Apache服务器RSA和ECC双证书配置

0x00.（小白向）基础步骤

1. 在httpd.conf开启监听443端口(曾经我就是忘记开443端口，还去到处查哪里有问题，后面才发现犯了低级错误)

1

Listen 443

2. 在httpd.conf引入ssl模块

1

LoadModule ssl_module modules/mod_ssl.so

3. 确认当前服务器的根目录

如果一启动httpd就报Can’t Load Module或Error八成是目录不对，去加一行

1

ServerRoot "目录"

其中目录指的是bin的上一层目录就是有README.txt的那一层目录

4. 引入httpd-ssl.conf配置

1

Include conf/extra/httpd-ssl.conf

接下来的步骤才是重点

0x01.修改httpd-ssl.conf文件

默认情况下在conf/extra/httpd-ssl.conf

推荐使用https://ssl-config.mozilla.org/ Mozilla的SSL配置工具生成一个，能够保证加密套件的配置是比较新的。

其中Mozilla Configuration建议选Intermediate，兼顾兼容性与安全。

复制下方的配置文件到你所习惯使用的编辑器

加入以下配置在VirtualHost节点中

1
2

DocumentRoot "网站路径"
ServerName YourServerName

把YourServerName替换为你网站的域名；网站路径按实际填写

按图中，把ECC证书放在前，RSA放在后。Apache会自动根据设备访问网站的Client Hello包返回对应证书。（p.s:新版的Apache证书和证书链要合并在一起放在SSLCertificateFile。旧版File只放网站证书，证书链要单独放在SSLCertificateChainFile里）

0x02.效果

Windows 7下（支持ECC）：

不支持ECC时：

p.s:待我找个WinXP的破机器时再补XP下的图

0x03.参考资料

https://www.v2ex.com/t/259478