SSL Zertifikat erzeugen¶

Als erster Schritt muss ein Zertifikat erstellt werden. Da hier verschiedene, zum Teil ineinander geschachtelte Befehle ausgeführt werden müssen, empfiehlt es sich ein Pseudo-Root-Terminal ^[1] mittels

sudo -s 

zu öffnen. Danach kann man das Zertifikat erzeugen.

mkdir -p /etc/apache2/ssl
openssl req -new -x509 -days 365 -nodes -out /etc/apache2/ssl/apache.pem -keyout /etc/apache2/ssl/apache.pem
ln -sf /etc/apache2/ssl/apache.pem /etc/apache2/ssl/`/usr/bin/openssl x509 -noout -hash < /etc/apache2/ssl/apache.pem`.0
chmod 600 /etc/apache2/ssl/apache.pem 

Den Wert nach -days nach Belieben anpassen, je nachdem wie lange das Zertifikat gelten soll.

Konfiguration¶

Um SSL/TLS verwenden zu können, muss der Apache Webserver auf TCP Port 443 lauschen. Hierzu muss die Datei /etc/apache2/ports.conf geändert werden ^[2]. Diese sieht standardmäßig so aus:

Listen 192.168.1.10:80

#<IfModule mod_ssl.c>
#    Listen 443
#</IfModule>

Diese muss so abgeändert werden:

Listen 192.168.1.10:80
<IfModule mod_ssl.c>
    Listen 443
</IfModule>

Modul aktivieren¶

Anschließend aktiviert man das SSL-Modul des Webservers mit:

sudo a2enmod ssl 

SSL Webseite konfigurieren¶

Nun wird der VirtualHost für SSL eingerichtet. Für die Konfiguration wird die Datei /etc/apache2/sites-available/ssl mit folgendem Inhalt erstellt:

<virtualhost *:443>
...
        SSLEngine On
        SSLCertificateFile /etc/apache2/ssl/apache.pem
...
</virtualhost>

Die neue VirtualHost-Konfiguration muss noch aktiviert werden:

sudo a2ensite ssl 

Port 443 schon von Apache selbst belegt¶

Erscheint beim Starten des Servers die Fehlermeldung

(98)Address already in use: make_sock: could not bind to address 0.0.0.0:443
no listening sockets available, shutting down

so sollten die Einträge in /etc/apache2/ports.conf überprüft werden.

Dort darf der Eintrag

Listen 443

nur einmal vorhanden sein. Auch in anderen Dateien der Apache-Konfiguration darf diese Direktive nicht nochmal vorkommen!

SSL Fehlermeldung beim Verbindungsaufbau¶

Erscheint beim Seitenaufruf im Browser die Fehlermeldung

Fehlercode: ssl_error_rx_record_too_long

liegt das meist an fehlerhaft konfigurierten vHosts. Die wichtigsten Eckdaten für einen reibungslosen Betrieb von vHosts mit SSL sind wie folgt:

Es sollten zwei NameServerHost-Einträge innerhalb der Dateien in /etc/apache2/sites-available/ vorhanden sein

NameVirtualHost *:80
NameVirtualHost *:443

Der Eintrag für Port 80 sollte in default und der Eintrag für Port 443 in ssl sein, dies muss nicht so sein; sollte es aber, wenn lediglich diesem Wiki-Beitrag gefolgt wurde und ansonsten keine Änderungen der Konfiguration vorgenommen wurden.