SSLによるSecureWWWサーバの構築(Windows編)

■Apache+SSL for Win32のインストール

1. ダウンロードしたファイルをディレクトリ付きで適当な場所に解凍する。(おやじは、D:\work配下に解凍）
   
2. 現在、Apacheがインストールされているなら、アンインストールする。なお、Apache.0系がインストールされていたなら、httpd.confがほとんど流用できるので、インストールされていたディレクトリ名を変更し、バックアップしておくとよい。(ex. C:\Apache -> C:\Apache_bak）　なお、新規インストールの場合は、この項の作業は不要。
   
3. 新規インストールの場合は、Apacheのインストールディレクトリをシステムがインストールされているパーティションに作成する。(ex. C:\Apache） インストール済みの場合は、バックアップ前のディレクトリ名でインストールディレクトリを作成する。
   
4. 作成したディレクトリ配下に、1項で展開した中身を全てコピーする。
   
5. コピーした、binディレクトリ内にある、libeay32.dllとssleay32.dllを C:\WINNT\system32内にコピーする。
   
6. この後、インストールするが、httpd.confやssl.confの設定及びSSLの鍵や証明書の準備ができていないと蹴られるので、そちらの準備を先にする。
   
   

■Apache+SSL for Win32の設定

Apache+SSL for Win32を動かすため、httpd.confやssl.confの設定及びSSLの鍵や証明書の準備を行います。SSL用証明書等の作成については、こちらを参考に必要なものを作成してください。

◆httpd.confの設定

• サーバルートの変更
  
  Apacheをコピーしたディレクトリを指定する。デフォルトはC:\apacheなので、異なるディレクトリにインストールしたならサーバルートをApacheをコピーしたディレクトリ(ex. C:\Apache2)に変更する。但し、ここを変更、即ちデフォルト以外にすると他の設定にも影響がでるので、見落とさないように修正が必要である。
  
  ServerRoot "c:/apache"
  
  　　　　　　　↓追加
  
  ServerRoot "c:/apache2"
  
  
• SSLモジュールの組み込み
  
  SSLを動かすため、DSOでＳＳＬモジュールを組み込むよう指定する。(行頭の「#」を削除)
  
  #LoadModule ssl_module modules/mod_ssl.so
  
  　　　　　　　↓削除
  
  LoadModule ssl_module modules/mod_ssl.so
  
  
• サーバ管理者のメールアドレスの設定
  
  #ServerAdmin @@ServerAdmin@@
  
  　　　　　　　↓追加
  
  #ServerAdmin @@ServerAdmin@@
  ServerAdmin oyaji@mail.aconus.com
  
  
• サーバ名称の設定
  
  #ServerName localhost:80
  
  　　　　　　　↓追加
  
  #ServerName localhost:80
  ServerName www.aconus.com:80
  
  
• コンテンツ用ディレクトリ(ドキュメントルート)の構成
  
  今回は、おやじだけでなく、あっこやリナもホームページを作りたいとのことなので、以下のようなディレクトリ構成で、プロバイダと同じように”http://www.aconus.com/~oyaji/といった形式でアクセスできるようにしてみました。ルート(http://www.aconus.com/)は将来使うこととして、空けてあります。
  なお、ディクトリは、管理面とセキュリティ面から独立したドライブ(Eドライブ)に作成しました。おやじがドキュメントを異なるディレクトリにした最大の理由は、システムが不安定になったときにCドライブをバックアップから復元するが、そのときに焦っていて最新のコンテンツ(BBS等）のバックアップを忘れて戻してしまうと、コンテンツがパーになってしまうといった事故防止のためである。
  
  

  web [ ルートディレクトリ　］ 　　　　｜ 　　　　├ oyaji ［ おやじのユーザディレクトリ ] 　　　　｜　｜ 　　　　｜　└ public_html [ ドキュメントルート ] 　　　　｜　　　　｜ 　　　　｜　　　　├ index.htm [トップページ ] 　　　　｜　　　　├ bbs     [ CGI設置用 ] 　　　　｜　　　　└ count [ CGI設置用 ] 　　　　｜ 　　　　├ akirin ［ あっこのユーザディレクトリ ] 　　　　｜　｜ 　　　　｜　└ public_html [ ドキュメントルート ] 　　　　｜　　　　｜ 　　　　｜　　　　├ index.html [トップページ ] 　　　　｜　　　　└ cgi [ CGI設置用 ] 　　　　｜ 　　　　└ rina ［ リナのユーザディレクトリ ] 　　　　　 　｜ 　　　　　 　└ public_html [ ドキュメントルート ] 　　　　　 　　　　｜ 　　　　　 　　　　├ index.html [トップページ ] 　　　　　　 　　　└ keijiban [ CGI設置用 ]

