Windows 下 Apache SSL 模块配置备忘

Apache 版本：Apache 2.2.8 for Windows，包含 ssl 模块支持。文件名形如 apache_2.2.8-win32-x86-openssl-0.9.8g.msi。

工作目录：~/apache2.2

-------------------------------------------------
1，生成私钥 .key

~\Apache2.2>openssl genrsa -des3 -out localhost.key 1024
Loading 'screen' into random state - done
Generating RSA private key, 1024 bit long modulus
............++++++
..........................++++++
e is 65537 (0x10001)
Enter pass phrase for localhost.key: mbi1001
Verifying - Enter pass phrase for localhost.key:mbi1001

由于使用 -des3 参数，需要输入一个密码对私钥进行加密，如不需要对私钥加密请不要使用-des3选项。
结果生成 localhost.key 文件。

2，将私钥解密(可选)：

~\Apache2.2>openssl rsa -in localhost.key -out localhost.decrypt-key
Enter pass phrase for localhost.key:
writing RSA key

输入 pass phrase for localhost.key 后，生成解密后的 localhost.decrypt-key 文件。也可以使用未解密的文件。

3，根据.key生成证书请求文件.csr：

~\Apache2.2>openssl req -new -config ./conf/openssl.cnf -key localhost.key -out localhost.csr
Enter pass phrase for localhost.key:mbi1001
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:CN
State or Province Name (full name) [Some-State]:shaanxi
Locality Name (eg, city) []:xian
Organization Name (eg, company) [Internet Widgits Pty Ltd]:myCom Name
Organizational Unit Name (eg, section) []:myOU Name
Common Name (eg, YOUR name) []:localhost
Email Address []:

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:mbi1001
An optional company name []:

Common Name 输入网站域名，否则会报告此证书不是为本网站颁发的。
从Email地址开始，下面的信息可以不需要，保留为空，直接回车即可。
pass phrase for localhost.key 与前边输入的必须一致。

需要输入的信息说明及举例：

Country Name：ISO国家代码（两位字符），CN
State or Province Name：所在省份，GuangDong
Locality Name：所在城市，ShenZhen
Organization Name：公司名称，KaiKai Technology Co. Ltd.
Organizational Unit Name：部门名称 IT Dept.
Common Name：申请证书的域名，test.com
Email Address：不需要输入
A challenge password：不需要输入

请妥善保存生成的文件。

命令行参数 -config conf/openssl.cnf 指出了 ssl 配置文件 openssl.cnf 位置，否则报告错误：
Unable to load config info from /usr/local/ssl/openssl.cnf

设置 Openssl 全局环境变量为 ~\apache2.2\conf\openssl.cnf 也可以。
在 Windows 系统下 openssl.cnf 默认会被当成快捷方式，看不到扩展名。

4，提交.csr文件给证书提供商以申请你的域名证书，以便他们制作.crt证书文件和CA文件。
a、把刚才所生成的 .csr 文件，发给证书提供商。
b、等待证书提供商颁发证书。
注：证书提供商目前有VeriSign、globalsign等，自己也可以google下：）

作为测试。这里自己制作，使用下面的命令：

~\Apache2.2>openssl x509 -in localhost.csr -out localhost.crt -req -signkey localhost.key -days 365
Loading 'screen' into random state - done
Signature ok
subject=/C=CN/ST=shaaanxi/L=xian/O=myCom for Test SSL/OU=my OU name/CN=localhost
Getting Private key
Enter pass phrase for localhost.key:mbi1001

5，部署到服务器上：
拷贝到 ~/apache2.2/conf 文件夹下。

6，修改配置：

在 ~/apache2.2/conf/httpd.conf 中修改:

LoadModule ssl_module modules/mod_ssl.so 打开注释
Include conf/extra/httpd-ssl.conf 打开注释

在 ~/apache2.2/conf/extra/httpd-ssl.conf 中修改，主要是把上边生成的证书文件的路径配置正确。要点摘录如下：

Listen 443
AddType application/x-x509-ca-cert .crt
SSLPassPhraseDialog builtin
SSLMutex default
<VirtualHost *:443>
DocumentRoot "C:/Program Files/Apache Software Foundation/Apache2.2/htdocs"
ServerName localhost:443
SSLEngine on
SSLCipherSuite ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP:+eNULL
SSLCertificateFile "C:/Program Files/Apache Software Foundation/Apache2.2/conf/localhost.crt"
SSLCertificateKeyFile "C:/Program Files/Apache Software Foundation/Apache2.2/conf/localhost.decrypt-key"
#SSLCACertificatePath "C:/Program Files/Apache Software Foundation/Apache2.2/conf/ssl.crt"
#SSLCACertificateFile "C:/Program Files/Apache Software Foundation/Apache2.2/conf/ssl.crt/ca-bundle.crt"
#SSLVerifyClient require #本测试没打开
#SSLVerifyDepth 10
</VirtualHost>

7，运行测试：
浏览器地址栏输入网址：
https://localhost，注意后面不带“:443”端口号。
会出现警告信息，点击继续“继续浏览此网站(不推荐) ”（在 IE8下）链接即可。