34 Apache HTTP 伺服器 #

在設定 Apache Web 伺服器之前，請先確定您已符合下列要求：

SUSE Linux Enterprise Server 中的 Apache 預設不會安裝到系統。若要以可「直接」執行的預先定義標準組態進行安裝，請按照以下步驟操作：

您可讓 Apache 在開機時自動啟動或者手動將其啟動。

為確定 Apache 會在開機期間於目標 multi-user.target 與 graphical.target 中自動啟動，請執行以下指令：

tux > sudo systemctl enable apache2

如需 SUSE Linux Enterprise Server 中 systemd 目標的詳細資訊，以及 YaST 服務管理員的描述，請參閱第 15.4 節 「使用 YaST 管理服務」。

若要使用外圍程序手動啟動 Apache，請執行 systemctl start apache2。

現在網頁伺服器已經開始執行，您可以加入自己的文件、根據個人需求調整組態，或是安裝模組來新增功能。

本節提供 Apache 組態檔案的綜覽。如果使用 YaST 進行組態設定，則不需要變更這些檔案，但如果以後要切換到手動組態設定，這些資訊可能非常有用。

您可以在下列兩個不同位置找到 Apache 組態檔案：

/etc/apache2/
     |
     |- charset.conv
     |- conf.d/
     |   |
     |   |- *.conf
     |
     |- default-server.conf
     |- errors.conf
     |- httpd.conf
     |- listen.conf
     |- magic
     |- mime.types
     |- mod_*.conf
     |- server-tuning.conf
     |- ssl.*
     |- ssl-global.conf
     |- sysconfig.d
     |   |
     |   |- global.conf
     |   |- include.conf
     |   |- loadmodule.conf . .
     |
     |- uid.conf
     |- vhosts.d
     |   |- *.conf

以手動方式設定 Apache 是指以 root 使用者身分來編輯純文字組態檔案。

34.2.2.1 虛擬主機組態 #

 

「虛擬主機」一詞，是形容 Apache 從同一部實體機器提供多個通用資源識別字串 (URI，Universal Resource Identifier) 的能力。這是指同時由一部實體電腦的單一網頁伺服器來執行多個領域 (例如，www.example.com 和 www.example.net)。

使用虛擬主機的目的，經常是為了節省管理工作 (只需要維護一部網頁伺服器) 和硬體開銷 (不需要將各個網域安裝在專屬伺服器上)。虛擬主機可以使用名稱、IP 或是連接埠作為基礎。

若要列出所有現有的虛擬主機，請使用指令 apache2ctl -S。該指令將輸出一份清單，顯示預設伺服器和所有虛擬主機，以及它們的 IP 位址和監聽埠。此外，該清單還顯示每個虛擬主機在組態檔案中的位置。

虛擬主機可依照第 34.2.3.1.4 節 「虛擬主機」中所述透過 YaST 設定，或是手動編輯組態檔案來設定。依預設，系統會根據 /etc/apache2/vhosts.d/ 中每部虛擬主機一個組態檔案的設定，為在 SUSE Linux Enterprise Server 中執行的 Apache 做好準備。此目錄中副檔名為 .conf 的所有檔案，都會自動包含至組態中。這個目錄會提供虛擬主機的基本樣板 (vhost.template，或是適用於提供 SSL 支援之虛擬主機的 vhost-ssl.template)。

提示：永遠要建立虛擬主機組態

建議您務必要建立虛擬主機組態檔案，即使網頁伺服器只代管一個網域。如此，您不但可以將網域專屬組態存放在一個檔案中，還可以隨時回復至運作正常的基本組態，只需移動、刪除或重新命名虛擬主機的組態檔案即可。同樣地，您應該也要分別為每個虛擬主機建立組態。

使用名稱型虛擬主機時，建議設定預設組態，以便在網域名稱與虛擬主機組態不相符時使用。系統會首先載入預設虛擬主機的組態。由於組態檔案的順序由檔案名稱決定，因此請在預設虛擬主機組態檔案名稱的開頭使用底線字元 (_)，以確定讓該檔案最先載入 (例如：_default_vhost.conf)。

<VirtualHost></VirtualHost> 區塊包含要套用到特定網域的資訊。當 Apache 接收到來自訂義的虛擬主機的用戶端要求時，就會使用本節所包含的指示詞。幾乎所有指示詞都可以用於虛擬主機網路位置。如需更多有關 Apache 組態指示詞的詳細資訊，請參閱http://httpd.apache.org/docs/2.4/mod/quickreference.html。

34.2.2.1.1 以名稱為基礎的虛擬主機 #

 

使用以名稱為基礎的虛擬主機時，每個 IP 位址可以為數個網站提供服務。Apache 會使用用戶端所傳送之 HTTP 標頭中的主機欄位，將要求連接到與其中一個虛擬主機宣告相符的 ServerName 項目。如果沒有找到相符的 ServerName，就會預設使用第一個指定的虛擬主機。

