[KB7437] Konfigurace webového serveru ESET Endpoint Encryption Server Apache

Obsah

• Povolení nastavení SSL/HTTPS v ovládacím panelu
• Podrobnosti o SSL
• Možnosti certifikátu: Nahrát certifikát
• Možnosti certifikátu: Vytvoření nového certifikátu
• Možnosti přesměrování: Nahrát certifikát
• Ruční konfigurace

Podrobnosti

Řešení

Podrobnosti o SSL

Chcete-li povolit protokol SSL, postupujte podle následujících pokynů:

1. Přihlaste se na server ESET Endpoint Encryption.

2. Vstupte do ovládacího paneluserveru ESET Endpoint Encryption.

3. Vyberte možnost Globální nastavení.

4. Klikněte na položku Konfigurace SSL serveru Apache.

5. Zaškrtněte políčko Povolit podporu serveru SSL.

6. Zadejte vybraný port (výchozí port HTTPS je 443)

Možnosti certifikátu: Nahrát certifikát

1. Vyberte kartu Možnosti certifikátu a klikněte na tlačítko Nahrát certifikát.

2. Klikněte na Procházet a nahrajte server.key do pole Private Key a server.crt do pole Certifikát.

Možnosti certifikátu: Vytvoření nového certifikátu

Pokud ještě nemáte soubor s certifikátem, můžete si pro testovací účely vygenerovat certifikát sami:

1. Vyberte kartu Možnosti certifikátu a klikněte na tlačítko Vytvořit nový certifikát.

2. Do formuláře zadejte příslušné údaje.

Možnosti přesměrování

Pokud chcete vynutit používání protokolu HTTPS:

1. Klikněte na kartu Možnosti přesměrování.

2. Zaškrtněte políčko Vynutit používání protokolu HTTPS.

Ruční konfigurace

Pokud jste nainstalovali samostatný balíček EEE Server a ručně nakonfigurovali Apache, postupujte podle následujících pokynů: 

Certifikáty

Pokud jste si již zakoupili certifikát SSL, jednoduše zkopírujte dodaný kód server.key a server.crt soubory do složky Program Files\DESlock+ HTTP\conf\

Vlastnoručně podepsané certifikáty 

Pokud ještě nemáte soubor s certifikátem, můžete si pro testovací účely vygenerovat certifikát sami pomocí nástroje openssl podle následujících kroků: 

1. Otevřete zvýšený příkazový řádek.

2. Přejděte na Program Files\DESlock+ HTTP\bin (ProgramFiles (x86) na 64bitových platformách).

3. Zadejte nebo zkopírujte/vložte příkaz openssl req -config ..\conf\openssl.cnf -new -out server.csr.

4. Budete muset zadat a ověřit zadání přístupové fráze. Všechny ostatní požadavky můžete ponechat jako výchozí stisknutím klávesy Enter na klávesnici, kromě Common Name, který musí odpovídat názvu adresy webového serveru hostujícího certifikát.

5. Zadejte příkaz openssl rsa -in privkey.pem -out server.key.

6. Zadejte dříve zadanou přístupovou frázi. V případě úspěchu by měl příkaz vrátit textový zápis klíče RSA.

7. Zadejte příkaz del .rnd.

8. Zadejte příkaz openssl x509 -in server.csr -out server.crt -req -signkey server.key -days 365. Poznámka: tímto nastavíte platnost certifikátu na 365 dní.

9. Zadejte příkaz move server.key ..\conf\.

10. Zadejte příkaz move server.crt ..\conf\.

Uplatnění certifikátu

U zakoupeného nebo testovacího typu certifikátu proveďte následující kroky: 

1. Jako bezpečnostní opatření nezapomeňte změnit oprávnění souborů certifikátů tak, aby byly určeny pouze pro čtení a měli k nim přístup pouze uživatelé správce.

2. Otevření souboru Program Files\DESlock+ HTTP\conf\httpd.conf (ProgramFiles (x86) na 64bitových platformách).

3. Najděte řádek #LoadModule ssl_module modules/mod_ssl.so, odstraňte # symbol z řádku.

4. Najděte řádek #Include conf/extra/httpd-ssl.conf, odstraňte # symbol z řádku.

5. Na konci httpd.conf přidejte tyto řádky (tím se pokusy o přístup pomocí http přesměrují na adresu https):

LoadModule rewrite_module modules/mod_rewrite.so 

RewriteEngine On

RewriteCond %{HTTPS} off

RewriteRule ^/dlpes(|/.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [R=302,L] 

6. Uložit aktualizované httpd.conf soubor. 

V 64bitových operačních systémech je nutná následující úprava:

1. Je třeba aktualizovat konfiguraci ssl s krátkou cestou ke složce protokolů. Názvy souborů se zkrácenou cestou můžete zjistit pomocí příkazu DIR /X. Níže je uveden příklad výchozího systému Windows 7 x64 s použitím předinstalace ES.

2. Otevřít \Program Files (x86)\DESlock+ HTTP\conf\extra\httpd-ssl.conf v poznámkovém bloku.

3. Najděte hodnotu SSLSessionCache a změňte ji, jak je uvedeno níže, přičemž zakomentujte stávající SSLSessionCache a použijte novou cestu(zvýrazněno níže), poté změnu uložte: 

#   Inter-Process Session Cache:

#   Configure the SSL Session Cache: Nejprve mechanismus

#   k použití a druhý časový limit, který vyprší (v sekundách).

#SSLSessionCache         "dbm:C:/Program Files (x86)/DESlock+ HTTP/logs/ssl_scache"

#SSLSessionCache        "shmcb:C:/Program Files (x86)/DESlock+ HTTP/logs/ssl_scache(512000)"

SSLSessionCache        "shmcb:C:/Progra\~2/DESloc\~1/logs/ssl_scache(512000)"

SSLSessionCacheTimeout  300

Ve všech operačních systémech:

• Restartujte službu DESlockHTTP v ovládacím panelu služeb.