Как включить https: Как настроить протокол HTTPS

У меня возникла проблема с настройкой https на моем AWS elastic load balancer с помощью самозаверяющего сертификата. После того, как я закончил с настройкой, подключение к конечной точке https не. ..

Когда я добавил экземпляр EC2 в Elastic Load Balancer, нажав кнопку edit instances в консоли управления AWS, он выдал мне сообщение о состоянии Out of Service. Есть ли какие-либо зависимости для…

Я создал AWS elastic load balancer и связал с ним свой существующий экземпляр. Экземпляр проходит проверку на работоспособность. Я получил доступ к своему экземпляру непосредственно с помощью…

У меня есть приложение Django, развернутое на AWS Elastic Beanstalk. Django настроено только для обслуживания запросов, поступающих для определенного имени хоста (ALLOWED_HOSTS). Если информация о…

У меня есть веб-приложение (Elastic load balancer (ELB), один экземпляр EC2, docker контейнера (ecs): nginx + golang). Например, есть 2 пункта- first.example.com и second.example.com . Как я…

Балансировщик нагрузки уровня 7 является более сложным и более мощным. Он проверяет пакеты, имеет доступ к заголовкам HTTP и HTTPS и (вооружен с дополнительной информацией) может выполнять более…

Я хотел бы использовать AWS Elastic Load Balancer (ELB) v2 Application Load Balancer с HTTP 2.0. Я пытаюсь выяснить, поддерживает ли он следующее согласование протокола (NPN), которое было заменено…

Я использую сервис haproxy для балансировки нагрузки tomcat приложений. С тех пор как мы переехали в AWS, я хочу использовать один сервис балансировки нагрузки (Netwrok Load Balancer) вместо. ..

У меня есть кластер EKS Kubernetes 1.16.x. cluster с тремя публичными подсетями, помеченными kubernetes.io/role/elb: 1 , и тремя частными подсетями, помеченными kubernetes.io/role/internal-elb: 1 Я…

Можно ли вообще изменить протокол и порт целевой группы , созданной с помощью AWS Load Balancer? Например, если я изначально настроил HTTPS:443 как protocol:port для моего ELB, а затем хочу изменить…

Как включить HTTPS и SSL для сайтов WordPress

В этой статье описывается, как включить HTTPS и SSL для сайтов WordPress. Для этого необходимо:

• Получите сертификат SSL.
• Разрешить WordPress использовать безопасные (HTTPS) соединения.
• Протестируйте конфигурацию.

Шаг 1. Получите сертификат SSL

Во-первых, вы должны получить и установить SSL-сертификат для своего сайта.

Есть два варианта:

• Sectigo SSL-сертификат: Эти сертификаты бесплатны и популярны.
  • Информацию о том, как получить сертификат Sectigo для учетной записи с поддержкой cPanel, см. В этой статье.
  • Информацию о том, как получить бесплатный сертификат для неуправляемого сервера, см. В этой статье.
• Традиционный сертификат SSL, выданный ЦС: Эти сертификаты подписаны традиционным «известным» центром сертификации (ЦС). В отличие от сертификатов cPanel, выпущенных Sectigo, которые поддерживают только проверку домена (DV), эти сертификаты поддерживают расширенную проверку (EV). Они также поддерживают подстановочные знаки и многодоменные сертификаты. Однако за них нужно платить.

Шаг 2. Включите HTTPS в WordPress

После того, как вы установите сертификат SSL на свой сайт, вы готовы включить HTTPS в WordPress. Информацию о том, как это сделать, см. В этой статье.

Шаг 3. Протестируйте конфигурацию

После установки сертификата SSL и включения HTTPS в WordPress вы готовы протестировать новую конфигурацию. Для этого выполните следующие действия:

1. Используйте свой веб-браузер, чтобы перейти по защищенному URL-адресу сайта WordPress.

   Например, если ваше доменное имя — example.com , а WordPress установлен в каталоге blog , тогда безопасный URL-адрес — https://www.example.com/blog .

2. Посмотрите на адресную строку браузера. Вы должны увидеть значок замка, который указывает на безопасное соединение.

   Если вы не видите значок замка, перейдите к разделу «Устранение неполадок » ниже.

Устранение неисправностей

Иногда браузер может не отображать значок замка, который указывает на безопасное соединение с сервером.Некоторые возможные причины включают:

• Неправильная конфигурация SSL: Сертификат SSL может быть неправильно установлен, или может быть проблема с самим сертификатом (например, несоответствующее доменное имя).
• Смешанное содержимое: Хотя соединение с самой страницей может быть безопасным, страница может содержать URL-адреса других ресурсов, которые не используют безопасные соединения. Дополнительные сведения об этой проблеме и способах ее решения см. В этой статье.

Чтобы устранить проблемы с подключением SSL и HTTPS, посетите https://www.whynopadlock.com. Введите имя своего домена в текстовое поле Защищенный адрес и нажмите кнопку «Тестовая страница». Сайт проверяет ваш домен на наличие нескольких элементов, связанных с SSL и HTTPS, а затем предоставляет результаты в удобном для чтения формате.

Кроме того, вы можете устранить неполадки SSL-соединений из командной строки с помощью программы openssl . Информацию о том, как это сделать, см. В этой статье.

Настройка серверов HTTPS

Настройка серверов HTTPS

Для настройки HTTPS-сервера параметр ssl должен быть включен на розетки для прослушивания в серверном блоке, и расположение сертификат сервера и закрытый ключ файлы должны быть указаны:

server {
    слушайте 443  ssl ;
    имя_сервера www.example.com;
    ssl_certificate  www.example.com.crt ;
    ssl_certificate_key  www.example.com.key ;
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
    ssl_ciphers HIGH:! aNULL:! MD5;
    ...
}
 

Сертификат сервера является публичным. Он отправляется каждому клиенту, который подключается к серверу. Закрытый ключ является защищенным объектом и должен храниться в файле с ограниченный доступ, однако он должен быть доступен для чтения главным процессом nginx. В качестве альтернативы закрытый ключ может храниться в том же файле, что и сертификат:

    ssl_certificate www.example.com.cert;
    ssl_certificate_key www.example.com.cert;
 

в этом случае права доступа к файлу также должны быть ограничены. Хотя сертификат и ключ хранятся в одном файле, клиенту отправляется только сертификат.

