Настройка https в Apache

 Источник: https://help.ubuntu.ru/wiki/apache_%D0%B8_https

Создание ключа и ssl-сертификата

Использование самоподписанных сертификатов хоть и защищает от пассивного прослушивания, тем не менее не гарантирует клиентам, что сервер является именно тем сервером, который им нужен. Преймуществом самоподписанных сертификатов является их бесплатность. Сертификат, подписанных компанией-сертификатором (Certificate authority) стоит денег.

# Для создания ключа и сертификата вводим команду:

openssl req -new -x509 -days 30 -keyout server.key -out server.pem

На вопрос «Enter PEM pass phrase:» отвечаем паролем, подтверждаем и запоминаем. На все последующие вопросы отвечаем произвольно, можно просто щелкать по Enter соглашаясь с предложенными вариантами, только на вопрос «Common Name (eg, YOUR name) []:» отвечаем именем сайта, для которого создаем сертификат, например www.example.com.

После ответа на все вопросы в директории должны появиться два новых файла - server.pem и server.crt (ключ и сертификат, соответственно).

Чтобы использовать сгенерированный ключ нужно знать пароль введенный нами, и Apache будет спрашивать его у нас при загрузке, а к чему нам лишние вопросы от демонов? :) Поэтому снимаем пароль с ключа:

cp server.key{,.orig}

openssl rsa -in server.key.orig -out server.key

rm server.key.orig

Скопируем их в /etc/ssl и назначим файлу ключа права чтения только администратору:

sudo cp server.pem /etc/ssl/certs/

sudo cp server.key /etc/ssl/private/

sudo chmod 0600 /etc/ssl/private/server.key

Шаг 2. Настройка Apache

# Для начала необходимо активировать mod_ssl:

sudo a2enmod ssl

# А затем включить настройки HTTPS сайта по умолчанию:

sudo a2ensite default-ssl

Теперь необходимо отредактировать файл с настройками HTTPS сайта по умолчанию, указав в нём пути к вашим сертификатам. Сам файл называется /etc/apache2/sites-enabled/default-ssl (или /etc/apache2/sites-enabled/default-ssl.conf).

# После дерективы

SSLEngine on

# ...добавляем строку для запрета использования устаревшего протокола SSLv2

SSLProtocol all -SSLv2

# Прописываем публичный сертификат сервера

SSLCertificateFile    /etc/ssl/certs/server.pem

# Прописываем приватный ключ сервера

SSLCertificateKeyFile /etc/ssl/private/server.key

# Перезапускаем Apache:

sudo service apache2 restart

При корректности указания параметров, сайт станет доступен по HTTPS.

Протокол HTTPS работает по 443 порту, поэтому если сервер находится за шлюзом, то необходимо на нём пробросить данный порт.

Шаг 3. Перенаправление HTTP запросов на HTTPS

#Для запрета использования HTTP и перенаправления на HTTPS адрес включаем mod_alias. 

sudo a2enmod alias

sudo service apache2 restart

В файл /etc/apache2/sites-enabled/000-default, отвечающий за виртуальный хост по умолчанию для HTTP запросов, добавляем директиву

Redirect / https://example.com/

При этом все настройки директорий можно удалить, поскольку по HTTP на ваши сайты всё равно будет не попасть.

Всё, теперь ещё раз перезапустите Apache и убедитесь, что при заходе по HTTP вы автоматически перенаправляетесь на HTTPS страницу.