该方案是为了实现apache下实现SSL虚拟主机双向认证，从而实现可信任用户才能访问具体虚拟站点，实现了数据加密以及双向可靠认证。

我的博客新站已经建好，更多新的内容即将在新站更新。。

欢迎访问     http://www.showerlee.com

LINUX操作系统:  centOS6.3 64bit(安装系统默认开发包)

APACHE:         httpd-2.4.4

SSL:            ssl.ca-0.1

解决方案:

一.关闭iptables和SELINUX

# service iptables stop

# setenforce 0

# vi /etc/sysconfig/selinux

---------------

SELINUX=disabled

---------------

二.编译安装apache

1.安装pcre依赖包

# wget http://sourceforge.net/projects/pcre/files/pcre/8.32/pcre-8.32.tar.gz/download

# tar -xzvf pcre-8.32.tar.gz

# cd pcre-8.32

# ./configure --prefix=/usr/local/pcre

# make && make install

2.apache配置:

1).下载apache与apr编译包

# wget http://archive.apache.org/dist/httpd/httpd-2.4.3-deps.tar.bz2

# wget http://archive.apache.org/dist/httpd/httpd-2.4.4.tar.bz2

2).将apache与apr编译包整合

注:httpd-2.4.3-deps.tar.bz2已集成APR，安装apache前检查pcre是否安装成功.

# tar jxvf httpd-2.4.4.tar.bz2

# tar jxvf httpd-2.4.3-deps.tar.bz2

# cp -rf httpd-2.4.3/* httpd-2.4.4

3).编译安装(加载mod_ssl模块)

# cd httpd-2.4.4

# ./configure --prefix=/usr/local/apache2 --enable-so --enable-rewrite  -enable-ssl=static -with-ssl=/usr/local/ssl -enable-mods-shared=all --with-pcre=/usr/local/pcre/bin/pcre-config

# make && make install

注:编译过程中如果报错:

----------------------------------

checking for OpenSSL version >= 0.9.7… FAILED

configure: WARNING:  OpenSSL version is too old

no

checking whether to enable mod_ssl…  configure: error: mod_ssl has been requested but can not be built due to  prerequisite failures

-----------------------------------

解决办法

# yum install openssl-devel -y

# yum update openssl -y

三.SSL单向认证配置

1.加载ssl配置文件:

# vi /usr/local/apache2/conf/httpd.conf

搜索"Include conf/extra/httpd-ssl.conf", 并将这行前面的"#"去掉

2.配置ssl:

# vi /usr/local/apache2/conf/extra/httpd-ssl.conf

搜索"shmcb:/usr/local/apache2/logs/ssl_scache(512000)",并将这行加"#"注释掉

确认以下几行配置无误:

----------------------------

Listen 443

SSLEngine on

SSLCertificateFile "/usr/local/apache2/conf/server.crt"

SSLCertificateKeyFile "/usr/local/apache2/conf/server.key"

SSLCACertificateFile "/usr/local/apache2/conf/ca.crt"

----------------------------

3.证书配置:

1).下载并解压ssl证书生成压缩包:

# cd /usr/local/apache2/conf

# wget http://www.showerlee.com/down/ssl.ca-0.1.tar.gz

# tar zxvf ssl.ca-0.1.tar.gz

# cd ssl.ca-0.1

2).利用ssl内脚本生成根证书:

# ./new-root-ca.sh  

---------------------------------------------------

No Root CA key round. Generating one

Generating RSA private key, 1024 bit  long modulus

………………………++++++

….++++++

e is 65537 (0×10001)

Enter  pass phrase for ca.key: (输入一个密码)

Verifying – Enter pass phrase for ca.key:  (再输入一次密码)

……

Self-sign the root CA… (签署根证书)

Enter pass phrase for  ca.key: (输入刚刚设置的密码)

……..