Директивы ssl_protocols и ssl_ciphers может использоваться для ограничения подключений включать только сильные версии и шифры SSL / TLS. По умолчанию nginx использует « ssl_protocols TLSv1 TLSv1.1 TLSv1.2 » и « ssl_ciphers HIGH:! aNULL:! MD5 », поэтому их явная настройка обычно не требуется.Обратите внимание, что значения по умолчанию для этих директив были менял несколько раз.

Оптимизация сервера HTTPS

Операции SSL потребляют дополнительные ресурсы ЦП. В многопроцессорных системах несколько рабочие процессы должен быть запущен, не меньше количества доступных ядер процессора. Самой интенсивной операцией по загрузке ЦП является квитирование SSL. Есть два способа минимизировать количество этих операций на одного клиента: во-первых, путем включения поддерживать активность соединения для отправки нескольких запросы через одно соединение, а второе — повторно использовать сеанс SSL параметры, чтобы избежать подтверждения SSL для параллельных и последующих подключений.Сеансы хранятся в кэше сеансов SSL, совместно используемом работниками. и настроен ssl_session_cache директива. Один мегабайт кеша содержит около 4000 сессий. Таймаут кеширования по умолчанию составляет 5 минут. Его можно увеличить, используя ssl_session_timeout директива. Вот пример конфигурации, оптимизированной для многоядерной системы. с 10-мегабайтным общим кешем сеанса:

  worker_processes auto ;

http {
      ssl_session_cache общий: SSL: 10 м ;
      ssl_session_timeout 10m ;

    server {
        слушайте 443 ssl;
        имя_сервера www.example.com;
          keepalive_timeout 70 ;

        ssl_certificate www.example.com.crt;
        ssl_certificate_key www.example.com.key;
        ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
        ssl_ciphers HIGH:! aNULL:! MD5;
        ...
 

Цепочки сертификатов SSL

Некоторые браузеры могут жаловаться на сертификат, подписанный известным центр сертификации, в то время как другие браузеры могут принимать сертификат без проблем. Это происходит из-за того, что выдающий орган подписал сертификат сервера. с использованием промежуточного сертификата, которого нет в сертификате база известных доверенных центров сертификации, которая распространяется с конкретным браузером.В этом случае орган предоставляет набор связанных сертификатов. который должен быть присоединен к подписанному сертификату сервера. Сертификат сервера должен располагаться перед связанными сертификатами. в объединенном файле:

$ cat www.example.com.crt bundle.crt> www.example.com.chained.crt
 

Полученный файл следует использовать в Директива ssl_certificate:

server {
    слушайте 443 ssl;
    имя_сервера www.example.com;
    ssl_certificate www.example.com.chained.crt;
    ssl_certificate_key www.example.com.key;
    ...
}
 

Если сертификат сервера и пакет были неправильно объединены order, nginx не запустится и отобразит сообщение об ошибке:

SSL_CTX_use_PrivateKey_file ("... /www.example.com.key") не удалось
   (SSL: ошибка: 0B080074: процедуры сертификата x509:
    X509_check_private_key: несоответствие значений ключей)
 

потому что nginx пытался использовать закрытый ключ с пакетом первый сертификат вместо сертификата сервера.

Браузеры обычно хранят промежуточные сертификаты, которые они получают. и которые подписаны доверенными органами, поэтому активно используемые браузеры может уже иметь необходимые промежуточные сертификаты и не может жаловаться на сертификат, отправленный без связанного пакета. Чтобы сервер отправил полную цепочку сертификатов, Можно использовать утилиту командной строки openssl , например:

$ openssl s_client -connect www.godaddy.com:443
...
Цепочка сертификатов
 0 с: / C = США / ST = Аризона / L = Скоттсдейл / 1.3.6.1.4.1.311.60.2.1.3 = США
     /1.3.6.1.4.1.311.60.2.1.2=AZ/O=GoDaddy.com, Inc
     / OU = MIS Department /  CN = www.GoDaddy.com 
     /serialNumber=0796928-7/2.5.4.15=V1.0, пункт 5. (b)
   i: /C=US/ST=Arizona/L=Scottsdale/O=GoDaddy.com, Inc.
     /OU=http://certificates.godaddy.com/repository
     / CN = Центр сертификации Go Daddy Secure
     / serialNumber = 07969287
 1 с: /C=US/ST=Arizona/L=Scottsdale/O=GoDaddy.com, Inc.
     /OU=http://certificates.godaddy.com/repository
     / CN = Центр сертификации Go Daddy Secure
     / serialNumber = 07969287
   i: / C = US / O = The Go Daddy Group, Inc./ OU = Центр сертификации Go Daddy Class 2
 2 с: / C = US / O = The Go Daddy Group, Inc.
     / OU = Центр сертификации Go Daddy Class 2
   i: / L = Сеть валидации ValiCert / O =  ValiCert, Inc. 
     / OU = Центр проверки политики ValiCert класса 2
     /CN=http://www.valicert.com//[email protected]
...
 

При тестировании конфигураций с SNI, важно указать опцию -servername поскольку openssl не использует SNI по умолчанию.

В этом примере субъект (« s ») www.GoDaddy.com сертификат сервера № 0 подписан эмитентом (« i »), который сам является предметом сертификата № 1, который подписан эмитентом, который сам является субъектом сертификата № 2, который подписан известным эмитентом ValiCert, Inc. чей сертификат хранится во встроенных браузерах база сертификатов (которая лежала в доме, который построил Джек).

Если пакет сертификатов не был добавлен, только сертификат сервера № 0 будет показано.