第一步是為要提供服務的每一個不同的名稱型主機建立 <VirtualHost> 區段。在每個 <VirtualHost> 區塊內部，您至少需要一個 ServerName 指令來指定要為哪個主機提供服務，並需要一個 DocumentRoot 指令來顯示該主機的內容位於檔案系統中的哪個位置。

範例 34.1︰ 基於名稱的 VirtualHost 項目的基本範例 #

 

<VirtualHost *:80>
# This first-listed virtual host is also the default for *:80
ServerName www.example.com
ServerAlias example.com
DocumentRoot /srv/www/htdocs/domain
</VirtualHost>

<VirtualHost *:80>
ServerName other.example.com
DocumentRoot /srv/www/htdocs/otherdomain
</VirtualHost>

開啟的 VirtualHost 標籤會將 IP 位址 (或完全合格的網域名稱) 當作名稱型虛擬主機組態的引數。連結埠號碼指令是選填項目。

允許使用萬用字元 * 做為 IP 位址的替代符號。如果是使用 IPv6 位址，該位址就必須用方括號包住。

範例 34.2︰ 基於名稱的 VirtualHost 指令 #

 

<VirtualHost 192.168.3.100:80>
  ...
</VirtualHost>

<VirtualHost 192.168.3.100>
  ...
</VirtualHost>

<VirtualHost *:80>
  ...
</VirtualHost>

<VirtualHost *>
  ...
</VirtualHost>

<VirtualHost [2002:c0a8:364::]>
  ...
</VirtualHost>

34.2.2.1.2 以 IP 為基礎的虛擬主機 #

 

此虛擬主機組態替代方法需要為一台機器設定多個 IP 位址。一個 Apache 例項可裝載多個網域，每個網域都會指定不同的 IP。

實體伺服器必須為每部以 IP 為基礎的虛擬主機設定一個 IP 位址。當該電腦沒有安裝多張網路卡時，也可以使用虛擬網路介面 (IP 別名)。

以下範例顯示，Apache 正執行於 IP 為 192.168.3.100 的機器上，並負責代管 IP 位址為 192.168.3.101 與 192.168.3.102 的兩個網域。每部虛擬伺服器都必須具備個別的 VirtualHost 區塊。

範例 34.3︰ 基於 IP 的 VirtualHost 指令 #

 

<VirtualHost 192.168.3.101>
  ...
</VirtualHost>

<VirtualHost 192.168.3.102>
  ...
</VirtualHost>

這裡出淚的 VirtualHost 指示詞，只能指定給 192.168.3.100 以外的其他介面。如果 192.168.3.100 也有設定 Listen 指示詞，這時就必須建立另一個以 IP 為基礎的虛擬主機，來回應 HTTP 要求給該介面 -- 另一種做法是套用預設伺服器組態 (/etc/apache2/default-server.conf) 所顯示的指示詞。

34.2.2.1.3 基本虛擬主機組態 #

 

每個虛擬主機組態中至少要有下列指令，才能設定虛擬主機。如需瞭解更多選項的詳細資訊，請參閱 /etc/apache2/vhosts.d/vhost.template。

ServerName

完全合格網域名稱，其下是應該要建立位址的主機。

DocumentRoot

目錄路徑，Apache 會從此路徑為此主機提供檔案。基於安全性考量，存取整個檔案系統是預設禁止的動作，所以您必須明確解除鎖定這個位在 Directory 容器中的目錄。

ServerAdmin

伺服器管理員的電子郵件地址。這個地址可顯示在 Apache 建立的錯誤頁面 (舉例說明)。

ErrorLog

此虛擬主機的錯誤記錄檔案。雖然沒必要為每個虛擬主機分別建立錯誤記錄檔案，但是多數人會這樣做，以便除錯更加容易。/var/log/apache2/ 是 Apache 記錄檔案的預設目錄。

CustomLog

此虛擬主機的存取記錄檔案。雖然沒必要為每個虛擬主機分別建立存取記錄檔案，但是多數人會這樣做，以便分別為每部主機分析存取統計資料。/var/log/apache2/ 是 Apache 記錄檔案的預設目錄。

正如前面所述，存取整個檔案系統已因安全性考量而預設為禁止動作。因此，請將 Apache 要處理之檔案所在的目錄明確解除鎖定 — 例如 DocumentRoot。

<Directory "/srv/www/www.example.com/htdocs">
  Require all granted
</Directory>

注意：Require all granted

在先前版本的 Apache 中，陳述式 Require all granted 表達為：

Order allow,deny
Allow from all

mod_access_compat 模組仍然支援這種舊式語法。

此完整組態看起來如下：

範例 34.4︰ 基本 VirtualHost 組態 #

 

