email protected] www]# rpm -qa |grep openssl
openssl-1.0.1e-15.el6.i686 查看是否安装过相应的包，如果没有安装，请自行安装
[[email protected] www]# cd /etc/pki/ 进入pki目录
[[email protected] pki]# vim tls/openssl.cnf 编辑证书配置文件
找到此内容，修改为：
其中45行的index.txt 51行的serial CA目录里没有，需要建个这文件
[[email protected] modules]# cd /etc/pki/CA/
[[email protected] CA]# touch index.txt
[[email protected] CA]# touch serial
[[email protected] CA]# echo "01" >serial 将serial加入编号
[[email protected] CA]# openssl genrsa >private/cakey.pem 生成私钥文件放入当前private文件夹里的cakey
[[email protected] CA]# cd private/
-rw-r--r--. 1 root root 887 Aug 18 16:59 cakey.pem
[[email protected] private]# chmod 600 cakey.pem （改变文件的权限以达到安全的目的）
[[email protected] CA]# openssl req -new -key private/cakey.pem -x509 -out cacert.pem 输出公钥
错误！未找到目录项。
出现了输入名字，如果想要改变默认值可以编辑
[[email protected] pki]# vim tls/openssl.cnf
修改成
然后下面这些是默认值：
修改即可 然后执行
[[email protected] CA]# openssl req -new -key private/cakey.pem -x509 -out cacert.pem
这些可以选择默认，也可以自己修改
[[email protected] CA]# ll /media/cdrom/Packages/|grep ssl 需要安装和ssl相关的模块，先查询下
[[email protected] CA]# yum --disablerepo=\* --enablerepo=c6-media install mod_ssl -y 然后安装
[[email protected] CA]# rpm -ql mod_ssl 查询下是否安装成功
[[email protected] CA]# vim /etc/httpd/conf.d/ssl.conf 可以查看证书配置文件
[[email protected] CA]# mkdir /etc/httpd/certs 创建个cert目录
[[email protected] CA]# cd /etc/httpd/certs/
[[email protected] certs]# openssl genrsa >httpd.key 生产私钥给我当前目录新建的http.key文件
[[email protected] certs]# chmod 600 httpd.key 更改权限达到安全的目的
[[email protected] certs]# openssl req -new -key httpd.key -out httpd.req 相对于http.key私钥生成公钥
-----
Country Name (2 letter code) [CN]:
State or Province Name (full name) [BEIJING]:HENAN
Locality Name (eg, city) [BEIJING]:ZHENGZHOU
Organization Name (eg, company) [Default Company Ltd]:HAHA
Organizational Unit Name (eg, section) []:QQ
Common Name (eg, your name or your server‘s hostname) []:www.qq.com
Email Address []:
自己选择填写的选项
[[email protected] certs]# openssl ca -in httpd.req -out httpd.cert 给httpd颁发证书
[[email protected] pki]# cd /etc/pki/CA/
[[email protected] CA]# cat index.txt
V 150818112629Z 01 unknown /C=CN/ST=HENAN/O=HAHA/OU=QQ/CN=www.qq.com
文件里有了文件
[[email protected] certs]# vim /etc/httpd/conf.d/ssl.conf 将证书跟web服务器捆绑
105 SSLCertificateFile /etc/httpd/certs/httpd.cert 改为证书所在的目录
112 SSLCertificateKeyFile /etc/httpd/certs/httpd.key 私钥文件所在目录
[[email protected] certs]# service httpd configtest
Syntax OK 语法检测正确
[[email protected] certs]# service httpd restart 重启httpd服务
[[email protected] certs]# netstat -tupln |grep httpd
tcp 0 0 :::80 :::* LISTEN 6664/httpd
tcp 0 0 :::443 :::* LISTEN 6664/httpd
查看httpd端口，一个是明文端口80，一个是密文端口443,。
进行测试
提示需要安装证书
证书信息正是自己设置的，成功！如果不想每次访问的时候都提示安装证书可以使用域名访问，我这里做个简单的host代替dns
编辑此目录下的host文件
加入192.168.2.50 输入自己颁发的域名即可 即可