Apache开启SSL并实现一个IP配置多个HTTPS站点的方法

Apache服务器要配置HTTPS首先要确认我们下载的Apache是支持SSL的，如果是window版本，在apache bin目录下能看到openssl.exe。如果是Linux，在/etc/httpd/conf.d目录下可见到ssl.conf，如果没有，执行yum -y install mod_ssl命令安装。

然后在httpd.confg文件打开LoadModule ssl_module modules/mod_ssl.so，即去掉该行前的注释。打开Include conf/extra/httpd-ssl.conf，Linux下不用执行。

一个普通的ssl.conf配置参考如下：

如果我们想在一个服务器上配置多个网站的SSL，情况如下：

· 老式的SSL证书是一个证书一个站点一个IP的一一对应，但后来有了改进；

· 可以配置为一台服务器多个IP，分别对应不同的站点、不同的证书；

· 还可以配置为一台服务器一个IP，多个端口号对应不同的站点、不同的证书；

· 后来出现SNI（Server Name Indication服务器名称指示）技术，让https与http一样实现一台服务器多个虚拟站点，每个站点都可以对应不同的证书，无需多个IP、无需多个端口（全部都用https标准的端口号443），多个域名、泛域名都支持。

想要实现https多网站1个IP多个SSL证书的Apache设置需要进行以下过程：

· 首先SSL证书提供商，根据自己的需要及预算选择，如果自己的站点多，最好是选择支持多域名、通配符的证书，例如StartCom的EV、OV、IV认证支持的证书（DV认证不支持通配符）；

· 购买需要的证书，这个过程中需要上传或者粘贴CSR(PEM格式)，这个CSR可以用startcomtool.exe来生成（同时保存Private Key文件startssl.key和CSR文件startssl.csr到本机），也可以在Linux下运行openssl req -new -newkey rsa:2048 -nodes -keyout example.com.key -out example.com.csr来生成key和csr；

· 下载生成的证书压缩包文件example.com.zip，解压后有ApacheServer.zip、IISServer.zip、NginxServer.zip、OtherServer.zip四个压缩文件，再解压其中的ApacheServer.zip得到两个证书文件1_root_bundle.crt、2_example.com.crt；

· 上传startssl.key和startssl.csr两个文件以及两个证书文件1_root_bundle.crt、2_example.com.crt到apache/conf目录下，将startssl.csr加到2_example.com.crt文件后面形成一个新的文件startssl.crt；

· 修改httpd.conf或者包含的extra/httpd-ssl.conf文件，在ssl站点中设置key为上传的startssl.key，crt为合并的startssl.crt，证书链crt为1_root_bundle.crt（每个证书的这三个文件内容都不一样，即使文件名一样）；

· 如果需要设置多个SSL站点，在Apache 2.2以上版本中是开启SSL模块后是直接支持SNI的，添加NameVirtualHost *:443和SSLStrictSNIVHostCheck off两句后，就可以像http虚拟站点一样设置多个https虚拟站点；

· 多个https虚拟站点可以分别指向多个不同的证书文件，其中第一个默认https站点是在后续https站点配置找不到的时候自动使用的默认配置；

· https虚拟站点与http虚拟站点配置一样，可以使用ServerAlias来将多个子域名指向同一个目录、采用相同的SSL证书；

· 重启apache，上面修改的配置就可以生效，再用浏览器检查是否有问题，特别是查看一下安全证书是否与申请的一致，如果提示网页中有部分非安全内容，则要检查嵌入的非安全部分内容，改为安全的内容；

· 没有问题了可以修改站点中的链接，让http都改为https，如果是内部链接则与http或者https无关，可以不修改，如果是写死的http，可以改为https或者内部链接，还可以改为//example.com这样的URL形式；

· 最后修改apache配置文件或者.htaccess，让以前的http访问全部301跳转到https对应的网页。

下面是一个修改httpd-ssl.conf文件的例子：

修改.htaccess文件实现301永久重定向的例子：

补充：日志问题，为了简化可以把httpd-ssl.conf中的日志都关闭：

然后修改httpd.conf中的设置，添加port:%p，从端口号是80还是443来分辨http和https：

重启httpd服务后生效，日志文件依然是以前的，也实现了Apache开启SSL并实现一个IP配置多个HTTPS站点，如果次过程有错误，可以移步《Apache配置一个IP多个HTTPS站点的的错误提示及解决方法》看看解决方法！