<VirtualHost 192.168.3.100>
  ServerName www.example.com
  DocumentRoot /srv/www/www.example.com/htdocs
  ServerAdmin webmaster@example.com
  ErrorLog /var/log/apache2/www.example.com_log
  CustomLog /var/log/apache2/www.example.com-access_log common
  <Directory "/srv/www/www.example.com/htdocs">
  Require all granted
  </Directory>
</VirtualHost>

若要使用 YaST 來設定您的 Web 伺服器，請啟動 YaST 並選取「網路服務 ›  HTTP 伺服器」。第一次啟動模組時，HTTP 伺服器精靈會啟動，提示您對伺服器管理進行一些基本設定。完成精靈之後，每當您呼叫「HTTP 伺服器」模組時，「HTTP 伺服器組態」對話方塊就會啟動。如需詳細資訊，請參閱 第 34.2.3.2 節 「HTTP 伺服器組態」。

34.2.3.1 HTTP 伺服器精靈 #

 

HTTP 伺服器精靈包含有五個步驟。在最後一個步驟的對話方塊中，您可以進入進階組態模式以執行更具體的設定。

34.2.3.1.1 網路裝置選擇 #

 

在此，您可以指定 Apache 用來監聽內送要求的網路介面和連接埠。您可以選取任何現有網路介面及其 IP 位址的組合。若連接埠 (連接埠隸屬以下三種：已知埠、註冊埠和動態或私人埠) 不供其他服務使用，則皆可供您使用。預設設定為在連接埠 80 上監聽所有網路介面 (IP 位址)。

核取「在防火牆中開啟埠」選項，可在防火牆中開啟 Web 伺服器監聽的連接埠。若要使網頁伺服器在網路 (包括 LAN、WAN 或公用網際網路) 上為可用狀態，請核取此選項。只有在測試時，並且此時不須由外部網路存取 Web 伺服器，才可以關閉該連接埠。如果您有多個網路介面，請按一下防火牆細節以指定應在哪些介面上開啟連接埠。

按「下一步」繼續設定組態。

34.2.3.1.2 模組 #

 

使用「模組」組態選項，可以啟用或停用 Web 伺服器應支援的程序檔語言。如需有關啟用或停用其他模組的詳細資訊，請參閱第 34.2.3.2.2 節 「伺服器模組」。按一下下一步，繼續進行下一個對話方塊。

34.2.3.1.3 預設主機 #

 

此選項與預設網頁伺服器相關。正如第 34.2.2.1 節 「虛擬主機組態」內容所述，Apache 可以在一部實體機器上提供多個虛擬主機。組態檔案中第一個宣告的虛擬主機通常稱為預設主機。每部虛擬主機都會繼承預設主機的組態。

若要編輯主機設定 (又稱為指令)，請在表格中選取相應項目，然後按一下「編輯」。若要新增指示詞，請按一下「新增」。若要刪除指示詞，請選取該指示詞，然後按一下刪除。

圖 34.1︰ HTTP 伺服器精靈：預設主機 #

 

這是伺服器預設值的清單：

Document Root

目錄路徑，Apache 會從此路徑為此主機提供檔案。/srv/www/htdocs 是預設位置。

Alias

使用 Alias 指令可以將 URL 對應到實體檔案系統位置。這表示某個路徑即使不在檔案系統的 Document Root 中，仍可藉由該路徑別名的 URL 進行存取。

預設的 SUSE Linux Enterprise Server Alias /icons 指向 /usr/share/apache2/icons，做為目錄索引檢視中顯示的 Apache 圖示。

ScriptAlias

功能相似於 Alias 指示詞，ScriptAlias 指示詞可以將 URL 映射到檔案系統位置。兩者差別在於 ScriptAlias 可以將目標目錄指定作為 CGI 位置，表示該 CGI 程序檔必須在該位置執行。

Directory

使用 Directory 設定時，您可以指定一組組態選項，只將其中的選項套用到特定目錄。

在此可以設定 /srv/www/htdocs、/usr/share/apache2/icons 和 /srv/www/cgi-bin 目錄的存取和顯示選項。其中預設值應該不需要進行改變。

Include

使用 Include 可以指定其他的組態檔案。預先設定的 Include 指示詞有兩個：/etc/apache2/conf.d/ 為外部模組隨附之組態檔所在的目錄。使用此指示詞時，此目錄中所有以 .conf 結尾的檔案都會包含在內。使用第二個指示詞時，/etc/apache2/conf.d/apache2-manual.conf，即 apache2-manual 組態檔將包含在內。

Server Name

這個項目可以指定用戶端用來聯絡網頁伺服器的預設 URL。請使用完全合格的網域名稱 (FQDN) 來連接 http://FQDN/ 的網頁伺服器或其 IP 位址。您不能在此選擇任意名稱 -- 該伺服器必須是「已知」採用這個名稱。