Один сервер HTTP / HTTPS

Можно настроить один сервер, который обрабатывает оба протокола HTTP. и HTTPS-запросы:

server {
    слушать 80;
    слушайте 443 ssl;
    имя_сервера www.example.com;
    ssl_certificate www.example.com.crt;
    ssl_certificate_key www.example.com.key;
    ...
}
 

До версии 0.7.14 SSL нельзя было включить выборочно для индивидуальные гнезда для прослушивания, как показано выше.SSL можно было включить только для всего сервера с помощью директива ssl, делает невозможным установку единого HTTP / HTTPS-сервера. Параметр ssl слушать директиву был добавлен для решения этой проблемы. Использование ssl директива в современных версиях не рекомендуется.

Серверы HTTPS на основе имени

Распространенная проблема возникает при настройке двух и более серверов HTTPS. прослушивание одного IP-адреса:

server {
    слушайте 443 ssl;
    имя_сервера www.example.com;
    ssl_certificate www.example.com.crt;
    ...
}

server {
    слушайте 443 ssl;
    имя_сервера www.example.org;
    ssl_certificate www.example.org.crt;
    ...
}
 

При такой конфигурации браузер получает сертификат сервера по умолчанию, т.е. www.example.com независимо от запрошенного имени сервера. Это вызвано поведением протокола SSL. SSL-соединение устанавливается до того, как браузер отправит HTTP-запрос. и nginx не знает имя запрошенного сервера.Следовательно, он может предлагать только сертификат сервера по умолчанию.

Самый старый и надежный метод решения проблемы — назначить отдельный IP-адрес для каждого HTTPS-сервера:

server {
    слушайте 192.168.1.1:443 ssl;
    имя_сервера www.example.com;
    ssl_certificate www.example.com.crt;
    ...
}

server {
    слушайте 192.168.1.2:443 ssl;
    имя_сервера www.example.org;
    ssl_certificate www.example.org.crt;
    ...
}
 

SSL-сертификат с несколькими именами

Есть и другие способы, позволяющие использовать один IP-адрес. между несколькими серверами HTTPS.Однако у всех есть свои недостатки. Один из способов — использовать сертификат с несколькими именами в поле сертификата SubjectAltName, например, www.example.com и www.example.org . Однако длина поля SubjectAltName ограничена.

Другой способ — использовать сертификат с подстановочным именем, например, * .example.org . Подстановочный сертификат защищает все поддомены указанного домена, но только на одном уровне. Этот сертификат соответствует www.example.org , но не соответствует example.org и www.sub.example.org . Эти два метода также можно комбинировать. Сертификат может содержать точные имена и имена с подстановочными знаками в Поле SubjectAltName, например, example.org и * .example.org .

Лучше разместить файл сертификата с несколькими именами и его файл закрытого ключа на уровне конфигурации http чтобы унаследовать их единственную копию памяти на всех серверах:

ssl_certificate общий.crt;
ssl_certificate_key common.key;

server {
    слушайте 443 ssl;
    имя_сервера www.example.com;
    ...
}

server {
    слушайте 443 ssl;
    имя_сервера www.example.org;
    ...
}
 

Указание имени сервера

Более универсальное решение для запуска нескольких серверов HTTPS на одном IP-адрес TLS Расширение индикации имени сервера (SNI, RFC 6066), который позволяет браузеру передавать запрошенное имя сервера во время подтверждения SSL и, следовательно, сервер будет знать, какой сертификат ему следует использовать. для связи.SNI в настоящее время поддержанный большинством современных браузеров, хотя может не использоваться некоторыми старыми или специальными клиентами.

В SNI можно передавать только доменные имена, однако некоторые браузеры могут ошибочно передавать IP-адрес сервера. как его имя, если запрос включает буквальный IP-адрес. На это не стоит полагаться.

Чтобы использовать SNI в nginx, он должен поддерживаться как в Библиотека OpenSSL, с помощью которой был собран двоичный файл nginx, а также библиотека, с которой он динамически подключается во время выполнения.OpenSSL поддерживает SNI с версии 0.9.8f, если он был построен с опцией конфигурации «—Enable-tlsext». Начиная с OpenSSL 0.9.8j эта опция включена по умолчанию. Если nginx был собран с поддержкой SNI, то nginx покажет это при запуске с переключателем «-V»:

$ nginx -V
...
Включена поддержка TLS SNI
...
 

Однако, если nginx с поддержкой SNI динамически связан с библиотека OpenSSL без поддержки SNI, nginx отображает предупреждение:

nginx был построен с поддержкой SNI, однако теперь он связан
динамически в библиотеку OpenSSL, которая не поддерживает tlsext,
поэтому SNI недоступен
 

Совместимость

• Статус поддержки SNI отображается переключателем «-V». с 0.8.21 и 0.7.62.
• Параметр ssl Слушать Директива поддерживается с версии 0.7.14. До 0.8.21 его можно было указать только вместе с по умолчанию параметр.
• SNI поддерживается с версии 0.5.23.
• Общий кеш сеанса SSL поддерживается с версии 0.5.6.

• Версия 1.9.1 и новее: протоколы SSL по умолчанию — TLSv1, TLSv1.1 и TLSv1.2 (если поддерживается библиотекой OpenSSL).
• Версия 0.7.65, 0.8.19 и новее: протоколы SSL по умолчанию — SSLv3, TLSv1, TLSv1.1 и TLSv1.2 (если поддерживается библиотекой OpenSSL).
• Версия 0.7.64, 0.8.18 и более ранние: протоколы SSL по умолчанию — SSLv2, SSLv3 и TLSv1.

• Версия 1.0.5 и новее: шифры SSL по умолчанию: « ВЫСОКИЙ:! ANULL:! MD5 ».
• Версия 0.7.65, 0.8.20 и новее: шифры SSL по умолчанию « ВЫСОКИЙ:! ADH:! MD5 ».
• Версия 0.8.19: шифры SSL по умолчанию « ВСЕ:! ADH: RC4 + RSA: + ВЫСОКИЙ: + СРЕДНИЙ ».
• Версия 0.7.64, 0.8.18 и более ранние: шифры SSL по умолчанию:
  « ALL:! ADH: RC4 + RSA: + HIGH: + MEDIUM: + LOW: + SSLv2: + EXP ».

