L003001032-典型安全通信協(xié)議的配置使用(Apache)

1、課程編寫內(nèi)容典型安全通信協(xié)議的配置使用(apache)通過網(wǎng)絡(luò)層安全通信協(xié)議和傳輸層通信協(xié)議的配置，理解網(wǎng)絡(luò)安全的層次概念kpc)windows 2003 系統(tǒng)克要求pc網(wǎng)絡(luò)接口，本地連接與實(shí)驗(yàn)網(wǎng)絡(luò)直連1、學(xué)生機(jī)要求安裝java環(huán)境2、vpc 安裝 windwos 2003 系統(tǒng)描述1、學(xué)生機(jī)與實(shí)驗(yàn)室網(wǎng)絡(luò)直連；2、vpc1與實(shí)驗(yàn)室網(wǎng)絡(luò)直連;3、學(xué)生機(jī)與vpc1物理鏈路連通；結(jié)合apache的配置了解ssl協(xié)議的使用。ssl協(xié)議的使用過程：兩者先各白向boss申請(qǐng)證書，在每次進(jìn)行通信時(shí)，先有客戶端與服務(wù)器端商定一個(gè)session key , 行會(huì)話，(當(dāng)然是以證書為基準(zhǔn)的)1. ssl握手協(xié)議：

2、通過截包軟件wireshark,可以截獲通信數(shù)據(jù)包中,client hello的https數(shù)據(jù)包。2. 更改密碼規(guī)格協(xié)議:過了一段時(shí)間后，需要商定一個(gè)新的session key?3. ssl報(bào)警協(xié)議：即通過安全證書，ssl協(xié)議通信時(shí)，用戶會(huì)得到安全通信協(xié)議的通知。4. ssl記錄協(xié)議：即記錄整個(gè)加密傳輸過程，以便另一端解密使用通過網(wǎng)絡(luò)層安全通信協(xié)議和傳輸層通信協(xié)議的配置，理解網(wǎng)絡(luò)安全的層次概念。學(xué)牛登錄實(shí)驗(yàn)場(chǎng)景的操作1.學(xué)生單擊“網(wǎng)絡(luò)拓?fù)洹边M(jìn)入實(shí)驗(yàn)場(chǎng)景，單擊windows2003'|'的“打開控制臺(tái)”按鈕，進(jìn)入忖標(biāo)主機(jī)。2、學(xué)生輸入賬號(hào)administrator，密碼12345

3、6,登錄到實(shí)驗(yàn)場(chǎng)景中的目標(biāo)主機(jī)。如圖所示:5. 47 mbj我的電腦5浜<-ci gztzsz rp益 ui 塁。pugqa gogln 181口宅挙一:。二3心一 ss由一介x縣黑 io“畫呂。同壊擬如蟄gss do+ qoedvfrw聯(lián)口soo 一<pfcfc石5、選擇"i accept the terms in the license agreementw，然后單擊"next”。如圖:6、點(diǎn)擊“next”如圖:read this firstread this before running apache on windows.apache http serv

4、erwhat is it?_the apache http server is a powerful and flexible http/1.1 compliant web server. origin ally desig ned as a replaceme nt for the ncsa http server, it has grown to be the most popularweb server on the inter net. as a project of the apache software foundation, the developers aim to colla

5、boratively develop and maintain a robust, commercial-grade, standards-based server with freely available source codethe latest version9details of the latest versi on can be found on the apache http server project page under:fl/ i x x* installshield< backjnext >1canceli7、單

6、擊“next”。如圖:8、單擊“next”。如圖:9、可以修改安裝路徑，此處我們就不修改了，使用默認(rèn)的c: program filesapache group、。直接點(diǎn)fl10、直接點(diǎn)擊“install”進(jìn)行安裝。如圖:11、點(diǎn)擊“finish”完成安裝。如圖:12、單擊“開始一一管理計(jì)算機(jī)一一木地用戶和組用戶”，右鍵單擊添加新user用戶apache （此步 服務(wù)器對(duì)應(yīng)的用戶運(yùn)行權(quán)限，確保web訪問者用指定的帳號(hào)訪問服務(wù)器而不是木地用戶或管理員帳號(hào)訪我的電腦回收站acbniniste tor管理您的服務(wù)蠱tindovs資遞管理器j我的電廉(3*控制面板(c)命令提示符記事本iivternet