Server Administrator E-Mail

伺服器管理員的電子郵件地址。這個地址可顯示在 Apache 建立的錯誤頁面 (舉例說明)。

完成設定預設主機步驟後，請按一下下一步，繼續下一個組態步驟。

34.2.3.1.4 虛擬主機 #

 

在此步驟中，精靈會顯示已完成設定之虛擬主機的清單 (請參閱第 34.2.2.1 節 「虛擬主機組態」)。如果在啟動 YaST HTTP 精靈之前尚未進行手動變更，則不會顯示虛擬主機。

若要新增主機，請按一下「新增」開啟對應的對話方塊，並在其中輸入主機的基本資訊，例如「伺服器名稱」、「伺服器內容根目錄」」(DocumentRoot) 和「管理員電子郵件」。「伺服器解析」可用來決定主機的識別方式 (以名稱為基礎或是以 IP 為基礎)。透過「變更虛擬主機 ID」指定名稱或 IP 位址

按一下下一步，繼續進入虛擬主機組態對話方塊的第二部分。

在虛擬主機組態對話方塊的第二部分中，您可以指定是否要啟用 CGI 程序檔、以及這些程序檔要使用哪個目錄。您也可以在此啟用 SSL。如果執行了這個動作，您就必須同時指定證書的路徑。如需有關 SSL 和證書的詳細資訊，請參閱第 34.6.2 節 「設定提供 SSL 的 Apache」。使用「目錄索引」選項，可以指定當用戶端要求目錄時要顯示哪個檔案 (預設為 index.html)。新增一或多個檔案名稱 (以空格分隔) 可變更此設定。使用啟用公用 HTML，便可在伺服器的 http://www.example.com/~USER 下存取使用者公用目錄 (~USER/public_html/) 的內容。

重要：建立虛擬主機

您不能在此隨意新增虛擬主機。如果使用以名稱為基礎的虛擬主機，就必須在網路上解析每部主機名稱。如果是使用以 IP 為基礎的虛擬主機，每個可用 IP 位址就只能指派一部主機。

34.2.3.1.5 摘要 #

 

這是精靈的最後一個步驟。您可以在此處決定 Apache 伺服器啟動的方式和時間：開機時啟動或手動啟動。同時可檢視目前已完成之組態的簡短摘要。如果您接受目前設定，請按一下「完成」以完成組態設定。若要進行變更，請按一下上一步，直至所需的對話方塊顯示。按一下 HTTP 伺服器進階組態便可開啟第 34.2.3.2 節 「HTTP 伺服器組態」 所介紹的對話方塊。

圖 34.2︰ HTTP 伺服器精靈：摘要 #

 

34.2.3.2 HTTP 伺服器組態 #

 

「HTTP 伺服器組態」對話方塊可提供比精靈更多的組態調整 (精靈 只會在第一次設定網頁伺服器時執行)。其中包含下列要介紹的四個索引標籤。在此變更的任何選項都無法立即生效 -- 您必須先按一下「完成」進行確認之後，它們才會生效。按一下「中止」，系統將不變更組態模組，並會捨棄您的變更。

34.2.3.2.1 傾聽埠和位址 #

 

在「HTTP 服務」中，選取執行 (啟用) 或停止 (停用) Apache。在「監聽埠」中，「新增」、「編輯」或「刪除」可透過其使用伺服器的位址和連接埠。預設會在連接埠 80 上監聽所有介面。任何情況下都必須核取「在防火牆中開啟埠」，否則將無法從外部連接 Web 伺服器。只有在測試時，並且此時不須由外部網路存取 Web 伺服器，才可以關閉該連接埠。如果您有多個網路介面，請按一下防火牆細節以指定應在哪些介面上開啟連接埠。

使用「記錄檔案」時，可檢視存取記錄檔案或錯誤記錄檔案。測試組態時此選項非常有用。記錄檔案會在另一個視窗中開啟，您也可以在此處重新啟動或重新載入 Web 伺服器。如需詳細資料，請參閱第 34.3 節 「啟動和停止 Apache」。這些指令會立即生效，其記錄訊息也會即刻顯示。

圖 34.3︰ HTTP 伺服器組態：監聽連接埠和位址 #

 

34.2.3.2.2 伺服器模組 #

 

您可以按一下「切換狀態」，變更 Apache2 模組的狀態 (啟用或停用)。按一下「新增模組」，可新增已經安裝但是未列出的新模組。若要更進一步認識模組，請參閱第 34.4 節 「安裝、啟用和設定模組」。

圖 34.4︰ HTTP 伺服器組態：伺服器模組 #

 

34.2.3.2.3 主要主機 #

 

這些對話方塊相同於前面已介紹過的對話方塊。請參閱第 34.2.3.1.3 節 「預設主機」和第 34.2.3.1.4 節 「虛擬主機」。

如果您已依照第 34.1.2 節 「安裝」 中所述完成預設安裝，則下列模組此時都已安裝：所有基礎模組與延伸模組、多重處理模組 Prefork MPM 以及外部模組 mod_python。