Шаг 4. Включение HTTPS-трафика и проверка сертификата

После настройки веб-сервера для разгрузки SSL / TLS с помощью AWS CloudHSM добавьте свой веб сервер экземпляр в группу безопасности, которая разрешает входящий трафик HTTPS.Это позволяет клиентам, например, Интернет браузеры, чтобы установить HTTPS-соединение с вашим веб-сервером. Затем сделайте HTTPS связь на ваш веб-сервер и убедитесь, что он использует сертификат, который вы настроили для Разгрузка SSL / TLS с помощью AWS CloudHSM.

Включить входящий HTTPS Подключения

Чтобы подключиться к вашему веб-серверу с помощью клиента (например, веб-браузера), создайте безопасность группа, которая разрешает входящие HTTPS-соединения.В частности, он должен разрешать входящие TCP подключений через порт 443. Назначьте эту группу безопасности своему веб-серверу.

Чтобы создать группу безопасности для HTTPS и назначить ее своему веб-серверу

1. Откройте консоль Amazon EC2 по адресу https: // console.aws.amazon.com/ec2/.

2. Выберите Группы безопасности на панели навигации.

3. Выберите Создать группу безопасности .

4. Для Создать группу безопасности выполните следующие действия:

   1. Для Имя группы безопасности введите имя группы безопасности что вы создаете.

   2. (Необязательно) Введите описание создаваемой группы безопасности.

   3. Для VPC выберите VPC, в котором находится ваш веб-сервер Amazon EC2. пример.

   4. Выберите Добавить правило .

   5. Для типа выберите HTTPS .

5. Выберите Создать .

6. На панели навигации выберите Экземпляры .

7. Установите флажок рядом с экземпляром веб-сервера. Тогда выбирай Действия , Сеть и Изменить Группы безопасности .

8. Установите флажок рядом с группой безопасности, которую вы создали для HTTPS. Затем выберите Назначить группы безопасности .

Убедитесь, что HTTPS использует Сертификат, который вы настроили

После добавления веб-сервера в группу безопасности вы можете убедиться, что разгрузка SSL / TLS с AWS CloudHSM работает.Вы можете сделать это с помощью веб-браузера или такого инструмента, как OpenSSL s_client.

Для проверки разгрузки SSL / TLS с помощью веб-браузера

1. Используйте веб-браузер для подключения к вашему веб-серверу, используя общедоступное DNS-имя или IP-адрес адрес сервера.Убедитесь, что URL-адрес в адресной строке начинается с https: //. Для Например, https://ec2-52-14-212-67.us-east-2.compute.amazonaws.com/ .

   Вы можете использовать службу DNS, например Amazon Route 53, для маршрутизации доменного имени вашего веб-сайта. (например, https: // www.example.com/) на ваш веб-сервер. За дополнительной информацией, видеть Маршрутизация трафика на Amazon EC2 Экземпляр в Amazon Route 53 Developer Guide или в документации для ваш DNS-сервис.

2. Используйте свой веб-браузер для просмотра сертификата веб-сервера.Для получения дополнительной информации см. то следующий:

   Другие веб-браузеры могут иметь аналогичные функции, которые можно использовать для просмотра веб-сервера. сертификат.

3. Убедитесь, что сертификат SSL / TLS — это тот, который вы настроили для своего веб-сервера. к использовать.

Для проверки разгрузки SSL / TLS с помощью OpenSSL s_client

1. Выполните следующую команду OpenSSL, чтобы подключиться к вашему веб-серверу с помощью HTTPS.Заменять <имя сервера> с общедоступным DNS-именем или IP-адресом ваш веб-сервер.

      openssl s_client -connect  <имя сервера> : 443   

   Вы можете использовать службу DNS, например Amazon Route 53, для маршрутизации доменного имени вашего веб-сайта. (например, https: // www.example.com/) на ваш веб-сервер. За дополнительной информацией, видеть Маршрутизация трафика на Amazon EC2 Экземпляр в Amazon Route 53 Developer Guide или в документации для ваш DNS-сервис.

2. Убедитесь, что сертификат SSL / TLS — это тот, который вы настроили для своего веб-сервера. к использовать.

Теперь у вас есть веб-сайт, защищенный с помощью HTTPS. Закрытый ключ для веб-сервера является хранятся в HSM в вашем кластере AWS CloudHSM. Однако у вас есть только один веб-сервер.Чтобы создать второй веб-сервер и балансировщик нагрузки для повышения доступности, перейдите к (Необязательно) Шаг 5. Добавьте балансировщик нагрузки с Эластичная балансировка нагрузки.

Включение HTTPS

Когда браузер отправляет запрос HTTPS в службу технической поддержки Интернета, протокол SSL требует, чтобы служба технической поддержки в Интернете ответила сертификатом, подтверждающим подлинность сервера.Начните настройку безопасности, включив HTTPS.

Начиная с веб-службы поддержки 12.5.1, вы можете включить HTTPS в параметрах сервера, расположенных в меню «Настройка»> «Общие»> «Параметры сервера».

Чтобы активировать HTTPS в веб-справочной службе:

1. Настройте порт прослушивания HTTPS для отслеживания запросов HTTPS.
2. Настройте порт URL-адреса для отслеживания URL-адресов, сгенерированных службой Web Help Desk, которые указывают на приложение.
3. Включите службу веб-поддержки для прослушивания запросов HTTPS.
4. Введите порт подключения SSL (при необходимости).
5. Перезапустите службу веб-поддержки.

Эта процедура требует изменения файла whd.conf. Перед включением HTTPS ознакомьтесь со следующими процедурами.

Настроить порт прослушивания HTTPS

Настройте порт прослушивания для прослушивания запросов HTTPS. Когда вы закончите, настройте номер порта, используемый для отслеживания запросов.

1. Открыть окно «Обзор».
2. Перейти к:

   /conf/whd.conf

3. В файле whd.conf найдите раздел Порты.
4. Введите номер порта, который отслеживает веб-служба поддержки для запросов HTTPS, который отображается после следующей записи:
   HTTPS_PORTS =
5. Сохраните изменения.
6. Закройте файл whd.conf .