7、 explorer唯管理工具microsoft office word 2003打印機(jī)和傳真幫助和支持)廠搜索(§)運(yùn)行®.2計(jì)算機(jī)管理蔦瞬理磁盤以及使用其他系占internet信息服務(wù)(iis)管理器microsoft .net framework 1. 1 配置 microsoft .net framework 1. 1 向?qū)?mi crosoft sharepoint 管理器 本地安全策略 分布式文件系統(tǒng) 服務(wù)管理您的服務(wù)器所有程序g) 關(guān)機(jī))群集管理器爭(zhēng)件查看器授權(quán)數(shù)據(jù)源(odbc)網(wǎng)絡(luò)負(fù)我平衡管理器 性能遠(yuǎn)程桌面證書頜發(fā)機(jī)構(gòu) 終諦服務(wù)管理器 終端服務(wù)配置 終諦服務(wù)

8、器授權(quán) 組件服務(wù)右擊“用戶”“新用戶”。如圖:些文件 操作)查看辺 窗口魁)幫助®-iff! >dq 固 el el ib 虜名稱全名s c c.1 d dn t 一 一-1sr madbtigueus燦tfort 38.iriteimet來兵帳戶 啟動(dòng)iis進(jìn)程帳戶cn二micrgoft corpora.描述管理計(jì)算機(jī)(域)的內(nèi)置帳戶 供來賓訪問計(jì)算機(jī)或訪問域的內(nèi) 匿名訪問internet信息服務(wù)的 用于啟動(dòng)進(jìn)程外應(yīng)用程序的int 這是一個(gè)幫助和支持服務(wù)的提供軒関 性能hi®裾生唱從這里創(chuàng)建窗口址)國(guó)存儲(chǔ)宙會(huì)可移2 甥磁盤tl勢(shì)磁盤 喪服務(wù)和應(yīng)刷新0)導(dǎo)出列表a,)

9、.幫助qf)創(chuàng)逹新的本地用尸帳尸。設(shè)置用戶名:apache密碼：123456.點(diǎn)擊“創(chuàng)建”。如圖:新用戶密碼(£):確認(rèn)密碼(c):廠用戶下次登錄時(shí)須更改密碼追)17用戶不能更改密碼)7觀丞還過期廠帳戶己禁甬)（設(shè)置 apache 隸屬于 administrator）13、單擊“開始一一管理工具本地安全策略”，在用戶權(quán)限分配中點(diǎn)擊“作為服務(wù)器登錄”，并添加剛7 打開“本地安全策略”。如圖：我的電腦回收站acbniniste tor管理您的巌務(wù)誥/ windows資逶管理器命令提示符記事本iivternet explorerj我的電腦internet信息服夯hes）管理器microso

10、ft net framework 1. 1 配置microsoft net framework 1. 1 向?qū)icrosoft sharepoint 管理器控制面板(c)唯管理工具打印機(jī)和傳真microsoft office word 2003幫助和支持) 廠搜索(§) 運(yùn)行®.所有程序g) 注銷服堀懂著和修改本地安全策略，如用戸權(quán)限和審核策略 管理您的服務(wù)器計(jì)算機(jī)管理路由和遠(yuǎn)程訪問配置您的服務(wù)器向?qū)杭芾砥鳡?zhēng)件查看器授權(quán)數(shù)據(jù)源(odbc)網(wǎng)絡(luò)負(fù)我平衡管理器性能遠(yuǎn)程桌面證書頜發(fā)機(jī)構(gòu)終端服務(wù)管理器終端服務(wù)配置終端服務(wù)器授權(quán)組件服務(wù)在用戶權(quán)限分配中點(diǎn)擊“作為服務(wù)器登錄”文件