您可以啟動 YaST，然後選擇「軟體 ›  軟體管理」，來安裝其他的外部模組。現在，請選擇檢視 ›  搜尋，然後搜尋 apache。結果清單中除其他套件之外，還會包含所有可用的外部 Apache 模組。

以手動方式或透過 YaST 啟用或停用特定模組。在 YaST 中，需要使用第 34.2.3.1 節 「HTTP 伺服器精靈」中所述的模組組態來啟用或停用程序檔語言模組 (PHP 5 和 Python)。所有其他模組都可以依據第 34.2.3.2.2 節 「伺服器模組」說明步驟來啟用或停用。

如果您想手動啟用或停用這些模組，請分別使用指令 a2enmod MODULE 或 a2dismod MODULE。a2enmod -l 會輸出目前所有使用中的模組清單。

重要：包含外部模組的組態檔案

如果您已經手動啟用外部模組，請確定將其組態檔案載入至所有的虛擬主機組態。外部模組的組態檔案會存放在 /etc/apache2/conf.d/ 之下，而且預設會載入 /etc/apache2/default-server.conf。如需更精細的控制，可以將 /etc/apache2/default-server.conf 中的內容設定為備註，並將其僅新增至特定的虛擬主機。如需範例，請參閱 /etc/apache2/vhosts.d/vhost.template。

Apache 說明文件中詳細介紹了所有的基本模組和延伸模組。本文件只提供最重要模組的概要說明。如需關於每個模組的詳細資訊，請參閱 http://httpd.apache.org/docs/2.4/mod/。

SUSE Linux Enterprise Server 提供了兩種不同的多重處理模組 (MPM) 來搭配 Apache 使用。

34.4.4.1 Prefork MPM #

 

Prefork MPM 會實作未產生執行緒、正在進行 Prefork 的 Web 伺服器。這個模組會讓 Web 伺服器以類似 Apache 1.x 版的行為作業。在此版本中，Apache 會透過衍生出獨立的子程序，將各個要求分開處理。這樣發生問題的要求就不會影響其他要求，進而避免網頁伺服器出現鎖定現象。

雖然透過這種以處理程序為主的方法可以提供穩定性，但是比起 Worker MPM，Prefork MPM 會耗用較多的系統資源。Unix 作業系統會將 Prefork MPM 當作預設 MPM。

重要：本文件中的 MPM

本文件會假設 Apache 是使用 Prefork MPM。

34.4.4.2 Worker MPM #

 

Worker MPM 會提供多執行緒 Web 伺服器。執行緒是「輕量級」的處理程序。執行緒和處理程序相比的優點是，它消耗的資源較少。Worker MPM 不只會衍生子處理程序，它還可使用執行緒和伺服器處理程序，來為要求提供服務。預衍生的子程序具有多重執行緒。這種方法因為耗用比 Prefork MPM 更少的系統資源，因此可以提高 Apache 的執行效能。

一個主要缺點就是 Worker MPM 的穩定性：當某執行緒毀損時，處理程序的所有執行緒都會受到影響。最嚴重的情況下，甚至還會造成伺服器當機。尤其是在負載量高的 Apache 上使用通用閘道介面 (CGI) 時，可能就會因執行緒無法與系統資源進行通訊而產生內部伺服器錯誤。在 Apache 上使用 worker MPM 的另外一點爭議，就是並非所有可用的 Apache 模組都能安全地使用執行緒，這樣就無法配合 worker MPM 使用。

警告：將 PHP 模組與 MPM 配合使用

並非所有可用的 PHP 模組都是安全執行緒。因此最好不要搭配 worker MPM 來使用 mod_php。

此處提供了 SUSE Linux Enterprise Server 隨附的所有外部模組的清單。在列出目錄中找出模組的說明文件。

Apache 允許進階使用者編寫自訂模組進行延伸。若要跚apache2-devel 也包含了 apxs2 工具，這是在編譯 Apache 其他模組時，需要用到的工具。

apxs2 可以從原始程式碼進行模組編譯和安裝 (其中包括必要的組態檔案變更)，並建立可於 Runtime 載入 Apache 的動態共用物件 (DSO)。

apxs2 二進位檔案位在 /usr/sbin 下方：

請使用下列指令透過原始碼安裝並啟用模組：

tux > sudo cd /path/to/module/source
tux > sudo apxs2 -cia MODULE.c

其中，-c 用於編譯模組，-i 用於安裝模組，-a 用於啟用模組。如需有關 apxs2 的其他選項資訊，請參閱 apxs2(1) man 頁面。

在 SUSE Linux Enterprise Server 中，CGI 程序檔只能在 /srv/www/cgi-bin/ 目錄中執行。這個位置已設定用來執行 CGI 程序檔。如果您已經建立虛擬主機組態 (請參閱第 34.2.2.1 節 「虛擬主機組態」) 並想要將程序檔放置到主機特定的目錄，則必須解除鎖定和設定此目錄。