Настроить порт URL

Для вашего развертывания может потребоваться, чтобы служба Web Help Desk использовала в создаваемых ею URL-адресах другой порт, чем порт, на котором работает сам сервер приложений. Например, вы можете настроить веб-сервер для маршрутизации запросов для порта по умолчанию (80), чтобы перейти к порту службы поддержки веб-сайтов по умолчанию (8081). В этом примере URL-адреса службы поддержки могут использовать порт 80 вместо порта 8081.

1. В файле whd.conf найдите раздел «Порты URL» (необязательно).
2. Внизу этого раздела введите желаемый номер порта URL после следующей записи:
   URL_HTTPS_PORT =
3. Сохраните и закройте файл.

Включить прослушивание запросов HTTPS

1. В модели whd.conf найдите запись HTTPS_PORT.
2. Раскомментируйте запись.
3. Сохраните и закройте файл.

Введите порт подключения SSL

По умолчанию веб-браузеры используют порт 443 для соединений SSL. Если вы используете другой порт, укажите номер порта в URL-адресах, которые относятся к веб-справочной службе.

Например, если ваш whd.conf файл содержит HTTPS_PORT = 8443 , подключитесь к веб-справочной службе, используя следующий URL-адрес:

https: // localhost: 8443

Перезапустить службу веб-поддержки

После настройки параметра HTTPS_PORT перезапустите службу веб-поддержки. Приложение создает новое хранилище ключей Java по следующему адресу:

/ conf / хранилище ключей.JKS

Новое хранилище ключей содержит самозаверяющий сертификат.

Включить SSL для всех клиентов — Internet Information Services

• 24.03.2020
• 7 минут на чтение

В этой статье

В этой статье описывается, как включить Secure Sockets Layer (SSL) для всех клиентов, которые взаимодействуют с вашим веб-сайтом в Microsoft Internet Information Services (IIS).

Исходная версия продукта: Internet Information Services
Оригинальный номер базы знаний: 298805

Сводка

Эта статья содержит следующие темы:

• Как настроить и включить сертификаты сервера, чтобы ваши клиенты могли быть уверены, что ваш веб-сайт действителен, и что любая информация, которую они отправляют вам, остается частной и конфиденциальной.
• Как использовать сторонние сертификаты для включения Secure Sockets Layer (SSL), а также общий обзор процесса, который используется для создания запроса на подпись сертификата (CSR), который используется для получения стороннего сертификата.
• Как включить SSL-соединение для вашего веб-сайта.
• Как применить SSL для всех подключений и установить необходимую длину шифрования между вашими клиентами и вашим веб-сайтом.

Функции безопасности SSL вашего веб-сервера можно использовать для двух типов аутентификации. Вы можете использовать сертификат сервера , чтобы позволить пользователям аутентифицировать ваш веб-сайт перед передачей личной информации, такой как номер кредитной карты. Кроме того, вы можете использовать клиентских сертификатов для аутентификации пользователей, которые запрашивают информацию на вашем веб-сайте.

В этой статье предполагается, что вы будете использовать сторонний центр сертификации (ЦС) для проверки подлинности вашего веб-сервера.

Чтобы включить проверку сертификата сервера SSL и обеспечить желаемый уровень безопасности, вы должны получить сертификат от стороннего центра сертификации. Сертификаты, которые выдаются вашей организации сторонним центром сертификации, обычно привязаны к веб-серверу, а точнее к веб-сайту, к которому вы привязываете SSL. Вы можете создать свой собственный сертификат с сервером IIS, но если вы это сделаете, ваши клиенты должны неявно доверять вам как центру сертификации.

В данной статье предполагается следующее:

• Вы установили IIS.
• Вы создали и опубликовали веб-сайт, который хотите защитить с помощью SSL.

Получить сертификат

Чтобы начать процесс получения сертификата, необходимо сгенерировать CSR. Вы делаете это через консоль управления IIS; поэтому перед созданием CSR необходимо установить IIS. CSR — это в основном сертификат, который вы генерируете на своем сервере, который проверяет информацию о вашем сервере, зависящую от компьютера, когда вы запрашиваете сертификат у стороннего центра сертификации.CSR — это просто зашифрованное текстовое сообщение, зашифрованное с помощью пары открытого / закрытого ключей.

Обычно в создаваемый вами CSR включается следующая информация о вашем компьютере:

• Организация
• Организационная единица
• Страна
• Государство
• Населенный пункт
• Общее название

Примечание

Общее имя обычно состоит из имени вашего хост-компьютера и домена, которому он принадлежит, например xyz.com . В этом случае компьютер является частью домена .com и называется XYZ . Это может быть корневой сервер вашего корпоративного домена или просто веб-сайт.

Создать CSR

1. Доступ к консоли управления IIS Microsoft (MMC). Для этого щелкните правой кнопкой мыши Мой компьютер и выберите Управление . Откроется Консоль управления компьютером. Разверните раздел «Службы и приложение ». Найдите IIS и разверните консоль IIS.

2. Выберите конкретный веб-сайт, на котором вы хотите установить сертификат сервера. Щелкните правой кнопкой мыши сайт и выберите Properties .

3. Выберите вкладку Безопасность каталога . В разделе Secure Communication выберите Server Certificate . Это запустит мастер сертификатов веб-сервера. Выберите Далее .

4. Выберите Создать новый сертификат и выберите Далее .

5. Выбрать Подготовить запрос сейчас , но отправить его позже и выбрать Далее .

6. В поле Имя введите имя, которое вы можете запомнить. По умолчанию будет использоваться имя веб-сайта, для которого вы создаете CSR.

   Примечание

   При создании CSR необходимо указать длину в битах. Длина ключа шифрования в битах определяет надежность зашифрованного сертификата, который вы отправляете в сторонний центр сертификации.Чем больше длина в битах, тем сильнее шифрование. Большинство сторонних центров сертификации предпочитают минимум 1024 бита.