  
  
• ドキュメントルートの変更
  
  ドキュメントルートでは、http://www.aconus.com/やhttpd://192.168.1.100/のようにホスト名やサーバのIPアドレスでアクセスしたときにApacheがアクセスするディレクトリを指定する。デフォルトはC:/Apache/htdocsであり、最初にApacheにうまくアクセスできたときにご対面するApacheのテストページは、C:/Apache/htdocs配下にある、index.html.varファイルからジェネレートされたものである。おやじは、上記のようにEドライブ下にコンテンツ用ディレクトリを作成したので下記のように変更する。
  
  DocumentRoot "C:/Apache/htdocs"
  
  　　　　　　　↓追加
  
  #DocumentRoot "C:/Apache/htdocs"
  DocumentRoot "E:/Web"
  
  
• ドキュメントルートの変更
  
  上記のドキュメントルートの変更に伴い、Directoryディレクティブでドキュメントルートの振る舞いを指定しているので、これも合わせて変更する。
  
  <Directory "C:/Apache/htdocs">
  
  　　　　　　　↓追加
  
  #<Directory "C:/Apache/htdocs">
  <Directory "E:/Web">
  
  
• CGI/SSIの実行権 (ドキュメントルートのDirectoryディレクティブ内)
  
  Indexesがあると、ディレクトリ指定でアクセスされた場合(http://www.aconus.com/のように「/」で終わるか最後がディレクトリだった場合)に、Apacheはそのディレクトリ内に後述のDirectoryIndexディレクティブで指定したHTMLファイルが無いか左側から探し、対象ファイルが見つからないとインデックスリストが表示されてしまうので削除しました。
  ExecCGI/Includesはこのディレクトリ配下でCGI/SSIの実行を許可する場合に指定する。cgii-binディレクトリでしか動作させない場合は、指定しないこと。（Optionsの意味はユーザディレクトリでも同様。詳しくは、こちらを参照のこと。）
  
  Options Indexes FollowSymLinks MultiViews
  
  　　　　　　　↓削除、追加
  
  Options FollowSymLinks MultiViews ExecCGI Includes
  
  
  
• ユーザディレクトリの変更
  
  UserDirでは、http://www.aconus.com/~oyaji/といった形式でアクセスさせる場合のディレクトリを指定する。下記の *はワイルドカードで、http://www.aconus.com/~oyaji/のように[~aaa]で指定したディレクトリ名と同等になり、[~oyaji]ならE:/web/oyaji/public_html配下のファイルが表示される。
  
  UserDir "My Documents/My Website"
  
  　　　　　　　↓追加
  
  # UserDir "My Documents/My Website"
  UserDir "E:/Web/*/public_html/"
  
  
• ユーザディレクトリ配下でのCGI/SSIの実行権付与とインデックスリストの非表示
  
  
  <Limit> ディレクティブは、アクセス制御の範囲を指定された HTTP メソッドに限定するもので、それ以外のメソッドは、影響を受けない。つまり、下記では、GET POST OPTIONS PROPFIND のメソッドに対してのみアクセスの制御を行ない(ここではアクセス許可)、 それ以外のメソッドについてはアクセス制御がかからない。
  <LimitExcept> は、<Limit> セクションの反対の動作をし、 標準のメソッドと標準外や未認識のメソッドの場合の両方を設定できる。下記では、GET POST OPTIONS PROPFIND のメソッド以外のアクセス制御が行われ、ここでの設定では不許可になる。<LimitExcept>は未設定のメソッド全てに制御がかかるので、こちらで設定したほうが確実である。
  
  #<Directory "My Documents/My Website">
  # AllowOverride FileInfo AuthConfig Limit
  # Options MultiViews Indexes SymLinksIfOwnerMatch IncludesNoExec
  # <Limit GET POST OPTIONS PROPFIND>
  #    Order allow,deny
  #   Allow from all
  # </Limit>
  # <LimitExcept GET POST OPTIONS PROPFIND>
  #   Order deny,allow
  # 　Deny from all
  # </LimitExcept>
  #</Directory>
  
