Ssl証明書を設定したらapacheが起動しない？

SSL証明書とApache運用
～ちょっと気をつけるだけでトラブル防止～

サーバ運用超入門勉強会

Copyright Digital-Effect Network Co., Ltd. All rights reserved.

アジェンダ

お話する内容

• httpはOKでも、httpsはNG

• SSL証明書の更新で失敗

• パスフレーズ確認
OS起動時 CentOS5と6の違い？

2012/12/21 -1- Copyright Digital-Effect Network Co., Ltd. All rights reserved.

httpはOKでも、httpsはNG

• Linuxをインストール
↓
• Apacheをインストール
↓
• Webコンテンツをアップロード
– サイトが見れたので、問題なしと判断。
– Apacheを再起動してみても問題なく再起動できる。
↓
• SSL証明書を設置
– SSLを使いたいので、mod_sslモジュールをインストール
↓
• Apache再起動
↓

# /etc/init.d/httpd restart

httpd を起動中: Syntax error on line 114 of /etc/httpd/conf.d/ssl.conf:
SSLCertificateFile: file '/root/ssl/server.crt' does not exist or is empty

[失敗]

「 file '/root/ssl/server.crt' does not exist or is empty 」
証明書がない・・・？

• 証明書(server.crt)は、確かに指定の場所に存在する。
• ファイル名も間違っていない。
• ファイルのパーミッションも間違っていない。

→エラーメッセージの意味が分からないよ。。。
でも、サイト停止した状態だよ。
なんとかしないと。



原因は？
SELinuxが邪魔をしています。
Nov 2 15:56:30 www1 kernel: type=1400 audit(1351839390.871:6): avc: denied { search } for
pid=1592 comm="httpd" name="ssl" dev=vda3 ino=545136
scontext=system_u:system_r:httpd_t:s0 tcontext=root:object_r:user_home_t:s0 tclass=dir
(※/var/log/messagesより抜粋)

CentOS5以降の場合、意図的に停止しない限り、SELinuxが有効になっています。
(Version4までは、OSインストール時にSELinuxの有効/無効を指定できます)

今回は「httpdが、新たにインストールされたmod_sslにアクセスしようとした際、
SELinuxのアクセス制御機能によって拒否された」ということが原因です。



許可するには？

allow httpd_t user_home_t:dir search;
という許可をポリシーに追加すればいいですが、都度書くのは面倒。

それ以前に、SELinux難しい・・・。
こんなこと益々やってらんない！！

既に絶版・・・


これでアクセス制御はしなくなりますが、動作は
対策し続けているので、若干サーバのパフォーマン
スが下がります。
完全に停止させておいた方がよいでしょう。
[SELinuxのアクセス制御停止]
サーバを停止させずにSELinuxの機能を切りたい場合

確認方法
# getenforce
Enforcing ←SELinuxのアクセス制御が有効になっています。

変更方法
# setenforce 0 ←「0」で「Permissive」モードに変更します。
# getenforce ←設定が変わったかどうか確認します。
Permissive ←確かに変わりました。

Permissiveモードは、アクセス制御機能は停止していますが、SELinux自体は各種アクセ
スを監視し、情報をログに出力しています。



対策
[SELinuxの完全停止]
完全にSELinuxを停止させたい場合
「/etc/sysconfig/selinux」という設定ファイルを変更します。

SELINUX=enforcing
↓
SELINUX=disabled

設定を反映させる為、サーバを再起動します。

サーバ起動後
# getenforce
Disabled ←SELinuxのアクセス制御が完全に停止しています。


証明書の更新で失敗

• Goolgle検索
↓
• コマンドをそのままコピペで実行(諸々の作業をopensslコマンドで実行)
↓
• 証明書の設置完了！
↓
↓ 時は流れて、証明書の更新時期が。
↓
• Google検索
↓
• 証明書のファイルを置き換え(中身を書き換え)
↓
• Apache再起動で更新完了！
↓

