「VPSに無料の認証済みSSL証明書をインストールする」への24件のフィードバック

1. Ayk@mementomori_a 2012年5月15日 6:08 AM

   キョウジさん、おはようございます。
   大作、お疲れ様です。

   一点、ミスがあります。
   Certificates Wizardにコピペするのは、server.keyではなく

   server.csr

   です。
   あと、WinだとIEの場合、セキュリティレベルを中～高に設定しておかないとStartSSLにアクセス出来ないようです。
   Sleipnirだとアクセスは出来るんですが、最初の証明書のインストールが出来ないのでアウトです。
   FireFoxはサポートブラウザなので大丈夫かと思いますが、試しておりません…

   私は住所確認のメールは来なかったんですが、
   「ドメイン取ってからちょっとしか経ってないから数日経ってからやり直せ！」
   と怒られました。笑

   早くエラーの嵐から抜け出したい…

   返信 ↓
   1. 葛葉 キョウジ（管理人） 投稿作成者2012年5月15日 1:49 PM

      あれ？server.keyでもいけなかったですか？
      .csrはれよ！とは書いてあったんですが、中身は似たようなもんだろと無視してkeyを貼り付けたらいけたんでそのままつかってますｗ
      ssl.confの中身を出来るだけ書き換えたくなかったのでｗ

      そういえば、IEはStartSSLだと使えないかもしれないみたいなこと書いてあったような気が。
      FireFoxなら大丈夫なはずです。
      IE融通気かなすぎですね(；´Д｀)

      ドメインをとってからしばらく経たないとダメなんですか(；´Д｀)
      自分のは4月25日に取得したドメインなので、2週間くらいは使ってましたからね。
      もうちょっとの辛抱ですｗ

      返信 ↓
      1. Ayk@mementomori_a 2012年5月15日 2:17 PM

         IEで大丈夫でした。
         server.keyだとcsrのヘッダーとフッターが入ってないのでダメとエラーではじかれました。
         これもWinだけ？笑

         Several Daysとあるので２～３日でいけると思います。

         返信 ↓
         1. 葛葉 キョウジ（管理人） 投稿作成者2012年5月15日 5:07 PM

            あら。
            なんでだろう。
            ToolBoxのKey Bug Checkerに通してみたんですが、
            No vulnerability has been detected. You may use this key.
            って出たんで問題無いと思うんですけど、Macだから？？
            もう一度試したいけど試せないのがもどかしいｗ

            返信 ↓
         2. 葛葉 キョウジ（管理人） 投稿作成者2012年5月16日 12:07 PM

            keyじゃダメみたいでした。
            記事書き換えます。
            色々ごちゃごちゃやってるうちに上書きしたのかもしれないですｗ

            いつも試してもらってすいません。

            返信 ↓
2. きんちゃん 2012年5月15日 1:36 PM

   お世話になります。きんちゃんです。

   せっかく https:// でアクセスしても警告が出なくなったのですから、http:// でアクセスしたきたもの全てを、https:// にリダイレクトするのは如何でしょうか？
   いつでも、「ああ、おいらは、ちゃんとした SSL 証明書を持っているのだ」という満足感に浸れます。:-)
   また、私の Web ではユーザー認証をする CGI が動いたりしているのですが、うっかり、http でアクセスしても、自動的に https に飛ばされるので、詳しくない人にも安心です。

   mod_rewrite を入れて、httpd.conf に次を下記を追加して OK です。
   mod_rewrite の設定に際し、
   http://www.askapache.com/htaccess/ssl-example-usage-in-htaccess.html
   を参考にして、色々とやってみたため、残骸の # が残っていますが、
   下記の設定が Best のように私も思いました。

   RewriteEngine On
   RewriteLog “/var/log/httpd-rewrite_log”
   RewriteLogLevel 0

   RewriteCond %{HTTPS} !=on
   # RewriteCond %{SERVER_PORT} !^443$
   # RewriteCond %{SERVER_PORT} ^80$

   RewriteRule .* https://%{SERVER_NAME}%{REQUEST_URI} [R,L]
   # RewriteRule ^/(.*) https://%{SERVER_NAME}/$1 [R,L]
   # RewriteRule ^/(.*)?$ https://%{HTTP_HOST}/$1 [L,R]
   # RewriteRule (.*)?$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R]

   ではでは

   返信 ↓
   1. 葛葉 キョウジ（管理人） 投稿作成者2012年5月15日 2:06 PM

      おお、リダイレクトですか。
      http://ってはじめからにゅうりょくされている事が多いので、
      そっちの方が効率的ですよね。
      やってみます。
      ありがとうございますヽ(´ー｀)ノ