…….. (下面开始签署)

Country Name (2 letter code)  [MY]:CN

State or Province Name (full name) [Perak]:JiangSu

Locality Name  (eg, city) [Sitiawan]:NanJing

Organization Name (eg, company) [My Directory  Sdn Bhd]:example Co.,Ltd

Organizational Unit Name (eg, section)  [Certification Services Division]:example

Common Name (eg, MD Root CA)  []:example

Email Address []:info@example.com

--------------------------------------------------

这样就生成了ca.key和ca.crt两个文件

3).生成服务端证书:

# ./new-server-cert.sh server  

注:证书名为server

----------------------------------------------------

……

……

Country Name (2 letter code) [MY]:CN

State or  Province Name (full name) [Perak]:JiangSu

Locality Name (eg, city)  [Sitiawan]:NanJing

Organization Name (eg, company) [My Directory Sdn  Bhd]:example Co.,Ltd

Organizational Unit Name (eg, section) [Secure Web  Server]:example

Common Name (eg, http://www.domain.com)  []:http://www.example.com

Email Address  []:info@example.com

-----------------------------------------------------

这样就生成了server.csr和server.key这两个文件。

4).签署服务端证书:

#  ./sign-server-cert.sh server

-------------------------------------------------

CA signing: server.csr ->  server.crt:

Using configuration from ca.config

Enter pass phrase for  ./ca.key: (输入上面设置的根证书密码)

Check that the request matches the  signature

Signature ok

The Subject’s Distinguished Name is as  follows

countryName   RINTABLE:’CN’

stateOrProvinceName   RINTABLE:’JiangSu’

localityName   RINTABLE:’NanJing’

organizationName   RINTABLE:’example Co.,Ltd’

organizationalUnitName:PRINTABLE:’example’

commonName   RINTABLE:’http://www.example.com’

emailAddress  :IA5STRING:’info@example.com’

Certificate is to be certified until Jul 16  12:55:34 2005 GMT (365 days)

Sign the certificate? [y/n]:y

1 out of 1  certificate requests certified, commit? [y/n]y

Write out database with 1 new  entries

Data Base Updated

CA verifying: server.crt <-> CA  cert

server.crt: OK

-------------------------------------------

注:如果这里出现错误，最好重新来过，删除ssl.ca-0.1这个目录，从解压缩处重新开始。

下面要按照httpd-ssl.conf的设置，将证书放在适当的位置。

5).配置证书相关权限和路径:

# cd /usr/local/apache2/conf/ssl.ca-0.1

# chmod 644 server.key server.crt ca.crt

# mv server.key ..

# mv server.crt ..

# mv ca.crt ..

4.配置https实现SSL虚拟主机单向加密

1).加载虚拟主机配置文件：

# vi /usr/local/apache2/conf/httpd.conf

搜索"Include conf/extra/httpd-vhosts.conf", 并将这行前面的"#"去掉

2).让www.example.com虚拟主机实现https访问

# vi /usr/local/apache2/conf/extra/httpd-vhosts.conf

添加如下内容：

---------------------------

<VirtualHost *:443>

  DocumentRoot "/usr/local/apache2/htdocs/www.example.com/"

  ServerAlias http://www.example.com

  SSLEngine on

  SSLCertificateFile "/usr/local/apache2/conf/server.crt"

  SSLCertificateKeyFile "/usr/local/apache2/conf/server.key"

  SSLCACertificateFile "/usr/local/apache2/conf/ca.crt"

</VirtualHost>

----------------------------

# cd /usr/local/apache2/htdocs

# mkdir http://www.example.com

# cd http://www.example.com/

# echo "this is a test SSL web page" > index.html

3).启动服务:

# /usr/local/apache2/bin/apachectl start

4).查看SSL端口是否打开:

# lsof -i:443

---------------------------------

COMMAND    PID   USER   FD   TYPE  DEVICE SIZE/OFF NODE NAME

httpd   125366   root    6u  IPv6 6351523      0t0  TCP *:https (LISTEN)

httpd   125885 daemon    6u  IPv6 6351523      0t0  TCP *:https (LISTEN)

httpd   125886 daemon    6u  IPv6 6351523      0t0  TCP *:https (LISTEN)

httpd   125887 daemon    6u  IPv6 6351523      0t0  TCP *:https (LISTEN)

httpd   125946 daemon    6u  IPv6 6351523      0t0  TCP *:https (LISTEN)