ScriptAlias /cgi-bin/ "/srv/www/www.example.com/cgi-bin/"1

<Directory "/srv/www/www.example.com/cgi-bin/">
 Options +ExecCGI2
 AddHandler cgi-script .cgi .pl3
 Require all granted4
</Directory>

CGI 程式設計不同於「一般」程式設計；因為 CGI 程式和程序檔的最前面必須是 MIME-Type 標頭，例如 Content-type: text/html。這個標頭會傳送到用戶端，使其瞭解所接收內容的類型。其次，程序檔的輸出必須是用戶端 (通常指網頁瀏覽器) 可了解的內容，例如 HTML (一般情況)、純文字或影像。

Apache 套件會在 /usr/share/doc/packages/apache2/test-cgi 提供簡單的測試程序檔。這個程序檔會以純文字方式輸出部分環境變數的內容。請將這段程序檔複製到 /srv/www/cgi-bin/ 或虛擬主機的程序檔目錄 (/srv/www/www.example.com/cgi-bin/)，並將其命名為 test.cgi。編輯檔案，讓 #! /bin/sh 位於第一行。

可由 Web 伺服器存取的檔案應該屬於 root 使用者所有。如需其他資訊，請參閱第 34.8 節 「避免安全性問題」。因為網頁伺服器可由不同使用者身分執行，所以 CGI 程序檔必須具備可供全球執行和可供全球讀取等特性。變更 CGI 目錄和使用 chmod 755 test.cgi 指令，便可套用適當的權限。

現在，請呼叫 http://localhost/cgi-bin/test.cgi 或 http://www.example.com/cgi-bin/test.cgi。這時應該會顯示 「CGI/1.0 測試程序檔報告」。

如果這時沒有顯示測試程式的輸出結果，而是出現錯誤訊息，請檢查下列項目：

若要將 TLS/SSL 與 Web 伺服器搭配使用，您需要建立 SSL 證書。網頁伺服器和用戶端在彼此驗證時要用到這項證書，以便讓任一方可以清楚識別對方。為了確保證書的完整性，其必須由每位使用者信任的一方加以簽章。

您可以建立下列三種類型的證書：僅供測試使用的 「虛擬」 證書、供已定義信任圈使用者使用的自我簽發證書，以及由獨立、公開的證書授權機構 (CA) 簽發的證書。

證書的建立可分為兩個步驟。首先產生證書授權機構的私密金鑰，接著再使用該金鑰簽發伺服器證書。

提示：更多資訊

若要進一步瞭解 TLS/SSL 的概念和定義，請參閱 http://httpd.apache.org/docs/2.4/ssl/ssl_intro.html。

34.6.1.1 建立「虛擬」證書 #

 

若要產生虛構證書，請呼叫程序檔 /usr/bin/gensslcert。此操作會建立或覆寫下列檔案。使用 gensslcert 的可選參數可以微調證書。如需詳細資訊，可呼叫 /usr/bin/gensslcert -h。

• /etc/apache2/ssl.crt/ca.crt

• /etc/apache2/ssl.crt/server.crt

• /etc/apache2/ssl.key/server.key

• /etc/apache2/ssl.csr/server.csr

ca.crt 的複製本也會放在 /srv/www/htdocs/CA.crt 提供下載。

重要：僅用於測試

虛構證書絕對不可用於生產環境系統。這類證書只能用於測試目的。

34.6.1.2 建立自行簽署的證書 #

 

如果您要設定一個安全 Web 伺服器供內部網路或已定義的一群使用者圈使用，則透過您自己的證書管理中心 (CA) 簽發證書就可能足以有效符合此時的證書需求。請注意，此類網站的造訪者將看到類似「此網站不可信」的警告，因為網頁瀏覽器不能識別自行簽署的證書。

重要：自行簽署的證書

僅在供認識您、且信任您為證書管理中心之使用者存取的網頁伺服器上，方可使用自我簽署證書。我們不建議您在公開商店等場所使用此類證書。

首先您需要產生證書簽署要求 (CSR)。然後使用 openssl，並使用 PEM 作為證書格式。在此步驟中，系統會要求您輸入密碼片語並回答若干問題。請記住該密碼片語，日後還將使用。

tux > sudo openssl req -new > new.cert.csr
Generating a 1024 bit RSA private key
..++++++
.........++++++
writing new private key to 'privkey.pem'
Enter PEM pass phrase:1
Verifying - Enter PEM pass phrase:2
-----
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:3
State or Province Name (full name) [Some-State]:4
Locality Name (eg, city) []:5
Organization Name (eg, company) [Internet Widgits Pty Ltd]:6
Organizational Unit Name (eg, section) []:7
Common Name (for example server FQDN, or YOUR name) []:8
Email Address []:9

