FreeBSDメモ/オレオレSSL鯖を立てる

オレオレSSL鯖を立てる

[FreeBSDメモに戻る]

入れるもの

• /usr/ports/security/openssl
• /usr/ports/www/apache?? あたりに、mod_ssl も一緒に入れる

設定

簡易シェル

rm -rf /usr/local/CA
mkdir /usr/local/CA
cd /usr/local/CA
openssl genrsa -des3 -out server.key 2048
chmod 400 server.key
openssl req -new -x509 -days 36500 -key server.key -out server.crt
chmod 400 server.crt
openssl x509 -in server.crt -out server.der -outform DER

詳細入力項目

• Enter pass phrase for ？？？
  パスフレーズを入力する。
• Country Name (2 letter code) [AU]:JP
  国名
• State or Province Name (full name) [Some-State]:Chiba
  都道府県名
• Locality Name (eg, city) []:himitsu
  市区町村
• Organization Name (eg, company) [Internet Widgits Pty Ltd]:daiba.cx
  ホスト名または会社名、または個人名等
• Organizational Unit Name (eg, section) []:
  空エンター
• Common Name (eg, YOUR name) []:ssl.daiba.cx
  ホスト名または、管理者名
• Email Address []:
  管理者メールアドレス

httpd.conf

Include etc/apache22/extra/httpd-ssl.conf のコメントを削除

extra/httpd-ssl.conf

<VirtualHost _default_:443> の中で・・・

• ServerName ssl.daiba.cx:443
  サーバー名を記入
• SuexecUserGroup ???? ????
  必要であれば、suexecのユーザー、グループを記載する。
• ServerAdmin
  変更(管理者のメールアドレスを記入
• SSLCertificateFile "/usr/local/CA/server.crt"
  証明書へのパスを指定)
• SSLCertificateKeyFile "/usr/local/CA/server.key"
秘密鍵へのパスを指定
• ErrorLog "/var/log/httpd-error.log"
  ログ書き込み場所
• TransferLog "/var/log/httpd-access.log"
  ログ書きこみ場所
• CustomLog "/var/log/httpd/ssl_request.log"
  ログ書きこみ場所

自動起動時、パスフレーズを自動入力する。その１

手抜きですが、動くかと・・

/usr/ports/lang/expect が必要です。

• /usr/local/etc/rc.d/apache.sh

#!/bin/sh

PATH="/bin:/usr/bin:/usr/local/bin:/sbin:/usr/sbin:/usr/local/sbin"
export PATH

exec_expect() {
  expect_path=`which expect`
  cat <<EOF>/tmp/exec_expect
#!$expect_path
spawn $1;
expect {
  "$2"
    { send "$3\r" }
}
interact
exit
EOF
  chmod 755 /tmp/exec_expect
  /tmp/exec_expect #>/dev/null 2>/dev/null
  rm /tmp/exec_expect
}

echo "SSL pass phrase inpted Apache $1"
exec_expect "/usr/local/etc/rc.d/apache22 $1" "phrase" "パスフレーズ"

自動起動時、パスフレーズを自動入力する。その２

こっちが本来の方法です。

cd /usr/local/CA
cp server.key server.key.org
openssl rsa -in server.key.org -out server.key

証明書のインストール

 *.der を公開するだけですが、アクセス者が証明書を手動でインストールする必要があります。

アンケート

このことに関する話題