---------------------------------

5).浏览器输入 https://www.example.com

注:需配置本机HOST文件

如图:

四.SSL双向认证配置:

1.为客户端生成一个证书:

# /usr/local/apache2/conf/ssl.ca-0.1

# ./new-user-cert.sh client1

-----------------------------------------

No client1.key round. Generating one

Generating RSA private key, 1024 bit long modulus

...........++++++

...++++++

e is 65537 (0x10001)

Fill in certificate data

You are about to be asked to enter information that will be incorporated

into your certificate request.

What you are about to enter is what is called a Distinguished Name or a DN.

There are quite a few fields but you can leave some blank

For some fields there will be a default value,

If you enter '.', the field will be left blank.

-----

Common Name (eg, John Doe) []:client1

Email Address []:info@example.com

You may now run ./sign-user-cert.sh to get it signed

-------------------------------------------

2.签署该证书:

# ./sign-user-cert.sh client1

--------------------------------------

CA signing: client1.csr -> client1.crt:

Using configuration from ca.config

Enter pass phrase for ./ca.key: （输入ca根认证密码）

Check that the request matches the signature

Signature ok

The Subject's Distinguished Name is as follows

commonName            :PRINTABLE:'client1'

emailAddress          :IA5STRING:'info@example.com'

Certificate is to be certified until Aug  8 08:41:51 2014 GMT (365 days)

Sign the certificate? [y/n]:y

1 out of 1 certificate requests certified, commit? [y/n]y

Write out database with 1 new entries

Data Base Updated

CA verifying: client1.crt <-> CA cert

client1.crt: OK

------------------------------------

3.将该客户端证书转换成浏览器可识别的.p12格式

# ./p12.sh client1

-------------------------------------

Enter Export Password: （输入ca根认证密码）

Verifying - Enter Export Password: (确认)

The certificate for client1 has been collected into a pkcs12 file.

You can download to your browser and import it.

--------------------------------------

# ll client1.p12

--------------------------------------

-rw-r--r-- 1 root root 2601 8月   8 16:44 client1.p12

--------------------------------------

4.将该p12文件分发给可信任的客户端，实现双向证书加密功能

注:此处将该文件传送到本机作为示例，实际线上可以利用程序实现证书认证下载

# sz client1.p12

5.配置https实现SSL虚拟主机双向加密

# vi /usr/local/apache2/conf/extra/httpd-vhosts.conf

添加如下内容：

----------------------------

<VirtualHost *:443>

   DocumentRoot "/usr/local/apache2/htdocs/www.example.com/"

   ServerAlias http://www.example.com

   SSLEngine on

   SSLCertificateFile "/usr/local/apache2/conf/server.crt"

   SSLCertificateKeyFile "/usr/local/apache2/conf/server.key"

   SSLCACertificateFile  "/usr/local/apache2/conf/ca.crt"

   SSLVerifyClient require

   SSLVerifyDepth 10

</VirtualHost>

----------------------------

6.测试结果

1).使用Chrome浏览器输入 https://www.example.com

未导入客户端证书，提示SSL连接出错

2).SO导入证书:

a.windows下运行该证书文件

b.进入证书导入向导，一路下一步即可完成操作

重新使用Chrome浏览器输入 https://www.example.com

提示

大功告成...

windows下环境配置相对较linux下简单,这里我们就开始干活...