7. В разделе Информация об организации введите информацию о своей организации и организационном подразделении. Это должно быть точно, потому что вы предоставляете эти учетные данные стороннему центру сертификации и должны соблюдать условия лицензирования сертификата. Выберите Далее , чтобы перейти к разделу Общее имя вашего сайта .

8. Раздел Общее имя вашего сайта отвечает за привязку сертификата к вашему веб-сайту.Для сертификатов SSL введите имя хост-компьютера с именем домена. Для серверов интрасети вы можете использовать NetBIOS-имя компьютера, на котором размещен сайт. Выберите Далее для доступа к географической информации.

9. Введите информацию о вашей стране, штате или провинции, стране или регионе. Полностью укажите свой штат или провинцию, страну или регион; не используйте сокращения. Выберите Далее .

10. Сохраните файл как файл .txt.

11. Подтвердите детали вашего запроса. Для завершения выберите Далее и выйдите из мастера сертификатов веб-сервера.

Запросить сертификат

Существуют разные способы отправки запроса. Обратитесь к поставщику сертификатов по вашему выбору, чтобы узнать, какой метод использовать и какой уровень сертификата лучше всего подходит для ваших нужд. В зависимости от метода, выбранного для отправки вашего запроса в ЦС, вы можете отправить файл CSR с шага 10 в разделе «Создание CSR» или вам, возможно, придется вставить содержимое этого файла в запрос.Этот файл будет зашифрован и будет содержать верхний и нижний колонтитулы для содержимого. При запросе сертификата вы должны включать и верхний, и нижний колонтитулы. Ваш CSR должен выглядеть следующим образом:

  ----- НАЧАТЬ ЗАПРОС НОВОГО СЕРТИФИКАТА -----
MIIDATCCAmoCAQAwbDEOMAwGA1UEAxMFcGxhbjgxDDAKBgNVBAsTA1BTUzESMBAG
A1UEChMJTWljcm9zb2Z0MRIwEAYDVQQHEwlDaGFybG90dGUxFzAVBgNVBAgTDk5v
cnRoIENhcm9saW5hMQswCQYDVQQGEwJVUzCBnzANBgkqhkiG9w0BAQEFAAOBjQAw
gYkCgYEAtW1koGfdt + EoJbKdxUZ + 5vE7TF1ZuT + xaK9jEWHESfw11zoRKrHzHN0f
IASnwg3vZ0ACteQy5SiWmFaJeJ4k7YaKUb6chZXG3GqL4YiSKFaLpJX + YRiKMtmI
JzFzict5GVVGHsa1lY0BDYDO2XOAlstGlHCtENHOKpzdYdANRg0CAwEAAaCCAVMw
GgYKKwYBBAGCNw0CAzEMFgo1LjAuMjE5NS4yMDUGCisGAQQBgjcCAQ4xJzAlMA4G
A1UdDwEB / wQEAwIE8DATBgNVHSUEDDAKBggrBgEFBQcDATCB / QYKKwYBBAGCNw0C
AjGB7jCB6wIBAR5aAE0AaQBjAHIAbwBzAG8AZgB0ACAAUgBTAEEAIABTAEMAaABh
AG4AbgBlAGwAIABDAHIAeQBwAHQAbwBnAHIAYQBwAGgAaQBjACAAUAByAG8AdgBp
AGQAZQByA4GJAGKa0jzBn8fkxScrWsdnU2eUJOMUK5Ms87Q + fjP1 / pWN3PJnH7x8
MBc5isFCjww6YnIjD8c3OfYfjkmWc048ZuGoH7ZoD6YNfv / SfAvQmr90eGmKOFFi
TD + hl1hM08gu2oxFU7mCvfTQ / 2IbXP7KYFGEqaJ6wn0Z5yLOByPqblQZAAAAAAAA
AAAwDQYJKoZIhvcNAQEFBQADgYEAhpzNy + aMNHAmGUXQT6PKxWpaxDSjf4nBmo7o
MhfC7CIvR0McCQ + CBwuLzD + UJxl + kjgb + qwcOUkGX2PCZ7tOWzcXWNmn / 4YHQl0M
GEXu0w67sVc2R9DlsHDNzeXLIOmjUl935qy1uoIR4V5C48YNsF4ejlgjeCFsbCoj
Jb9 / 2RM =
----- КОНЕЦ НОВОГО ЗАПРОСА СЕРТИФИКАТА -----
  

Установить сертификат

После того, как сторонний центр сертификации завершит ваш запрос сертификата сервера, вы получите его по электронной почте или на сайте загрузки.Сертификат должен быть установлен на веб-сайте, на котором вы хотите обеспечить безопасную связь.

Чтобы установить сертификат, выполните следующие действия:

1. Загрузите или скопируйте сертификат, полученный от центра сертификации, на веб-сервер.
2. Откройте IIS MMC, как описано в разделе Создание CSR .
3. Откройте диалоговое окно Properties для веб-сайта, на котором вы устанавливаете сертификат.
4. Выберите вкладку Directory Security , а затем выберите Server Certificate .Это запустит мастер сертификатов веб-сервера. Выберите Далее .
5. Выберите Обработать ожидающий запрос и установите сертификат , а затем выберите Далее .
6. Перейдите в расположение сертификата, который вы сохранили на шаге 1. Дважды выберите Далее , а затем выберите Завершить .

Принудительное использование SSL-соединений

Теперь, когда сертификат сервера установлен, вы можете установить связь по безопасному каналу SSL с клиентами веб-сервера.Во-первых, вам нужно включить порт 443 для безопасной связи с веб-сайтом. Для этого выполните следующие действия:

1. В консоли «Управление компьютером» щелкните правой кнопкой мыши веб-сайт, на котором необходимо применить SSL, и выберите Свойства .
2. Выберите вкладку Веб-сайт . В разделе «Идентификация веб-сайта » убедитесь, что в поле «Порт SSL» указано числовое значение 443.
3. Выберите Advanced . Вы должны увидеть два поля.IP-адрес и порт веб-сайта уже должны быть указаны в Множественные идентификаторы для этого поля веб-сайта. В поле Multiple SSL Identities для этого веб-сайта выберите Добавить , если порт 443 еще не указан. Выберите IP-адрес сервера и введите числовое значение 443 в поле Порт SSL. Выберите ОК .

