无私钥SSL证书在Ubuntu 23.04 Apache2服务器上的部署步骤咨询

嗨，我来帮你理清这个问题——首先得敲个重点：SSL证书和对应的私钥是绑定配对使用的，你现在只有root.crt、server.crt、intermediate.crt这三个证书文件，却没有生成CSR时用到的私钥，这会直接导致你没法在Apache2上配置SSL，因为Apache需要私钥来完成客户端与服务器之间的加密握手过程。

下面分两部分给你说明：先解决私钥的核心问题，再讲拿到私钥后的完整部署步骤。

一、先解决私钥缺失的问题 #

没有私钥的话，现有证书完全无法使用，你得先搞定这个：

• 尝试找回私钥：如果是你自己生成的CSR，那私钥应该在生成CSR的机器上，默认文件名一般是server.key或者private.key，去之前的环境里仔细找找；如果是第三方CA签发的证书，你可以联系CA客服确认，但正规CA通常不会保存用户的私钥，这个途径成功率不高。
• 重新生成证书：如果实在找不到私钥，这是最稳妥的办法——重新生成新的私钥和CSR，然后向CA重新申请SSL证书，拿到新的证书文件+配对私钥后再进行部署。

二、拿到配对私钥后的Apache2 SSL部署步骤 #

假设你已经找回/获取到了与证书配对的私钥（比如命名为server.key），接下来按以下步骤操作：

1. 整理证书文件并设置安全权限 #

• 把所有证书和私钥上传到Ubuntu服务器的安全目录：

  # 将证书文件放到公共证书目录
  sudo cp root.crt server.crt intermediate.crt /etc/ssl/certs/
  # 将私钥放到私有密钥目录（这个目录要严格限制权限）
  sudo cp server.key /etc/ssl/private/
  

• 设置严格的权限，防止私钥被非法读取：

  sudo chmod 700 /etc/ssl/private/
  sudo chmod 600 /etc/ssl/private/server.key
  

• 合并服务器证书和中间证书为链式证书（让客户端能完整验证证书链）：

  cat /etc/ssl/certs/server.crt /etc/ssl/certs/intermediate.crt > /etc/ssl/certs/server_chain.crt
  

2. 启用Apache的SSL及相关模块 #

• 启用SSL模块：

  sudo a2enmod ssl
  

• （可选但推荐）启用重定向模块，方便把HTTP请求自动转到HTTPS：

  sudo a2enmod rewrite
  

3. 配置SSL虚拟主机 #

• 复制默认的SSL配置模板，创建你的域名专属配置文件：

  sudo cp /etc/apache2/sites-available/default-ssl.conf /etc/apache2/sites-available/your-domain-ssl.conf
  

• 用编辑器打开新配置文件（这里用nano，你也可以用vim）：

  sudo nano /etc/apache2/sites-available/your-domain-ssl.conf
  

• 修改配置中的证书和私钥路径，同时设置正确的域名：

  # 替换成你的链式证书路径
  SSLCertificateFile      /etc/ssl/certs/server_chain.crt
  # 替换成你的私钥路径
  SSLCertificateKeyFile   /etc/ssl/private/server.key
  # 替换成根证书路径
  SSLCACertificateFile    /etc/ssl/certs/root.crt
  
  # 设置你的域名
  ServerName your-domain.com
  ServerAlias www.your-domain.com
  

• （可选）配置HTTP转HTTPS的重定向，创建一个HTTP虚拟主机配置文件：

  sudo nano /etc/apache2/sites-available/your-domain.conf
  

  写入以下内容：

  <VirtualHost *:80>
      ServerName your-domain.com
      ServerAlias www.your-domain.com
      # 永久重定向所有HTTP请求到HTTPS
      Redirect permanent / https://your-domain.com/
  </VirtualHost>
  

4. 启用配置并重启Apache #

• 启用刚才创建的两个虚拟主机配置：

  sudo a2ensite your-domain-ssl.conf
  sudo a2ensite your-domain.conf
  

• 检查配置文件是否有语法错误：

  sudo apache2ctl configtest
  

• 如果输出Syntax OK，就重启Apache服务使配置生效：

  sudo systemctl restart apache2
  

5. 验证SSL配置 #

• 用浏览器访问https://your-domain.com，查看地址栏的锁形图标，确认证书正常加载且没有警告；
• 也可以在服务器上用openssl命令测试：

  openssl s_client -connect your-domain.com:443
  

  输出内容里如果能看到证书链信息，就说明配置成功了。

备注：内容来源于stack exchange，提问作者GHULAM RAZA GMAIL