  　　　　　　　↓削除/追加
  
  <Directory "E:/Web/*/public_html">
    AllowOverride FileInfo AuthConfig Limit
    Options MultiViews SymLinksIfOwnerMatch ExecCGI IncludesNoExec
  # <Limit GET POST OPTIONS PROPFIND>
  #    Order allow,deny
  #    Allow from all
  #  </Limit>
    <LimitExcept GET POST OPTIONS PROPFIND>
  　　Order deny,allow
  　　Deny from all
    </LimitExcept>
  </Directory>
  
  
• HTMLファイル名の追加
  
  ディレクトリ指定でアクセスされた場合(http://www.aconus.com/のように「/」で終わるか最後がディレクトリだった場合)に、Apacheはそのディレクトリ内にここで指定したファイルが無いか左側から探し、見つかればそのファイルを転送する。見つからない場合は、そのディレクトリでのOptions指定でIndexesが有効ならインデックリストを表示し、未指定なら404エラーとなる。おやじは、index.htmというファイル名をデフォルトとしているのでそれを追加している。下記の例ではSSI用のindex.shtmlも追加してある。
  
  DirectoryIndex index.html　index.html.var
  
  　　　　　　　↓追加
  
  DirectoryIndex index.html index.htm index.shtml index.html.var
  
  
• ホストネームでのログ収集
  
  デフォルトではログのアドレスはIPアドレスで行われるが、この機能を使うとDNSで逆牽きしてホスト名で記録できる。DNSの逆牽きをすると負荷が重くなるが、アクセスがまだまだ少ないのとホストネームのほうが常連さんならすぐにわかること、動的IPの場合は後で逆引きしても牽けないことが多々あるため、あえて使用しています。ただ、逆牽き設定をしていないDNSや設定が誤っているDNSが多く、エラーログがかなり出てしまいます。(BINDの設定でログらないようにしています。）
  
  #HostnameLookups Oｆｆ
  HostnameLookups On
  
  
• 家庭内からのアクセス、worm等のlog分離
  
  #CustomLog logs/access.log common
  SetEnvIf Remote_Addr 192.168.1. homelog nolog
  SetEnvIf Request_URI "~akirin" akirinlog nolog
  SetEnvIf Request_URI "default.ida" wormlog nolog
  SetEnvIf Request_URI "root.exe" wormlog nolog
  SetEnvIf Request_URI "cmd.exe" wormlog nolog
  SetEnvIf Request_URI "Admin.dll" wormlog nolog
  CustomLog logs/home.log common env=homelog
  CustomLog logs/akirin.log combined env=akirinlog
  CustomLog logs/worm.log common env=wormlog
  CustomLog logs/access.log combined env=!nolog
  
  ・上のほうでLoadModule setenvif_module modules/mod_setenvif.soがアンコメントアウトされていることを確認。
  ・1行目のCustomLog logs/access.log common をコメントアウトし、以下を記述。
  ・2/8行目で、家庭内からのアクセスをhome.logに採取。ログ不要ならコメントアウト。
  ・3/9行目で、娘のサイトへのアクセスをakirin.logに採取。common -> combinedとしてreferrerを採取。
  ・4行目でCodeRed、5〜7行目でNimudaからアタックを識別し、10行目でworm.logに採取。ログ不要ならコメントアウト。
  ・11行目で残りのアクセスをaccess.logに採取。common -> combinedとしてreferrerを採取。おやじのサイトへのアクセスは、ここに含まれる。
  
  
• 日本語表示の設定(ブラウザのエンコード自動選択時の文字化け対策： 1個所。詳細は、こちらを参照のこと。)
  
  LanguagePriority は、MultiViews 環境でブラウザが言語の優先順位を提供してない場合の優先度を指定するもので、通常はコンテンツも対応していないので変更不要。
  
  まず、LanguagePriority は ja を先頭(左)に持ってくること。また、AddDefaultCharset で下記の設定をした場合は、ドキュメントで必ずcharsetを指定しないと文字化けする。おやじのコンテンツには、EUC-JP と shift-jis の両方があるためこのようにして（AddDefaultCharset Offとしても良い)、ドキュメントに依存して表示させている。そのため、一部の CGI 等も改造しているので注意が必要である。
  shift-jis のコンテンツしかないなら、　AddDefaultCharset shift_jis とすれば良い。
  