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:10
An optional company name []:11

1	填寫您的密碼片語。
2	再次填寫密碼片語 (並記住它)。
3	填寫以 2 個字母表示的國家/地區代碼，例如 GB 或 CZ。
4	填寫您所在的州/省。
5	填寫城市名稱，例如 Prague。
6	填寫您在職的組織機構名稱。
7	填寫您的組織單位，沒有則保留為空白。
8	填寫伺服器的網域名稱，或者您的名字和姓氏。
9	填寫您的辦公電子郵件地址。
10	將挑戰密碼保留空白，否則您每次重新啟動 Apache Web 伺服器時都需要輸入該密碼。
11	填寫選填的公司名稱，或保留為空白。

現在，您可以產生證書。您將再次使用 openssl，並且證書的格式是預設 PEM。

程序 34.3︰ 產生證書 #

 

1. 將金鑰的私密部分輸出至 new.cert.key。系統將提示您輸入在建立證書簽署要求 (CSR) 時所輸入的密碼片語。

   tux > sudo openssl rsa -in privkey.pem -out new.cert.key

2. 根據您在簽署要求中填寫的資訊產生證書的公開部分。-days 選項指定證書到期之前的時間長度。您可以撤銷證書，或在證書到期之前更換證書。

   tux > sudo openssl x509 -in new.cert.csr -out new.cert.cert -req \
   -signkey new.cert.key -days 365

3. 將證書檔案複製到相關的目錄，以便 Apache 伺服器可以讀取這些檔案。請確定私密金鑰 /etc/apache2/ssl.key/server.key 無法辨識，而公開 PEM 證書 /etc/apache2/ssl.crt/server.crt 則可辨識。

   tux > sudo cp new.cert.cert /etc/apache2/ssl.crt/server.crt
   tux > sudo cp new.cert.key /etc/apache2/ssl.key/server.key

提示：公用證書位置

最後一個步驟是將公用證書檔案從 /etc/apache2/ssl.crt/server.crt 複製到使用者可存取的位置，以便使用者將該檔案納入其網頁瀏覽器已知和信任的 CA 清單中。否則，瀏覽器會報告該證書是由不明授權機構所簽發。

tux > openssl req -new -newkey rsa:2048 -nodes -keyout newkey.pem -out newreq.pem

在 Web 伺服器一端，TLS/SSL 要求的預設連接埠為 443。監聽連接埠 80 的「一般」Apache 與監聽連接埠 443 且支援 TLS/SSL 的 Apache 之間沒有衝突。事實上，HTTP 和 HTTPS 可以執行相同的 Apache 例項。通常這時會使用不同的虛擬主機，將連接埠 80 和連接埠 443 的要求分派到不同的虛擬伺服器。

重要：防火牆組態

請不要忘記為連接埠 443 上已啟用 SSL 的 Apache 開啟防火牆。可依Section 23.4.3, “Configuring the firewall on the command line”中所述透過 firewalld 執行此操作。

在全域伺服器組態中，預設會啟用 SSL 模組。如果主機上停用了該模組，請使用 a2enmod ssl 指令將其啟用。若最終要啟用 SSL，需使用旗標 「SSL」 啟動伺服器。為此，請呼叫 a2enflag SSL (區分大小寫！)。如果選擇使用密碼來加密伺服器證書，您還需要提高 /etc/sysconfig/apache2 中 APACHE_TIMEOUT 的設定值，以便您在啟動 Apache 時有足夠的時間輸入該密碼片語。請重新啟動伺服器來確保這些變更生效。只是重新載入並無法保證變更生效。

虛擬主機組態目錄包含了樣板 /etc/apache2/vhosts.d/vhost-ssl.template 和 SSL 特定指示詞 (將提供詳細文件說明)。如需一般虛擬主機組態的詳細資訊，請參閱第 34.2.2.1 節 「虛擬主機組態」。

若要開始設定組態，請將範本複製到 /etc/apache2/vhosts.d/mySSL-host.conf，並對其進行編輯。充分調整下列指示詞的值：

34.6.2.1 基於名稱的虛擬主機和 SSL #

 

依預設，在只有一個 IP 位址的伺服器上，無法同時執行多個啟用了 SSL 的虛擬主機。以名稱為基礎的虛擬主機需要 Apache 瞭解所要求的伺服器名稱。使用 SSL 連接的問題在於，此類要求只能在使用預設虛擬主機建立了 SSL 連接後才能讀取。如此一來，使用者將會收到證書與伺服器名稱不符的警告訊息。

SUSE Linux Enterprise Server 提供了一項 SSL 通訊協定的延伸：伺服器名稱指示 (Server Name Indication，SNI)。該項延伸會在 SSL 協議中傳送虛擬網域的名稱，以此解決這個問題。這可讓伺服器早些「切換」至正確的虛擬網域，並在瀏覽器中顯示正確的證書。