11、(£)操作(a)查看(v)幫月|冏畫| x窗隔i $ 廖安全廳*so帳戶策略 自口本地策略i畝西審核策略用戶權(quán)限分配1 &西安全選項(xiàng) id公鑰策略 由口軟件限制策略 田團(tuán)ip安全策略 > 在本地計(jì)算蔽選擇用尸或組選擇此對(duì)象類型s):i用戶或內(nèi)置安全主體查找位置0):|vm-37zrgygzyxxs一般性查詢|名稱)： 併跖 3 描述:併跖3 廠禁用的帳戶s)廠不過期密碼s)自上次登錄后的天數(shù)d)：?| x|搜索結(jié)果辿）：名稱（rdn） 在文件夾中- g administr. vm-37zrgygz. 卸anonymous.apachevm-37zrgygz.g asp1

12、 試vm-37zrgygz.authentic.batchcreator g.燈creator 0. 拓dialupeveryone了開始|滯圄鬲鬲心晟14、點(diǎn)擊“確定”，如圖:確定| 取消|2d15、單擊“開始管理工具服務(wù)”，首先停止apache 2的服務(wù)，然后右鍵單擊選擇屬性，將單選柱 “此帳戶”并填入apache的用戶名和密碼；a dm j 門istg tor管理您的服務(wù)磊命令提示符記爭(zhēng)本c：iivternet explorermicrosoft office word 2003所有程序g) 砂我的電腦;控制面板(c)-隱管理工具占打e卩機(jī)和傳真幫助和支持®”搜索電巴運(yùn)行

13、74;q-fl/ windows資酒管理誥internet信息服務(wù)his）管理器microsoft net framework 1. 1 配置 mi crosoft net framework 1. 1 向?qū)?microsoft sharepoint 管理器 本地安全策略分布式文件系統(tǒng)服務(wù)停止"apache”。注銷d)計(jì)算機(jī)隅爾止服務(wù)。 路由和遠(yuǎn)程訪問 配置您的服務(wù)器向?qū)?群集管理器爭(zhēng)件查看器 授權(quán)數(shù)據(jù)源(odbc)網(wǎng)絡(luò)負(fù)我平衡管理器 性能遠(yuǎn)程桌面 證書頜發(fā)機(jī)構(gòu)終諦服務(wù)管理器 終諦服務(wù)配置終諦服務(wù)器授權(quán)組件服務(wù)alerterapache2. 2application lay. 饗ap

14、pli cati on man.asp.net state s. automati c updates background inte. clipbook com+ event system com+ system app. computwr browser cryptographi c s. %dhcp client distributed stributed distributed stributed 嗨dns clientfil .lire . lire .tra.err or rep or ti ng. log file replication 嗨ftp publishing . gh

15、elp and suppor t 嗨http ssl ghuman intgr£acm. admin service擴(kuò)展遁進(jìn)/停止本地計(jì)算機(jī)上的服務(wù)apache2. 2勺開始| j老固 » |角本地安全設(shè)置右擊選擇“屬性描述狀態(tài)啟動(dòng)類型|囁服務(wù)登錄為本地服務(wù)務(wù)統(tǒng)務(wù)統(tǒng)統(tǒng)統(tǒng)統(tǒng)統(tǒng)統(tǒng)統(tǒng)務(wù)統(tǒng)統(tǒng)統(tǒng)務(wù)務(wù)統(tǒng)統(tǒng)統(tǒng)統(tǒng)統(tǒng)統(tǒng)統(tǒng)統(tǒng) 服系服系系系系系系系服系系系服服系系系系系系系系 地地絡(luò)地地地地地地地絡(luò)地地地絡(luò)絡(luò)地地地地地地地地 本本網(wǎng)本本本本本本本網(wǎng)本本本網(wǎng)網(wǎng)本本本本本本本本"開始i i滯動(dòng)0j » i険本地安全設(shè)置|囁服務(wù)點(diǎn)擊“登錄框”，然后將單選框從“本地帳戶”切換到“此帳