  LanguagePriority en da nl et fr de el it ja kr no pl pt pt-br ltz ca es sv tw
  
  　　　　　　　↓移動
  
  LanguagePriority ja en da nl et fr de el it kr no pl pt pt-br ltz ca es sv tw
  
  
  AddDefaultCharset ISO-8859-1
  
  　　　　　　　↓追加（コメントアウト）
  
  #AddDefaultCharset ISO-8859-1
  
  
• CGIファイル拡張子の定義
  
  CGI として動作させたい拡張子を記述する。
  
  #AddHandler cgi-script .cgi
  
  　　　　　　　↓削除、追加
  
  AddHandler cgi-script .cgi
  AddHandler cgi-script .pl
  
   

◆SSLを動かすための設定 (ssl.confの設定)

1. こちらで作成したサーバ用の鍵 (server.key) と証明書 (server.crt) を、Apacheのディレクトリ配下にコピーする。
   
   

   C:\etc>mkdir C:\Apache\certs C:\etc>copy server.key C:\Apache\certs C:\etc>copy server.crt C:\Apache\certs

   
   
2. ssl.confの設定を行う。
   
   
   • Windowsでは未サポート
     
     SSLMutex  file:logs/ssl_mutex
     
     　　　　　　　↓追加
     
     #SSLMutex  file:logs/ssl_mutex
     
     
   • サーバ名の変更
     
     ServerName new.host.name:443
     
     　　　　　　　↓追加
     
     #ServerName new.host.name:443
     ServerName www.aconus.com:443
     
     
   • サーバ管理者のメールアドレスの設定
     
     ServerAdmin you@your.address
     
     　　　　　　　↓追加
     
     #ServerAdmin you@your.address
     ServerAdmin oyaji@mail.aconus.com
     
     
   • ドキュメントルートの変更
     
     DocumentRoot "C:/Apache/htdocs"
     
     　　　　　　　↓追加
     
     #DocumentRoot "C:/Apache/htdocs"
     DocumentRoot "E:/Web"
     
     
   • 証明書のパスの変更
     
     SSLCertificateFile c:/Apache/conf/ssl.crt/server.crt
     
     　　　　　　　↓変更、追加
     
     SSLCertificateFile c:/Apache/certs/server.crt
     
     
   • 鍵のパスの変更
     
     SSLCertificateKeyFile c:/Apache/conf/ssl.key/server.key
     
     　　　　　　　↓変更、追加
     
     SSLCertificateKeyFile c:/Apache/certs/server.key
     

◆クライアント認証を動かすための設定

1. 作成したCA用証明書を、Apacheのディレクトリ配下にコピーする。
   
   

   C:\etc>copy demoCA\cacert.pem C:\Apache\certs

   
   
2. 証明書失効リストを、Apacheのディレクトリ配下にコピーする。
   
   

   C:\etc>copy demoCA\crl\crl.pem C:\Apache\certs

   
   なお、失効が発生するたびにこの作業は必要になるので、ssl.confでcrl.pem作成ディレクトリを直接指定したほうが良いかもしれない。Windowsの場合は、リストを有効にするためApacheの再起動が必要である。
   
   
3. ssl.confの設定を行う。
   
   
   • CA証明書へのパスとファイル名の設定を行う
     
     #SSLCACertificatePath c:/Apache/conf/ssl.crt
     #SSLCACertificateFile c:/Apache/conf/ssl.crt/ca-bundle.crt
     
     　　　　　　　↓追加
     
     #SSLCACertificatePath c:/Apache/conf/ssl.crt
     #SSLCACertificateFile c:/Apache/conf/ssl.crt/ca-bundle.crt
     SSLCACertificatePath c:/Apache/certs
     SSLCACertificateFile c:/Apache/certs/cacert.pem
     
     
   • クライント認証の指定とルート認証局までの階層設定
     
     CA によって直接署名された証明書だけを信用するので、SSLVerifyDepth は 1 に設定する。
     
     #SSLVerifyClient require
     #SSLVerifyDepth 10
     
     　　　　　　　↓追加
     
     #SSLVerifyClient require
     #SSLVerifyDepth 10
     SSLVerifyClient require
     SSLVerifyDepth 1
     
     
   • 証明書失効リストの指定
     
     #SSLCARevocationPath c:/Apache/conf/ssl.crl
     #SSLCARevocationFile c:/Apache/conf/ssl.crl/ca-bundle.crl
     