SUSE Linux Enterprise Server 中預設會啟用 SNI。若要針對 SSL 啟用以名稱為基礎的虛擬主機，請依照第 34.2.2.1.1 節 「以名稱為基礎的虛擬主機」中所述設定伺服器 (請注意，您需要對 SSL 使用連接埠 443 而非 80)。

重要：SNI 瀏覽器支援

用戶端上也必須支援 SNI。不過，只有大部分瀏覽器支援 SNI，某些較舊的瀏覽器不支援。如需詳細資訊，請參閱 https://en.wikipedia.org/wiki/Server_Name_Indication#Support。

若要設定對不支援 SNI 的瀏覽器的處理方式，請使用指令 SSLStrictSNIVHostCheck。若在伺服器組態中設定為 on，則不支援 SNI 的瀏覽器對所有虛擬主機的存取都會遭到拒絕。如果 VirtualHost 指令中設定為 on，將拒絕存取此特定主機。

若在伺服器組態中設定為 off，則伺服器將表現為不支援 SNI。將由定義的第一個虛擬主機 (連接埠 443) 來處理 SSL 要求。

SUSE 會在發現 Apache 軟體弱點時，發出安全性建議事項。其中包含弱點修正指示，應盡可能套用。請由下列位置取得 SUSE 安全性公告：

依預設，在 SUSE Linux Enterprise Server 中，DocumentRoot 目錄 /srv/www/htdocs 與 CGI 目錄 /srv/www/cgi-bin 的所有權屬於 root 使用者和群組。這些權限不可變更。如果目錄對所有人開放寫入權限，則任何使用者都可以將檔案放入其中。然後，這些檔案可能會由具有 wwwrun 權限的 Apache 執行，而這種情況可能會造成使用者取得非預期的檔案系統資源存取權限。使用 /srv/www 子目錄來存放虛擬主機的 DocumentRoot 和 CGI 目錄，並確定這些目錄所有權屬於 root 使用者和群組。

依預設，/etc/apache2/httpd.conf 已設定成拒絕存取整個檔案系統。切勿覆寫這些指示詞，不過您可以特別啟用 Apache 應當能夠讀取之所有目錄的存取權限。如需詳細資料，請參閱第 34.2.2.1.3 節 「基本虛擬主機組態」。如果要執行這個動作，請確保沒有任何重要檔案 (例如密碼或系統組態檔案) 可由外界進行讀取。

使用 HP、SSI 或任何其他程式設計語言的互動式程序檔基本上可以執行任意指令，因此一般會存在安全性問題。將從伺服器執行的程序檔，只能由伺服器管理員信任的來源進行安裝 -- 通常最好不要讓使用者執行自己的程序檔。同時建議您為所有程序檔進行安全性稽核。

為了盡可能簡化程序檔的管理工作，通常建議您限制 CGI 程序檔在特定目錄中執行，而不是全域性開放執行。您可以使用 ScriptAlias 和 Option ExecCGI 指示詞來進行組態設定。SUSE Linux Enterprise Server 的預設組態不允許隨處執行 CGI 程序檔。

所有 CGI 程序檔都是以相同使用者身分執行，所以不同的程序檔彼此之間可能會產生衝突。module suEXEC 可讓您以不同使用者和群組身分來執行 CGI 程序檔。

在啟用使用者目錄 (使用 mod_userdir 或 mod_rewrite) 時，您應該審慎考慮不要允許覆寫 .htaccess 檔案，因為這會允許使用者覆寫安全性設定。至少您應該使用 AllowOverRide 指示詞來限制使用者的應用範圍。在 SUSE Linux Enterprise Server 中，.htaccess 檔案預設處於啟用狀態，但使用者在使用 mod_userdir (請參閱 /etc/apache2/mod_userdir.conf 組態檔案) 時不允許覆寫任何 Option 指令。

如需 Apache 2.4 最新功能的清單，請參閱 http://httpd.apache.org/docs/2.4/new_features_2_4.html。如需從 2.2 升級至 2.4 版的資訊，請參閱下列網址資訊：http://httpd.apache.org/docs-2.4/upgrading.html。

有關第 34.4.5 節 「外部模組」 中簡要介紹的外部 Apache 模組的詳細資訊，可在以下位置找到：

如需更多有關開發 Apache 模組或是參與 Apache 網頁伺服器計畫的詳細資訊，請參閱下列主題內容：

如果您在 SUSE Linux Enterprise Server 中遇到與 Apache 有關的問題，請查閱「技術資訊搜尋」，網址為：https://www.suse.com/support。關於 Apache 的歷程，請參閱 https://httpd.apache.org/ABOUT_APACHE.html。此頁面也說明稱伺服器為 Apache 的原因。