      返信 ↓
3. まこと 2012年5月15日 10:18 PM

   キョウジ様
   お疲れ様です。ありがとうございました。
   当方のマニアックな環境でも、きっちり稼働しました。WebDAVに接続する度に開くダイアログが無くなっただけで随分進歩した感じです。
   住所確認のメールは来ませんでした。

   よろしければ、
   今回入手した正規の証明書でのimoten送信のSSL化（オレオレ→正規版への変更）をご教示して頂けると嬉しいです。

   返信 ↓
4. 葛葉 キョウジ（管理人） 投稿作成者2012年5月16日 10:03 AM

   おお、取得出来ましたか。
   server.keyでcrt取得出来ました？

   返信 ↓
   1. まこと 2012年5月16日 11:21 AM

      server.key内容のコピペでは、crt取得できなかったので、
      既存のオレオレのkeyは無視して、Web画面Skipしたところでパスワード入れて、秘密鍵ファイルを新規作成しました。
      問題点は、アパッチ再起動のたびパスワードを要求されるので（毎夜３時にサーバー再起動、放置するとアパッチ再起動しない）、Google検索で得た情報「パスワードを埋め込んだ秘密鍵ファイル」に変換して運用しています。
      私のやり方が下手だったかもしれませんが、何とか目的達成できました。

      返信 ↓
      1. 葛葉 キョウジ（管理人） 投稿作成者2012年5月16日 12:24 PM

         keyダメでしたか。
         色々やってるうちに上書きしちゃったのかな(；´Д｀)
         ご迷惑をお掛けしました。

         パスワードは秘密鍵のあるディレクトリで、
         [root@ ~]# openssl rsa -in server.key(秘密鍵の名前) -out server.key（秘密鍵の名前）

         を行い、設定したパスワードを入力すればパスワードを削除することが出来ますよ。

         返信 ↓
         1. まこと 2012年5月16日 1:47 PM

            キョウジ様
            迷惑なんてとんでもない。
            きっかけを作っていただけるだけで感謝です。後の始末は自己責任ですから。
            ましてや私の環境は特異（お名前VPS(VZ)プラン）なんで（おかげでメールサーバー構築はスルーできましたが）。
            そのせいかどうか、パスワードを消す式は、アパッチ起動でエラーを吐いたので、結局埋め込む式になりました。
            コマンド忘れちゃいましたが(w。

            返信 ↓
5. とーやま 2012年5月19日 1:52 AM

   くずのはさん

   こんにちは

   詳しい解説ありがとうございます。いつもながら、丁寧でうれしいです。

   お手すきのときにおしえてもらいたいです。

   最後の1行まで、順調にきました。
   startsslも問い合わせもなく、サッサといきました。

   しかし、
   service httpd restart

   ここで、

   httpd を停止中: [失敗]
   httpd を起動中: [失敗]

   なりました。

   #apachectl -t
   の結果は、
   Syntax OK

   #/etc/init.d/httpd status
   は、
   httpd は停止しています

   #ps ax | grep httpd
   は
   28309 pts/0 S+ 0:00 grep httpd

   です。

   wavdavもつい最近まで動いていて、startssl.crtもアップロードできたのに、不思議に
   最後にとまってしまい、全然わからないながら、何時間もしていますが、もうお手上げな感じです。

   返信 ↓
   1. 葛葉 キョウジ（管理人） 投稿作成者2012年5月19日 4:57 PM

      秘密鍵が間違ってるんじゃないですか？
      秘密鍵csrで公開鍵crtを作ったとは思いますが、その時に貼りつけた秘密鍵と一致していなかったらアウトです。

      最悪crtファイルを作り替えになります。

      返信 ↓
   2. おすぎ 2012年5月21日 3:10 AM

      ＞とーやまさん

      startssl.crtを作る際は、server.csr から作った前提で。
      ssl.conf の SSLCertificateKeyFile ですが、
      server.csr ではなく、 server.key を指定してみてはどうでしょう？

      返信 ↓
      1. 葛葉 キョウジ（管理人） 投稿作成者2012年5月21日 3:37 PM

         あ、そうだ。
         あとWindowsからだとメモ帳に貼り付け後アップロードしても、拡張子を表示しない状態になってるとserver.csr.txtっていうカオスなファイル名にならないですかね？

         viエディタでstartssl.crtを開いて、コードをコピペしたほうがいいっていつも設定してくれている方が言ってました。

         返信 ↓
         1. とーやま 2012年5月21日 4:24 PM

            くずのはさん
            おすぎさん

            ありがとうございます。

            crtもう1回作りかえてみました。
            vi/・・・
            でコピペしました。

            でも、できなくて・・・

            そこで
            csrでcrtは作りましたので、

            おすぎさんのご指摘通り
            ssl.conf の SSLCertificateKeyFile　を
            keyでしました。

            httd　起動しました。
            ばんざーい。できました。

            良くわかってないんですが、ssl.confのSSLCertificateKeyFileが
            csrとkeyと設定するのではどう違うのか分かっていません。