     　　　　　　　↓追加
     
     #SSLCARevocationPath c:/Apache/conf/ssl.crl
     #SSLCARevocationFile c:/Apache/conf/ssl.crl/ca-bundle.crl
     SSLCARevocationFile c:/Apache/certs/crl.pem
     
     

◆サービス起動の設定と起動

• サービスへの登録
  
  コマンドプロンプトで下記のようにして、サービスに登録する。
  
  

  C:\>cd apache\bin 　C:\apache\bin>apache -k install

  
  
• サービス起動時にSSL起動するようにするための変更
  
  上記でサービス起動できるようになるが、SSLでは起動できない。実行ファイルのパスのオプションを書き換えるため、レジストリエディタでパラメータを追加する。
  
  1. [スタート]->[ファイル名を指定して実行]で、名前欄に「regedit」と入力し[OK]を押す。
  2.レジストリエディタが起動されるので、左の欄で[マイコンピュータ]を選択する。
  3.[Ctrl]+[f]で検索を起動し、検索する値に「-k runservice」と入力し検索する。
  4.[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Apache\ImagePath]（下段に枠内に表示）で停止するので、名前欄のImagePath上で右クリックし、「変更」を選択する。
  5.値のデータ欄が「"c:\Apache\bin\Apache.exe" -k runservice」とインストールパスと同じであることを確認し、-kの前に「-D SSL」とSSL起動用のパラメータを追加し、「"c:\Apache\bin\Apache.exe" -D SSL -k runservice」となるようにする。後は[OK]を押してウインドウを閉じればおしまいである。
  
  
• Apache Monitorの自動起動の設定
  
  スタートアップに登録するだけである。
  
  1.[スタート]->[設定]->[タスクバーとスタートメニュー]で、プロパティを開く。
  2.[詳細タブ]->[追加]で、ショートカットの作成が開くので、[参照]でＡｐａｃｈｅをインストールしたディレクトリにある「ApacheMonitor.exe」(c:\Apache\bin\ApacheMonitor.exe)を
  選択し、[OK]を押す。
  3.[次へ]を押し、ショートカットを保存するフォルダとして[スタートアップ]を選択し、[次へ]を押し、判りやすい名前を付けて[完了]を押せばおしまい。
  
  
• Apacheの起動と確認
  
  スタートアップに登録したメニューからApache Monitorを起動し、Apacheを起動する。（タスクトレイのアイコンを左クリックして「start」)
  正常に起動しているか、コマンドプロンプトを起動し、「netstat -an」と入力すると、アクティブはコネクションが表示されるので、[80]と[443]が存在するか確認する。
  
  

■Active Perlのインストール

　・ ActivePerl-5.8.6.811-MSWin32-x86-122208.msi

1. ダウンロードしたファイルをインストールする。（Windows95/98/NTでは、Windows Installer 2.0が必要）
   
   
2. 途中で、インストール先をC:\perlからC:\usr\localに変更してインストール。(おやじはこれで苦労した）
   
   これは、一般に提供されているCGIスクリプトの多くが、下記のようにPerlへのパスを指定しているからです。
   
   　　　・　#!/usr/local/bin/perl
   
   
   
   
3. 次の画面で PPM3 を有効にするか聞いてくるので、「Enable PPM3 to send profile info to ASPN」にチェックを入れインストールを続行する。PPMを有効にしておくと後でいろいろなperlモジュールが必要になったとき簡単にインストールできる。
   
   
   
   
4. インストールが完了したら、Windowsを再起動する。
   
   　

1. スタートメニューからMSDOSプロンプトを起動。
   
   
2. c:\>perl -vと入力して、
   
   

   C:\>perl -v This is perl, v5.8.6 built for MSWin32-x86-multi-thread (with 3 registered patches, see perl -V for more detail) Copyright 1987-2004, Larry Wall Binary build 811 provided by ActiveState Corp. http://www.ActiveState.com ActiveState is a division of Sophos. Built Dec 13 2004 09:52:01 Perl may be copied only under the terms of either the Artistic License or the GNU General Public License, which may be found in the Perl 5 source kit. Complete documentation for Perl, including FAQ lists, should be found on this system using `man perl' or `perldoc perl'. If you have access to the Internet, point your browser at http://www.perl.org/, the Perl Home Page.

   
   と表示されれば、成功。

Top Pageへ