スマートフォン・タブレットからインターネットサーバーオペレーション 2012

APPW.jp 2012

お名前.com VPS (KVM) にて WordPress をはじめるまで（６）

第６回は、SSL 証明書の作成とバーチャルホストの設定についてです。

2012年5月から　お名前.com VPS(KVM)　の利用を始めています。

標準 OS にて、設定などを備忘録として残しておきたいと思います。

SSL 証明書の作成

SSL 証明書は、絶対に必要というわけではないのですが、セキュリティを考えたとき、用意した方が良いと思われます。

自己署名のものを使用することも考えられますが、年額990円(税抜)からの格安SSLサーバー証明書取得サービス、SSLボックス の認証局の署名のものを使用することにしました。個人でも利用できます。

SSLボックス のサポートマニュアルに従って手続きを進めていきます。

CSR の作成

秘密鍵を置くディレクトリに移動します。

$ cd /etc/httpd/conf

秘密鍵を作成します。パスフレーズは使用しないことにします。

$ sudo openssl genrsa -out wwwexamplejp.key 2048

CSR を作成します。作成した秘密鍵を使用します。

$ sudo openssl req -new -key wwwexamplejp.key -out wwwexamplejp.csr

【補足】 SHA-2 (SHA256) へ移行

識別名(ディスティングイッシュネーム)を入力します。以下は設定例です。個人なので Organization Name は個人名にしました。サイト運営者の正式英語名と解釈しました。Organizational Unit Name は空欄にしました。Common Name が最も重要で、www.example.jp のように FQDN で入力します。Email Address は空欄です。

Country Name (2 letter code) [XX]:JP
State or Province Name (full name) []:Tokyo
Locality Name (eg, city) [Default City]:Edogawa-ku
Organization Name (eg, company) [Default Company Ltd]:（個人名）
Organizational Unit Name (eg, section) []:（未入力）
Common Name (eg, your name or your server's hostname) []:（SSL接続時のURLをFQDNで入力）
Email Address []:（未入力）

上記の例では、wwwexamplejp.key と wwwexamplejp.csr が作成されます。

メールアドレスの用意

承認確認メールが受信できるように、admin@(申請するドメイン名) のメールアドレスを用意します。

証明書の新規取得

SSLボックス の管理ツールから手続きを進めます。

ジオトラストより英文の承認確認メールが届きます。メールに記載された URL から承認手続きを進めます。

承認が終わると証明書が発行され、メールにて送付されます。

証明書のインストール

送付された証明書を /etc/httpd/conf/wwwexamplejp.crt などとして保存します。

また、SSLボックス のサポートマニュアルの中間証明書のリンクなどから中間証明書を /etc/httpd/conf/inter.crt などのように保存します。

mod_ssl のインストール

HTTPS を利用するため、mod_ssl パッケージをインストールします。

$ sudo yum install mod_ssl --enablerepo=epel,CentALT,remi

httpd.conf の設定

それぞれの方のポリシーに従って /etc/httpd/conf/httpd.conf を見直していくのが良いと思います。よく見かける点を含めていくつかあげてみます。

#KeepAlive Off
KeepAlive On

#ServerName www.example.com:80
ServerName www.example.jp:80

#DocumentRoot 'var/www/html'
DocumentRoot '/home/hoge/www'

<Directory '/home/hoge/www'>

#Options Indexes FollowSymLinks
Options FollowSymLinks ExecCGI

#ServerTokens OS
ServerTokens Prod

#ServerSignature On
ServerSignature Off

#AllowOverride None
AllowOverride All

そのほか LoadModule などの記述で不要と判断できるものはコメントしていきます。

DocumentRoot のパーミッションを確認します。

$ chmod 755 /home/hoge/www

などとします。また上位の /home/hoge のパーミッションも確認しておきます。

$ chmod 755 /home/hoge

などとします。

次のバーチャルホストの設定前に、http://www.example.jp のアクセスを確認しておきます。

バーチャルホストの設定

バーチャルホストを設定して、http://www.example.jp、http://example.jp、https://www.example.jp、https://example.jp の４つに対応します。

