Webserver article :: การติดตั้ง OpenSSL กับ IIS

Administrator
Thu 28 Jul 2005 13:27:30

สิ่งที่ต้องเตรียม

Windows 2000/2003 ตระกูล Server ติดตั้ง IIS
OpenSSL tools
openssl.conf

เริ่มทำการตั้งค่า OpenSSL tool กันก่อนครับ

ติดตั้ง OpenSSL tool ครับโดยติดตั้งแบบ default จะได้ไฟล์ทั้งหมดอยู่ที่ C:\OpenSSL
คลิ๊กขวาที่ My Computer เลือก Properties แล้วคลิ๊กที่ Advance tab คลิ๊กที่ปุ่ม Environment variables ในส่วนของ System variables ให้เลือกที่คำว่า path แล้วคลิ๊กที่ edit เพิ่ม ;C:\OpenSSL\bin เข้าไปใน path แล้วคลิ๊ก OK
สร้าง directory C:\ssl เพื่อใช้งาน
ทำการ copy ไฟล์ openssl.conf เข้าไปยัง C:\ssl
ทำการสร้าง directory C:\ssl\certs , C:\ssl\keys , C:\ssl\requests
สร้างไฟล์เปล่าชื่อ database.txt โดยใช้คำสั่ง C:\ssl> copy con database.txt กด enter แล้วกด Ctrl+Z
สร้างไฟล์ชื่อ serial.txt โดยใช้คำสั่ง C:\ssl> copy con serial.txt กด enter แล้วพิมพ์ 01 แล้วกด enter แล้วกด Ctrl+Z

ติดตั้ง Certificate Authority (CA) เลยครับ
1. ก่อนอื่นเราต้องสร้าง private key ขนาด 1024-bits เพื่อใช้ในการสร้าง CA
C:\ssl> openssl genrsa -des3 -out C:\ssl\keys\ca.key 1024
Loading 'screen' into random state - done
Generating RSA private key, 1024 bit long modulus
............................................++++++
.......++++++
e is 65537 (0x10001)
Enter pass phrase for C:\ssl\keys\ca.key: <- ใส่ password
Verifying - Enter pass phrase for C:\ssl\keys\ca.key: <-ใส่ password อีกครั้ง
เราจะได้ไฟล์ ca.key ซึ่งเป็น private key อยู่ที่ C:\ssl\keys

2. สร้าง master certificate จาก private key ที่ได้สร้างไว้
C:\ssl> openssl req -config openssl.conf -new -x509 -days 1001 -keys C:\ssl\keys\ca.key -out C:\ssl\certs\ca.cer
Enter pass phrase for C:\ssl\keys\ca.key: <- ใส่ password
ํYou are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or DN
There are quite a few fields but you can leave some blank
For some fields there will be default value,
If you enter '.', the field will be left blank.
---
Country Name (2 letter code) []: th <- ใส่ชื่อประเทศ ในที่นี้ประเทศไทย
State or Province Name (Full name) []:Bangkok <- ใส่ชื่อรัฐหรือจังหวัดชื่อเต็ม ในที่นี้กรุงเทพ
Locality Name (eg, city) []:Bangsue <- ใส่ชื่อเมือง/อำเภอ ในที่นี้บางซื่อ
Organization Name (eg, company) []:Modoeye.com <- ใส่ชื่อองค์กร
Organizational Unit Name (eg, section) []:Programming <- ใส่ชื่อแผนก
Common Name (eg, your websites domain name) []:ssl.modoeye.com <-ใส่ domain name
Email address []:webmaster@modoeye.com <- ใส่อีเมล์

การสร้าง IIS Certificate Request

เปิด Internet Service Manager
เลือกไปยังเว็บไซท์ที่ต้องการติดตั้ง SSL
คลิ๊กที่ tab Directory security
ภายในส่วน Secure communication คลิ๊กที่ Server Certificate จะเข้าสู่ Server Certificate Request Wizard
คลิ๊ก Next เลือกที่ Create a new certificate แล้วคลิ๊ก Next
เลือกที่ Prepare a new request but send it later แล้วคลิ๊ก Next
ใส่ชื่อเว็บไซท์เลือก bit length เป็น 1024 แล้วคลิ๊ก Next
ใส่ชื่อองค์กรและแผนกแล้วคลิ๊ก Next
ใส่ชื่อเว็บไซท์แล้วคลิ๊ก Next
เลือกประเทศ, จังหวัด, อำเภอ/เขต แล้วคลิ๊ก Next
ใส่ข้องมูลผู้ดูแลระบบ หรือผู้ดูแลเว็บไซท์
เลือกให้เซฟไปที่ C:\ssl\requests\certreq.txt แล้วคลิ๊ก Next
จะมีหน้าจอแสดงข้อมูลที่กรอกไปแล้วคลิ๊ก Next เราก็จะได้ไฟล์ certreq.txt

Sign Certificate Request
    1.Sign Certificate Request
C:\ssl> openssl ca -policy policy_anything -config openssl.conf -certs certs/ca.cer -in requests/certreq.txt -keyfile keys/ca.key -days 365 -out certs/iis.cer
Using configuration from openssl.conf
Loading 'screen' to random state - done
Enter PEM pass phrase: <-ใส่ password
Check that the request matches the signature
Signature ok
The subjects Distinguished Name is as follows
commonName   :PRINTABLE:'ssl.modoeye.com'
organizationUnitName   :PRINTABLE:'Programming'
organizationName   :PRINTABLE:'Modoeye.com'
localityName   :PRINTABLE:'Bangsue'
stateOrProvinceName   :PRINTABLE:'Bangkok'
countryName   :PRINTABLE:'TH'
Certificate is to be certified until JUL 28 01:13:14 2006 GMT (365 days)
Sign the certificate? [y/n]:y <- ใส่ y

1 out of 1 certificate requests certificate, commit? [y/n]:y <-ใส่ y
Write out database with 1 new entries
Data Base Updated

    2.เปลี่ยน Certificate ที่ได้ลงทะเบียนแล้วเป็นระบบ X509 เพื่อใช้ติดตั้งกับ IIS
C:\ssl> openssl x509 -in certs/iis.cer -out certs/iisx509.cer
เราจะได้ไฟล์ iisx509.cer เพื่อใช้ติดตั้งเข้ากับ IIS

ทำการติดตั้ง Certificate เข้ากับ IIS

เปิด Internet Service Manager
คลิ๊กขวาที่เว็บไซท์ที่ต้องการติดตั้ง
เลือกที่ tab Directory security คลิ๊กที่ Server Certificate จะมี Dialog ของ Website Certificate Wizard คลิ๊ก Next
เลือกที่ Process the pending request and install the certificate คลิ๊ก Next
ทำการเลือกไปยัง C:\ssl\certs\iisx509.cer คลิ๊ก Next
จะมีหน้าต่างแสดงรายละเอียดของ certificate คลิ๊ก Next ไปจนจบ

เท่านี้ IIS ของเราก็จะสามารถใช้งาน SSL โดยใช้ module ของ OpenSSL ได้แล้วครับ