Теперь, когда порт 443 включен, вы можете принудительно использовать SSL-соединения. Для этого выполните следующие действия:

1. Выберите вкладку Directory Security .В разделе Secure Communication теперь доступен Edit . Выберите Изменить .

2. Выберите Требовать безопасный канал (SSL) .

   Примечание

   Если вы укажете 128-битное шифрование, клиенты, использующие браузер с 40-битной или 56-битной надежностью, не смогут связываться с вашим сайтом, если они не обновят свою стойкость шифрования.

3. Откройте браузер и попробуйте подключиться к вашему веб-серверу, используя стандартный протокол http: // .Если SSL применяется принудительно, вы получаете следующее сообщение об ошибке:

   Страница должна просматриваться по защищенному каналу
   Страница, которую вы пытаетесь просмотреть, требует использования «https» в адресе.
   Попробуйте следующее: Попробуйте еще раз, набрав https: // в начале адреса, который вы пытаетесь достичь. HTTP 403.4 — Запрещено: требуется SSL. Информационные службы Интернета
   Техническая информация (для персонала службы поддержки) Справочная информация: эта ошибка указывает на то, что страница, к которой вы пытаетесь получить доступ, защищена с помощью Secure Sockets Layer (SSL).

Теперь вы можете подключиться к своему веб-сайту только по протоколу https: // .

Как настроить SSL на IIS 7

• 22.11.2007
• 6 минут на чтение

В этой статье

от Саада Ладки

Введение

Шаги по настройке Secure Sockets Layer (SSL) для сайта одинаковы в IIS 7 и более поздних версиях, а также в IIS 6.0 и включают следующее:

• Получите соответствующий сертификат.
• Создайте привязку HTTPS на сайте.
• Протестируйте, сделав запрос на сайт.
• Необязательно сконфигурируйте опции SSL, то есть сделав SSL обязательным.

В этом документе представлена ​​основная информация о SSL, а затем показано, как включить SSL следующими способами:

• Использование диспетчера IIS.
• С помощью инструмента командной строки AppCmd.exe.
• Программно через Microsoft.Веб.администрирование.
• Использование сценариев WMI.

Эта статья содержит следующие разделы:

Конфигурация SSL

Независимо от того, запускаете ли вы свой веб-сайт на собственном сервере или в облаке, использование SSL для защиты вашего сайта, вероятно, чрезвычайно важно для вас, поскольку многие веб-сайты обращаются к нему для защиты конфиденциальности пользователей. Если вам нужно настроить SSL на вашем сервере, важно понимать, что реализация SSL изменилась с IIS 6.0 на IIS 7 и выше.В IIS 6.0 на Windows Server 2003 вся конфигурация SSL хранилась в метабазе IIS, а шифрование / дешифрование происходило в пользовательском режиме (требуя большого количества переходов между ядром и пользовательским режимом). В IIS 7 и выше HTTP.sys обрабатывает шифрование / дешифрование SSL в режиме ядра, что приводит к повышению производительности защищенных соединений в IIS 7 и выше на 20% по сравнению с IIS 6.0.

Использование SSL в режиме ядра требует хранения информации о привязке SSL в двух местах. Во-первых, привязка хранится в% windir % \ System32 \ inetsrv \ config \ applicationHost.config для вашего сайта. Когда сайт запускается, IIS отправляет привязку к HTTP.sys, а HTTP.sys начинает прослушивать запросы на указанном IP: Port (это работает для всех привязок). Во-вторых, конфигурация SSL, связанная с привязкой, хранится в конфигурации HTTP.sys. Используйте команду netsh в командной строке, чтобы просмотреть конфигурацию привязки SSL, хранящуюся в HTTP.sys, как в следующем примере:

  netsh http показать sslcert
  

Когда клиент подключается и инициирует согласование SSL, HTTP.sys ищет в своей конфигурации SSL пару IP: Порт, к которой подключился клиент. Конфигурация SSL HTTP.sys должна включать хэш сертификата и имя хранилища сертификатов, прежде чем согласование SSL будет успешным.

Совет по устранению неполадок: Если у вас возникли проблемы с привязкой SSL, убедитесь, что привязка настроена в ApplicationHost.config и что хранилище HTTP.sys содержит действительный хэш сертификата и имя хранилища для привязки.

Выбор сертификата

При выборе сертификата учитывайте следующее: хотите ли вы, чтобы конечные пользователи могли проверять подлинность вашего сервера с помощью вашего сертификата? Если да, то либо создайте запрос на сертификат и отправьте его в известный центр сертификации (ЦС), например VeriSign или GeoTrust, либо получите сертификат в онлайн-центре сертификации в вашем домене интрасети.Браузер обычно проверяет в сертификате сервера три вещи:

1. Что текущая дата и время находятся в диапазоне дат сертификата «Действительно с» и «Действительно до».
2. Что «Общее имя» (CN) сертификата совпадает с заголовком хоста в запросе. Например, если клиент делает запрос на https://www.contoso.com/ , тогда CN должен быть www.contoso.com .
3. Что издатель сертификата является известным и доверенным центром сертификации.

Если одна или несколько из этих проверок завершились неудачно, браузер выдает пользователю предупреждения. Если у вас есть сайт в Интернете или в интрасети, где ваши конечные пользователи не являются людьми, которых вы знаете лично, вы всегда должны убедиться, что эти три параметра действительны.

Самозаверяющие сертификаты — это сертификаты, созданные на вашем компьютере. Они полезны в средах, где конечному пользователю не важно доверять вашему серверу, например в тестовой среде.

Использование AppCmd ​​

Вы не можете запросить или создать сертификат с помощью AppCmd.исполняемый файл. Вы также не можете использовать AppCmd.exe для создания привязки SSL.