16、戶”并填入apache的用戶名和密碼。點(diǎn)擊 “立即查找”選擇“apache” “確定”“確定”。如圖：16、找到apache的安裝目錄（在本例中為c: program filesapache group）,右鍵單擊“屬性安并賦予apache用戶對(duì)于apache安裝fl錄的讀取和寫入的權(quán)利；此時(shí)重啟apache服務(wù)，方能正常覓新啟文件編輯qe)查看(v)收弼)工具(t)幫助)q后退 獷| p搜索 地址 ) |亡)c： progr 名龜 &a天不1類型apache2 屋性?|x|litt2012-12-7 3:43修改日期常規(guī)|共享虛全點(diǎn)| web共享|自定義|組或用戶名稱(g)：admi

17、ni strators (vm"37zrgygzyxxsadmini strators acreator ownerpower users (vm"37zrgygzyxxspower users) 燈 systemt?tfpmtwjlt "rvfr lrfp11 iadministrators 的權(quán)限 g)允許拒絕一 一d 完全控制修改讀取和運(yùn)行列出文件夾目錄讀取寫入特別權(quán)限或高級(jí)設(shè)置，諳單擊“高級(jí)"-高級(jí))|i 確定 | 取消 | 應(yīng)用)|疾-1 t劃家 |目我的電腦£開始|襦固血» |険本地安全設(shè)置|險(xiǎn)服務(wù)|匚亍 c:progra

18、m files. . j 迦11 j '點(diǎn)擊“添加”一一“高級(jí)”“立即杳找”點(diǎn)擊添加"apache"用戶一一“確定”，添加apache ) 用戶對(duì)于apache安裝日錄的讀取和寫入的權(quán)利；權(quán)限如下圖：©后退八jip搜索天不1類型修改日期地址 ) |£j c： progr 名稱 a】apache2 屋性?|x|2012-12-7 3:43常規(guī)丨共享安全i web共享丨自定義i組或用戶名稱)：apache (vm-37zrgygzyxxsapache)ator ownerer users (vm-37zrgygzyxxs'power user

19、s)tfrmtw4t vrtrvftr 1krtrapache的權(quán)限g)允許拒絕完全控制修改讀取和運(yùn)行列出文件夾目錄讀取寫入一 一d 特別權(quán)限或高級(jí)設(shè)置，諳單擊“高級(jí)"高級(jí)辺i1確定1h取消1應(yīng)用)1/我的電腦"開始i i滯動(dòng)0j » i険本地安全設(shè)置險(xiǎn)服務(wù)c：program files此時(shí)再重啟apache服務(wù)，方能正常重新啟動(dòng)。17、首先從 c: xamppapacheconfcxtra 將 httpd-ssl. conf 文件拷貝到 conf 目錄下,:zaappapachecon£extra復(fù)制到"c:program filesapac

20、he groupapache2confn 如圖:名稱httpd. confi httpd. default. confmagicmagic, default mime, tjq)es|sj| mime, types, default openssi|_ i ssl. conf 閆 ssl default confhttpd"ssl. conf34 kb文本文檔34 kb文本文檔14 kb文件14 kb default 文件46 kb types 文件46 kb default 文件10 kb快速撥號(hào)11 kb文本文檔11 kb文本文檔11 kb文本文檔2012-12-7 5:19a2

21、012-12-7 4:35a2012-12-7 4:35a2004- 11-21 9:35 a2012-12-7 4:35a2010- 5-7 15:43a2005- 9-16 7:20a2012-12-7 4:35a2012-12-7 4:35a2011- 7-2 11:47a修改日期類型：文本文檔修改日期:2011-7-2 11:47大?。?0.7 kb10.7 kb/我的電腦y開始3 圄 口 険本地安全設(shè)置j _ 4 windows explorer18首然后打開httpd. default, conf并查找到 sloadmodule ssl module modules/mod ss1