/etc/httpd/conf/httpd.conf の NameVirtualHost を追加します。

NameVirtualHost *:80
NameVirtualHost *:443

/etc/httpd/conf.d/wwwexamplejp.conf、/etc/httpd/conf.d/examplejp.conf を作成することとし、/etc/httpd/conf.d/ssl.conf を修正します。

/etc/httpd/conf.d/wwwexamplejp.conf を作成します。

<VirtualHost *:80>
    ServerName www.example.jp:80
    DocumentRoot /home/hoge/www

    <Directory /home/hoge/www>
        AllowOverride ALL
        Options FollowSymlinks ExecCGI
        Order allow,deny
        Allow from all
    </Directory>
</VirtualHost>

/etc/httpd/conf.d/examplejp.conf を作成します。

<VirtualHost *:80>
    ServerName example.jp:80
    DocumentRoot /home/hoge/www

    <Directory /home/hoge/www>
        AllowOverride ALL
        Options FollowSymlinks ExecCGI
        Order allow,deny
        Allow from all
    </Directory>
</VirtualHost>

/etc/httpd/conf.d/ssl.conf を編集します。

~ 省略 ~
<VirtualHost *:443>
DocumentRoot '/home/hoge/www'
ServerName www.example.jp:443
~ 省略 ~
SSLCertificateFile /etc/httpd/conf/wwwexamplejp.crt
SSLCertificateKeyFile /etc/httpd/conf/wwwexamplejp.key
SSLCACertificateFile /etc/httpd/conf/inter.crt
~ 省略 ~
    <Directory /home/hoge/www>
        AllowOverride ALL
        Options FollowSymlinks ExecCGI
        Order allow,deny
        Allow from all
    </Directory>
</VirtualHost>

~ 以下追加 ~
<VirtualHost *:443>
DocumentRoot '/home/hoge/www'
ServerName example.jp:443

ErrorLog logs/ssl_error_log
TransferLog logs/ssl_access_log
LogLevel warn
SSLEngine on
SSLProtocol all -SSLv2
SSLCipherSuite ALL:!ADH:!EXPORT:!SSLv2:RC4+RSA:+HIGH:+MEDIUM:+LOW

SSLCertificateFile /etc/httpd/conf/wwwexamplejp.crt
SSLCertificateKeyFile /etc/httpd/conf/wwwexamplejp.key
SSLCACertificateFile /etc/httpd/conf/inter.crt

<Files ~ '\.(cgi|shtml|phtml|php3?)$'>
    SSLOptions +StdEnvVars
</Files>

SetEnvIf User-Agent '.*MSIE.*' \
         nokeepalive ssl-unclean-shutdown \
         downgrade-1.0 force-response-1.0

CustomLog logs/ssl_request_log \
          '%t %h %{SSL_PROTOCOL}x %{SSL_CIPHER}x \'%r\' %b'

    <Directory /home/hoge/www>
        AllowOverride ALL
        Options FollowSymlinks ExecCGI
        Order allow,deny
        Allow from all
    </Directory>
</VirtualHost>

再読み込みします。

$ sudo service httpd reload

iptables を設定します。/etc/sysconfig/iptables に追加します。

-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 443 -j ACCEPT

iptables を再起動します。

$ sudo service iptables restart

 

補足

 

自己署名証明書の作成

参考として、以下は自己署名証明書を作成するコマンド例です。秘密鍵 server.key と自己署名証明書 server.crt を作成します。有効期間は、365 日です。証明書を作成するディレクトリで実行します。

$ sudo openssl req -newkey rsa:2048 -nodes -x509 -out server.crt -keyout server.key -days 365

 

モジュールの設定

/etc/httpd/conf/httpd.conf のモジュールの設定について、インストール直後ではすべてのモジュールが有効となっています。利用されないと思われるモジュールは設定からはずしていきます。無効にするモジュールはコメントにします。以下はその設定例です。