Настройка параметров SSL

AppCmd.exe можно использовать для настройки сайта на прием только серверных HTTPS-подключений, изменив атрибут sslFlags в разделе «Доступ». Например, вы можете настроить этот параметр для «Веб-сайт по умолчанию» в файле ApplicationHost.config (например, commitPath: APPHOST) с помощью следующей команды:

 % windir% \ system32 \ inetsrv> AppCmd ​​установить конфигурацию «Веб-сайт по умолчанию» -commitPath: APPHOST -section: access -sslFlags: Ssl
  

В случае успеха отображается следующее сообщение:

  Внесены изменения конфигурации в раздел «система».webServer / security / access "для" MACHINE / WEBROOT / APPHOST / Default Web Site "в пути фиксации конфигурации" MACHINE / WEBROOT / APPHOST "
  

Примечание

Чтобы потребовать 128-битный SSL, измените значение sslFlags на Ssl128 .

В следующем примере показано, как просмотреть настройки раздела для веб-сайта по умолчанию. Атрибут sslFlags установлен успешно.

 % windir% \ system32 \ inetsrv> Конфигурация списка AppCmd ​​"Веб-сайт по умолчанию" - раздел: доступ
  

Выполнение команды приводит к появлению следующей записи в ApplicationHost.файл конфигурации:

  
  <безопасность>
    
  

  

Использование WMI

Вы не можете запросить или создать сертификат с помощью пространства имен WMI WebAdministration.

Создание привязки SSL

Следующий сценарий демонстрирует, как создать новую привязку SSL и как добавить соответствующую конфигурацию для HTTP.sys и IIS:

  Установить oIIS = GetObject ("winmgmts: root \ WebAdministration")
  

  '' '' '' '' '' '' '' '' '' '' '' '' '' '' '' '' '' '' '' '
'СОЗДАТЬ ПРИВЯЗКУ SSL
'' '' '' '' '' '' '' '' '' '' '' '' '' '' '' '' '' '' '' '' ''

OIIS.Get ("SSLBinding"). Создать _
   «*», 443, «4dc67e0ca1d9ac7dd4efb3daaeb15d708c9184f8», «МОЙ»
  

  '' '' '' '' '' '' '' '' '' '' '' '' '' '' '' '' '' '' '' '
'ДОБАВИТЬ СВЯЗЬ SSL НА САЙТ
'' '' '' '' '' '' '' '' '' '' '' '' '' '' '' '' '' '' '' '' ''

Установите oBinding = oIIS.Get ("BindingElement"). SpawnInstance_
oBinding.BindingInformation = "*: 443:"
oBinding.Protocol = "https"

Установите oSite = oIIS.Get ("Site.Name = 'Default Web Site'")
arrBindings = oSite.Bindings

ReDim Preserve arrBindings (UBound (arrBindings) + 1)
Установите arrBindings (UBound (arrBindings)) = oBinding

oSite.Привязки = arrBindings
Установите oPath = oSite.Put_
  

Примечание

Хэш и хранилище сертификата должны ссылаться на настоящий действующий сертификат на вашем сервере. Если хэш сертификата и / или имя хранилища являются поддельными, возвращается ошибка.

Настройка параметров SSL

Следующий сценарий демонстрирует, как установить параметры SSL с помощью поставщика IIS WMI. Вы можете найти это значение в файле IIS_Schema.xml.

  ПОСТОЯННЫЙ SSL = 8
Установите oIIS = GetObject ("winmgmts: root \ WebAdministration")
Установите oSection = oIIS.Получить(\_
 "AccessSection.Path = 'MACHINE / WEBROOT / APPHOST', Location = 'Default Web Site'")
oSection.SslFlags = oSection.SslFlags ИЛИ SSL
oSection.Put \ _  
  

Менеджер IIS

Получить сертификат

Выберите узел сервера в древовидной структуре и дважды щелкните компонент Server Certificates в списке:

Щелкните Создать самоподписанный сертификат … на панели Действия .

Введите понятное имя для нового сертификата и нажмите ОК .

Теперь у вас есть самоподписанный сертификат. Сертификат помечен для использования «Проверка подлинности сервера»; то есть он используется в качестве сертификата на стороне сервера для шифрования HTTP SSL и для аутентификации личности сервера.

Создание привязки SSL

Выберите сайт в дереве и щелкните Привязки … на панели Действия . Откроется редактор привязок, который позволяет создавать, редактировать и удалять привязки для вашего веб-сайта. Щелкните Добавить… , чтобы добавить новую привязку SSL к сайту.

По умолчанию для новой привязки установлено значение HTTP на порту 80. Выберите https в раскрывающемся списке Тип . Выберите самозаверяющий сертификат, созданный в предыдущем разделе, из раскрывающегося списка SSL-сертификат , а затем нажмите OK .

Теперь у вас есть новая привязка SSL на вашем сайте, и все, что остается, — это проверить, что она работает.

Проверьте привязку SSL

На панели «Действия» в разделе «Обзор веб-сайта» щелкните ссылку, связанную с только что созданной привязкой.

Internet Explorer (IE) 7 и выше будет отображать страницу с ошибкой, потому что самозаверяющий сертификат был выпущен вашим компьютером, а не доверенным центром сертификации (CA). IE 7 и выше будет доверять сертификату, если вы добавите его в список доверенных корневых центров сертификации в сертификатах, хранящих его на локальном компьютере, или в групповой политике для домена. Щелкните Перейти на этот веб-сайт (не рекомендуется) .

Настройка параметров SSL

Настройте параметры SSL, если вы хотите, чтобы ваш сайт требовал SSL или определенным образом взаимодействовал с клиентскими сертификатами.Щелкните узел сайта в дереве, чтобы вернуться на домашнюю страницу сайта. Дважды щелкните функцию SSL Settings на средней панели.

Сводка

В этом пошаговом руководстве мы успешно использовали инструмент командной строки AppCmd.exe, поставщик сценариев WMI и диспетчер IIS для настройки SSL в IIS.

Как включить HTTPS для WordPress? Принудительно использовать SSL для HTTPS