22、. so 將前面的#注釋去掉打開ssl模塊；然后保存。地址) c:frogram filesapache groupapache2conf名稱q文件g)編輯g)格式© 查看 幫助qf)httpd. default, conf - 記爭(zhēng)本ibhttpd. conf httpd. defax: q httpd-ssl. cloadmodule inap_module modules/mod_imap.soloadmodule include_inodule modules/mod_include.somagi cmagic defau mime. types mime tjq)esop

23、ens si 旨 ssl.conf © ssl. defaultttloadmodule info_module nodules/nodnfo.soloadmodule isapi_nodule nodules/inod_isapi.soloadmodule log_config_nodule modules/modogonfig.so loadmodule mime_module modules/mod_mime.so ttloadmodule mime_magic_inodule modules/mod_mime_magic.so ttloadmodule proxy_nodul

24、e modules/mod_proxy.so ttloadmodule proxy_connect_module inodules/mod_proxy_connect.sottloadmodule proxy_http_module modules/mod_proxy_http.sottloadmodule proxy_ftp_module modules/mod_proxy_l:tp.soloadmodule negotiation_module modules/mod_negotiation.so ttloadmodule rewrite_module modules/mod_rewrit

25、e.soloadmodule setenuif_module modules/mod_setenuif:.sottloadmodule speling_module modules/mod_speling.sottloadmodule status_module modules/mod_status.so ttloadmodule unique_id_module modules/mod_unique_id.so loadmodule userdir_module modules/mod_userdir.so ttloadmodule usertrack_module modules/inod

26、_usertrack.so ttloadmodule uhost alias module modules/mod uhost alias.so loadmodule ssl_module modules/moj_ssl.so“i類型：文本文檔修改日期：2012-12-7 4:35大小：33.7 kb33.7 kb，我的電腦勺開始| j老固 » |角本地安全設(shè)置i 36 windows explorer | httpd. default, co.19、在 httpd. conf 中找到include conf/ssl.conf并在下添加入下行：一include conf/httpd-

27、ssl. conf,然后保存。地址) |口 c:frogram filesapache groupapache2conf 名稱q文件g)編輯d)格式© 查看辺幫助th)httpd. conf - 記爭(zhēng)本=1 httpd. conf| _ | httpd. defau q httpd-ssl. c#</location>magi cmagic defau mime. types mime tjq)esop ens si 旨 ssl.conf © ssl. defaulttttt allow remote server configuration reports,

28、with the url oftt http z/zseruernane/seruer-info (requires that nod_info.c be loaded). tt change the 11 .um-37zrgygzyxxs.router11 to match your domain to enable. ntt<location /seruer-info>sethandler seruer-infoorder deny9allowdeny from allallow from .um-37zrgygzyxxs.router# # tt #</location

29、>itt bring in additional module-specific configurations <ifmodule mod_ssl.c>include conf/ssl.confinclude conf/httpd-ssl conf“i類型丁文本文檔 修改日期2012-12-7 5:5833.7 kb3?7 kb一匚我的電腦/開始|襦固辺j » 険 本地安全設(shè)置|二）6 windows explorer | httpd. con£ -記爭(zhēng)本期i 社）弓'20、打開cmd,更改當(dāng)前目錄apache安裝目錄下的bin文件夾下，（使用cd

30、命令）。如圖:21、輸入命令opcnssl genrsa -out ca.key 1024此命令用戶生成ca證書中心自簽所用的密鑰對(duì)，其中g(shù)enrsa用于生成rsa密鑰對(duì)的openssl命令。-out ca. key令生成的密鑰對(duì)保存到文件ca. key1024rsa模數(shù)位數(shù)，在一定程度上表征了密鑰強(qiáng)度。jn| x|2012-12-0704:35<dir>include2008-02-1307:554,399installtxt2012-12-0704:35<dir>lib2010-10-1801:4136,711license.txt2012-12-0704:35&l

31、t;dir>logs2012-12-0704:35<dir>manual2012-12-0704:35<dir>modules2010-10-1801:411,323noticetxt2010-10-1801:4123,793openssl-news2010-10-1801:4110,732openssl-readmetxt2012-12-0704:35<dir>proxy2007-01-1000:50個(gè)文件6,049readme.txt8428,980規(guī)宀卄14個(gè)目求541,278,208可用字tc:programfilesppache groupp