LoadModule auth_basic_module modules/mod_auth_basic.so
#LoadModule auth_digest_module modules/mod_auth_digest.so
LoadModule authn_file_module modules/mod_authn_file.so
#LoadModule authn_alias_module modules/mod_authn_alias.so
#LoadModule authn_anon_module modules/mod_authn_anon.so
#LoadModule authn_dbm_module modules/mod_authn_dbm.so
#LoadModule authn_default_module modules/mod_authn_default.so
LoadModule authz_host_module modules/mod_authz_host.so
LoadModule authz_user_module modules/mod_authz_user.so
#LoadModule authz_owner_module modules/mod_authz_owner.so
#LoadModule authz_groupfile_module modules/mod_authz_groupfile.so
#LoadModule authz_dbm_module modules/mod_authz_dbm.so
#LoadModule authz_default_module modules/mod_authz_default.so
#LoadModule ldap_module modules/mod_ldap.so
#LoadModule authnz_ldap_module modules/mod_authnz_ldap.so
LoadModule include_module modules/mod_include.so
LoadModule log_config_module modules/mod_log_config.so
#LoadModule logio_module modules/mod_logio.so
LoadModule env_module modules/mod_env.so
#LoadModule ext_filter_module modules/mod_ext_filter.so
#LoadModule mime_magic_module modules/mod_mime_magic.so
#LoadModule expires_module modules/mod_expires.so
#LoadModule deflate_module modules/mod_deflate.so
LoadModule headers_module modules/mod_headers.so
#LoadModule usertrack_module modules/mod_usertrack.so
LoadModule setenvif_module modules/mod_setenvif.so
LoadModule mime_module modules/mod_mime.so
#LoadModule dav_module modules/mod_dav.so
LoadModule status_module modules/mod_status.so
LoadModule autoindex_module modules/mod_autoindex.so
LoadModule info_module modules/mod_info.so
#LoadModule dav_fs_module modules/mod_dav_fs.so
#LoadModule vhost_alias_module modules/mod_vhost_alias.so
LoadModule negotiation_module modules/mod_negotiation.so
LoadModule dir_module modules/mod_dir.so
#LoadModule actions_module modules/mod_actions.so
#LoadModule speling_module modules/mod_speling.so
LoadModule userdir_module modules/mod_userdir.so
LoadModule alias_module modules/mod_alias.so
LoadModule rewrite_module modules/mod_rewrite.so
LoadModule proxy_module modules/mod_proxy.so
LoadModule proxy_balancer_module modules/mod_proxy_balancer.so
#LoadModule proxy_ftp_module modules/mod_proxy_ftp.so
LoadModule proxy_http_module modules/mod_proxy_http.so
#LoadModule proxy_connect_module modules/mod_proxy_connect.so
#LoadModule cache_module modules/mod_cache.so
LoadModule suexec_module modules/mod_suexec.so
#LoadModule disk_cache_module modules/mod_disk_cache.so
#LoadModule file_cache_module modules/mod_file_cache.so
#LoadModule mem_cache_module modules/mod_mem_cache.so
LoadModule cgi_module modules/mod_cgi.so

 

SHA-2 (SHA256) へ移行

SHA-2 (SHA256) へ移行するにあたって、CentOS 6 の場合は CSR の作成に -sha256 オプションが必要です。

$ sudo openssl req -new -sha256 -key wwwexamplejp.key -out wwwexamplejp.csr
お名前.com VPS(KVM)

同じカテゴリーの記事

お名前.com VPS (KVM) にて WordPress をはじめるまで（７）
（）

お名前.com VPS (KVM) にて WordPress をはじめるまで（５）
（）

お名前.com VPS (KVM) にて WordPress をはじめるまで（４）
（）

お名前.com VPS (KVM) にて WordPress をはじめるまで（３）
（）

お名前.com VPS (KVM) にて WordPress をはじめるまで（２）
（）

お名前.com VPS (KVM) にて WordPress をはじめるまで（１）
（）

お名前.com VPS (KVM) にて WordPress をはじめるまで（０）
（）

via IPv4

アーカイブ

カテゴリー