            また勉強です。
            お二人ともありがとうございました。

            返信 ↓
6. feifon 2012年5月21日 12:55 PM

   いつもありがとうございます。
   今回はmacとUNIXでは改行コードが違うことがあるということに気づかず、試行錯誤してしまいました。
   まあ、そのおかげで内容がある程度理解ができるようになったのは、怪我の功名というやつでしょうか。
   あと、少数派だと思いますが、Cloud Coreだとmakeコマンドでserver.keyを作成すると1024になるようで(OSのバージョンか？)、2048以上で作り直したらうまくいきました。

   返信 ↓
   1. 葛葉 キョウジ（管理人） 投稿作成者2012年5月21日 3:38 PM

      マジすか(；´Д｀)
      一応さくらVPSでの前提に記事を組んでいるので、
      少しでも仕様が変わるとできなくなったりするのがLinuxの恐ろしいところですねｗ

      返信 ↓
7. ケンヂ 2012年5月21日 9:28 PM

   くずのはさん

   メールサーバーの設定とはうってかわってSSL証明書のインストールは比較的スムーズに成功しました。ありがとうございます。
   ssl.conf の SSLCertificateKeyFileはserver.csrではhttpdの再起動に失敗でしたが、server.keyで再起動できました。

   返信 ↓
   1. おすぎ 2012年5月22日 5:46 AM

      server.csrとserver.keyはペアをなしていて、公開鍵と秘密鍵の関係にあります。

      この投稿記事ではそこが混同されていますが、Webdav構築時の記事には、「公開鍵server.csrを作る」と記載されていて、これは正しいですね。
      http://limesheep5.sakura.ne.jp/wordpress/wordpress/2012/04/webdavwindows7windows7.html

      正確には、server.csrは署名要求と言って、公開鍵以外の情報も含まれていますが、その本質は公開鍵です。
      この公開鍵を認証機関であるstartsslに渡して、「サーバー証明書: *.crt」に作り変えてもらっています。

      SSLCertificateKeyFileとは秘密鍵のことを示していますので、この場合はserver.keyを指定する必要があるわけです。
      startsslに渡している時点でserver.csrが秘密鍵にはなり得ないのは感覚的にはわかるかとは思います。

      くずのはさんの場合は、.keyファイルをstartsslに渡して、.csrを秘密鍵として指定されているのかもしれません。（コメントを読む限りそういうプロセスを経たような？）
      それなら秘密鍵を公開鍵と読みなおせばいいだけですので、特に問題ないのでしょうが、これまで「俺俺認証」の際には公開鍵としていたものを秘密鍵化しているのは、精神衛生的にはよくないかもしれませんが。

      返信 ↓
      1. 葛葉 キョウジ（管理人） 投稿作成者2012年5月22日 10:35 PM

         crtを作る時にcsrを貼り付けるのがちょっと理解できなかったんですよね。
         なんで公開鍵を貼り付けて公開鍵を作るんだろう？
         秘密鍵と関連付けるなら秘密鍵じゃないのかなと思って。

         で、自分が作った時は何度もやり直してkeyファイルをStartSSLで作ったんですけど、csrコードを貼り付けてもcrtを作ることが出来る所を、keyを貼り付けるのと勘違いしてたんですよね。

         結果不完全な記事になってしまいました(；´Д｀)
         key、car、crtの関連付けをイマイチ理解してなかったです。

         返信 ↓
         1. おすぎ 2012年5月23日 8:35 AM

            メールサーバーの件も含めて、複雑なことをいっぺんにやろうと思うと仕方ないですよね… 打ち込んだコマンドの数も数多知れず…

            Aさんの公開鍵に対して「Aさんは確かに存在してて、この公開鍵はAさんのもので間違いなく、現在も有効です」とお墨付きをもらうため、証明書発行機関であるStartSSLに渡すという風に理解するとわかりやすいかもですね。
            記事の修正をいただいたと思うのですが、とすると、stunnelの方も変更したほうがよいかもしれません。ご参考まで。
            http://limesheep5.sakura.ne.jp/wordpress/wordpress/2012/05/stunnel-ssl.html

            返信 ↓
            1. 葛葉 キョウジ（管理人） 投稿作成者2012年5月23日 12:01 PM

               書いた記事と実際自分が設定したことが違ってたりするんでまた困るんですよね。
               あまりもコマンド撃ちまくってconfを変更しまくってたりするので、
               何したんだっけ(；´Д｀)？
               ってなることも数えきれないですｗ

               そういえばStunnelの存在をすっかり忘れてましたｗ
               修正しておきます。
               ありがとうございますヽ(´ー｀)ノ