32、pache2>cd binc:programfilesppache groupppache2bin>openssl genr：loading 'screenjinto randomstate-donegenerating rsa private key. 1024 bit long nodulusca命令提示符1024-out ca.e is 65537 <0x10001>c: pfogfam files "pache gfqup"pache2bin>.21、輸入命令ope nssl req -new - x509 - days 365

33、 - key ca. key - out ca. crt - co nfig co nfope nssl 以上命令為一步完成ca證書請(qǐng)求生成及簽名，其中參數(shù)解禪如下：req用丁生成證書請(qǐng)求的openssl命令。一 new生成一個(gè)新的證書請(qǐng)求。該參數(shù)將令openssl在證書請(qǐng)求生成過程中要求用戶填寫一些和應(yīng)的字段。 -x509生成一份x. 509證書。-days 365從生成之時(shí)算起，證書時(shí)效為365天。-key ca. key指定ca. key為證書所使用的密鑰對(duì)文件。-out ca. crt令生成的證書保存到文件ca. crt o至此，我們使已成功建立了一個(gè)私有根ca。在這個(gè)過程中，我們獲得

34、了一份ca密鑰對(duì)。點(diǎn)擊證書ca卩 c ： progra* filesapache groupapache2biik文件編輯qe)查看(v)收弼)工具(t)幫助) q后退 獷| p搜索 地址 )c:progr名稱inli conv|"| ab. exe |t1abs. exeapache. exe 、apachemoni tor. exe t-1 ca. crt |gf| ca. key_ | dbmmanage. plujhtdbm. exee|htdi gest. exe f|htpqsswd. exe1 libapr. dll jlibapriconv dll| libaprut

35、il. dlljlibeay32. dll libhttpd. dll ""llogresolve exeop ens si. exem|rottelogs exeijj ssleay32. dll 二|wiritty exe gjzlibl. dllam filesapache groupapache2bini犬小i類廠修改日期類型：安全證書l23 kbm我的電腦m開始i 襦題 口闔命令提示符c： program files.二2 證書22、下面我們?yōu)榫W(wǎng)站服務(wù)器簽署證書，首先創(chuàng)建對(duì)應(yīng)的文件結(jié)構(gòu)（在bin目錄下創(chuàng)建新的目錄democa,勘 serial無擴(kuò)展名文件，內(nèi)容為0

36、1,代表這份certificate是ca第一份所簽發(fā)出來）23、再次回到命令行，鍵入命令如下： openssl genrsa -out server.key 1024 生成web服務(wù)器申請(qǐng)證書所用的公私鑰對(duì);-|n| x|message digest md2 shacommands <see md4shalthe 'dgstj command for moredetails)rmdl60md5mdc2cipher commands;<see the 'enc'command formore details)aes-128-cbcaes128ecbaes192

37、cbcaes192ecbaes256cbeaes256ecbbase64bfbf-ebebf-cfbbf-eebbf-ofbcastcast-cbccast5cbccast5-cfbcast5ecbcast5ofbdesdes-ebedes-cfbdes-eebdes-ededesedecbcdesedecfbdes-ede-ofbdes-ede3des-ede3-cbcdes-ede3-cfbdes-ede3-ofbdes-ofbdes3desxrc2 rrc2-40-cbcrc2-64-cbcrc2-cbcrc2-cfbrc2-ecbrc2-o£brc4rc4-40斎命令提示符c

38、：progran filesxrtpache grouprtpache2bin>openssl genrsa -out server.key 1024loading j screenj into random state 一 donegenerating rsa private key, 1024 bit long moduluse is 65537 <0x10001>c:progran filesxrtpache grouprtpache2bin>24、生成web服務(wù)器向證書服務(wù)器的簽署巾請(qǐng)命令如下：opcnssl req - new - out server.csr - key server .key - config confopensslenf 輸入相關(guān)信息生成簽署文件server, csrca命令提示符c：progran filesmpache grouppache2bin>openssl req -new -out serve