Chỉ thị SSLCertertChainFile không được chấp nhận của Apache (AH02559)

Gần đây tôi đã nâng cấp Apache từ 2.2 lên 2.4 và tôi không thể tìm ra cách từ chối SSLCertificateChainFilechỉ thị.

Lỗi:

me@jessie:~$ sudo apache2ctl configtest 
AH02559: The SSLCertificateChainFile directive (/etc/apache2/sites-enabled/https.conf:103) is deprecated, SSLCertificateFile should be used instead
Syntax OK

Cài đặt hiện tại của tôi:

SSLCertificateFile    /etc/apache2/cert/ssl.crt
SSLCertificateKeyFile /etc/apache2/cert/ssl.key
SSLCertificateChainFile /etc/apache2/cert/sub.class1.server.sha2.ca.pem
SSLCACertificateFile /etc/apache2/cert/ca.pem

Chứng chỉ được ký bởi StartCOM. Hướng dẫn sử dụng cho biết, bây giờ toàn bộ chuỗi phải nằm trong một tệp, được chỉ định bởi lệnh SSLCertificateFile, nhưng tôi không biết phím nào và theo thứ tự nào tôi nên ghép vào tệp này.

Cho rằng bạn đang sử dụng điều này trong cấu hình apache của bạn:

SSLCertificateFile    /etc/apache2/cert/ssl.crt
SSLCertificateKeyFile /etc/apache2/cert/ssl.key

Các /etc/apache2/cert/ssl.crttập tin nên chứa

1. Giấy chứng nhận của ví dụ yourdomain.com
2. chứng chỉ CA trung gian đầu tiên, được ký bởi CA gốc (ví dụ: CA máy chủ trung cấp chính lớp 1)
3. chứng chỉ CA trung gian thứ hai, được ký bởi CA trung gian thứ nhất (nếu có CA trung gian thứ hai trong chuỗi chứng chỉ của bạn)

Bạn cần đặt tất cả các chứng chỉ CA trung gian trong tệp crt. Tùy thuộc vào chuỗi chứng chỉ của chứng chỉ của bạn, sẽ có số lượng CA khác nhau được đưa vào.

Bạn thậm chí không cần thêm CA gốc, vì nó phải nằm trong kho tin cậy của bất kỳ khách hàng nào, nếu không, khách hàng sẽ nhận được một trang lỗi, ngoài ra, nếu bạn thêm nó vào chuỗi của mình, nó sẽ chỉ là chi phí bổ sung cho thiết lập các kết nối SSL, vì nó phải được chuyển cho mỗi phiên SSL mới. Trên thực tế, hầu hết khách hàng cũng sẽ cài đặt chứng chỉ CA trung gian, nhưng một số có thể không, ví dụ như điện thoại di động không có nhiều chứng chỉ CA trung gian, vì vậy tôi chắc chắn sẽ thêm chứng chỉ đó.

Các /etc/apache2/cert/ssl.keytập tin sẽ giữ nguyên, đó là, nó sẽ chứa khóa cho chứng chỉ của yourdomain.com

Được rồi, cuối cùng đã tìm ra nó gần đây và quyết định đăng chi tiết trong mẫu câu trả lời.

Bây giờ StartSSL đặt chứng chỉ vào kho lưu trữ zip khi bạn truy xuất nó và có rất nhiều tài liệu lưu trữ được bao gồm ở đó, một trong những mối quan tâm đặc biệt là ApacheServer.zip, một hình thức tương thích với Apache> 2.4. Các tệp trong thư mục Apache là:

1_root_bundle.crt
2_myhost.tld.crt

Bạn phải pha SSLCertificateFiletừ cả hai chứng chỉ này, nhưng theo thứ tự này:

cat 2_myhost.tld.crt 1_root_bundle.crt > myhost.tld_combined.crt

Vì vậy, trong trang web conf nó sẽ chỉ là:

    SSLCertificateFile    /etc/apache2/cert/myhost.tld_combined.crt
    SSLCertificateKeyFile /etc/apache2/cert/myhost.tld.key

Và tất cả sẽ tốt, ngay cả bài kiểm tra SSL Qualys .

Điều này hoạt động cho StartCom StartSSL, cũng như cho các chứng chỉ WoSign. Định dạng là như nhau.