# /etc/init.d/httpd restart

httpd を停止中: [ OK ]
httpd を起動中: Apache/2.2.3 mod_ssl/2.2.3 (Pass Phrase Dialog)

Enter pass phrase: パスワード入力待ち

パスフレーズを入力するまで、Apacheは起動できません。

パスフレーズを思い出せなかったり、メモ書きが行方不明の場合は、、、
Web閲覧できない障害になります！！



対策
[パスフレーズの削除]
秘密鍵ファイルを直接見てみます。
-----BEGIN RSA PRIVATE KEY-----
Proc-Type: 4,ENCRYPTED
DEK-Info: AES-128-CBC,8F3BC65766447343B453530E499C9F11
+lSpfYi0jWe9zcd3kOVJ4F…
(以下略)

パスフレーズがかかっていると、ENCRYPTEDという文字列が入ります。
パスフレーズの解除
openssl rsa -in [鍵ファイル] -out [鍵ファイル]
-inで指定した鍵ファイルを読み込み、-outで指定したファイルに書き込む形になります。
上記で、入出力共に同じファイルを指定する場合、最初に作成した鍵ファイルが上書きされます。
上書きを避けるには、別のファイル名を指定してください。
※上書きする場合は、元のファイルのバックアップは必ずとっておきましょう！

2012/12/21 - 10 - Copyright Digital-Effect Network Co., Ltd. All rights reserved.

やってみます。
# openssl rsa -in server.key -out server.key

「server.key」ファイルの中身を見てみます。

-----BEGIN RSA PRIVATE KEY-----
MIICXAIBAAKBgQCfvnag0XZs1gGkVe8BQP5GaaA
(以下略)]

「ENCRYPTED」という記述がなくなり、パスフレーズが外れました。



パスフレーズが入っていると困ること
例) 急なトラブルでOSそのものを再起動しなければいけないとき

自宅から、データセンターにあるサーバ自体を再起動した。
↓
パスフレーズの入力待ちで、サーバ起動処理自体が途中で停止。
↓
気づかず、長時間のサイト停止！

こういう場合は、リモートからサーバへログインして手動でApacheを起動させます。

※SSHの起動順序がApacheの起動よりも後になるように変えていた場合、Apacheのパスフ
レーズ待ちでOSの起動処理が停止するので、リモートログインできなくなります。
この場合、サーバに直接モニターをつなぎ、パスフレーズを入力して起動処理を進めないと
いけなくなります。


CentOS5/6の違いってある？
実際の画面 (CentOS5の場合)

OS起動時の画面。
Apache起動時に、SSL証明書(ssl.example.com)のパスフレーズを聞いてきています。
ここで、パスフレーズを入力すると、OS起動処理が進みます。



デフォルトの場合、起動画面は白いプログレスバーが伸びていくアニメーションに
なっています。

SSLのパスフレーズがかかっていると、どうなるでしょうか？
このように、起動が完了したように見えても、ログインプロンプトが出て来ません。

通常は、OSの起動が完了すると、以下のようにログインプロンプトが出てきます。

※「Esc」キーで、以前のようなブートプロセス表示とプログレスバー表示の交互に切り替えることができます。



パスフレーズの入力を促すような表示はありませんが、この状態でもパスフレーズの
入力待ちなので、このまま入力すると、処理が進みます。

以前のように、起動シーケンスが見えるようにするには、「grub.conf」を編集します。
(grub.confから「rhgb quiet」を削除するだけです。詳細は割愛。)


ご清聴ありがとうございました。

広告スペース
設計から運用まで、
安全・安心ホスティング
単体サーバから複数台構成まで幅広く対応致します。

証明書取得、設置～更新代行まで承ります。

Ssl証明書を設定したらapacheが起動しない？

Empfohlen

Empfohlen

Weitere ähnliche Inhalte

Was ist angesagt?

Was ist angesagt? (20)

Ähnlich wie Ssl証明書を設定したらapacheが起動しない？

Ähnlich wie Ssl証明書を設定したらapacheが起動しない？ (20)

Ssl証明書を設定したらapacheが起動しない？