操作系统:           Windows7_sp1_x64

WAMP:               WampServer Version 2.4

TOMCAT:             Apache-tomcat-7.0.50

jdk:                Jdk1.7.0_17

tomcat-connectors:  tomcat-connectors-1.2.37-windows-x86_64-httpd-2.4.x

注:这个tomcat-connectors是一个压缩包,解压后有一个mod_jk.so的模块,可以理解为是apache的一个扩展模块,作用其实和我们平时使用WAMP或LAMP平台加载PHP扩展模块是一个道理,就是tomcat-connectors作为一个接口,让apache可以识别jsp语言,实现web页面解析,平时我们通常使用apache-tomcat这个通用web服务开启8080端口实现jsp解析,这里等于是apache去调用tomcat8080端口实现apache80端口jsp解析

刚好朋友想实现jsp和php同目录混编,利用这种方法即可实现.

之前实现apache-tomcat与apache对接的老方法是利用apache的代理功能,将访问80端口的请求统一跳转到tomcat的8080端口上,算是一种解决方案,但能否实现jsp和php同目录混编,有待进一步考证.

一.安装WAMP

下载地址:

http://optimate.dl.sourceforge.net/project/wampserver/WampServer%202/Wampserver%202.4/Wampserver2.4-x64.exe

这个不用多讲了吧,各种无脑下一步,最后安装完毕,双击桌面的WampServer图标即可.

二.安装jdk和apache-tomcat

下载地址:

http://download.oracle.com/otn-pub/java/jdk/7u51-b13/jdk-7u51-windows-x64.exe

http://mirror.esocc.com/apache/tomcat/tomcat-7/v7.0.50/bin/apache-tomcat-7.0.50.exe

这里建议将apache-tomcat安装到wamp目录下

如图:

三.配置tomcat-connectors

1.下载匹配环境的tomcat-connectors,这里我们使用的是匹配apache2.4和win7_x64的版本

下载地址:

http://www.apache.org/dist/tomcat/tomcat-connectors/jk/binaries/windows/tomcat-connectors-1.2.37-windows-x86_64-httpd-2.4.x.zip

2.下载完毕,将压缩包内的mod_jk.so解压到wamp目录下apache的module目录中

如图:

3.进入Tomcat文件夹下的conf目录,创建workers.properties文件

内容如下：

--------------------------------------

workers.tomcat_home="E:\Program Files\wamp\tomcat"

workers.java_home="C:\Program Files\Java\jdk1.7.0_17"

worker.list=ajp13

worker.ajp13.port=8009

worker.ajp13.type=ajp13

worker.ajp13.host=localhost

worker.ajp13.lbfactor=1

--------------------------------------

注:workers.tomcat_home和workers.java_home分别为你的tomcat和jdk安装目录

4.配置tomcat的conf目录下的server.xml文件,修改tomcat默认根目录到WAMP的apache根目录

搜索"<Host"

将

-----------------------------------------------

<Host name="localhost"  appBase="webapps"

           unpackWARs="true" autoDeploy="true">

------------------------------------------------

改成

-----------------------------------------------

<Host name="localhost"  appBase="H:\MyProject"

           unpackWARs="true" autoDeploy="true">

------------------------------------------------

注:这里的"H:\MyProject"为我自定义的apache的DocumentRoot根目录,安装好默认目录在E:\Program Files\wamp\www下,这里请注意

并在该行下添加如下内容:

------------------------------------------------

<Context path="" docBase="H:\MyProject"></Context>

------------------------------------------------

5.配置apache主配置文件,加载mod_jk.so模块

注:确保之前将下载的JK包中的mod_jk.so解压到apache的module目录下

在E:\Program Files\wamp\bin\apache\Apache2.4.4\conf\http.conf中加入下面内容：

----------------------------------------------

LoadModule jk_module modules/mod_jk.so

JkWorkersFile "E:/Program Files/wamp/tomcat/conf/workers.properties"

JkLogFile "E:/Program Files/wamp/bin/apache/Apache2.4.4/logs/mod_jk.log"

JkMount /*.jsp ajp13

JkMount /servlet/* ajp13

JkLogLevel info

----------------------------------------------

6.重启tomcat与apache服务,测试jsp页面是否加载

在H:\MyProject下创建test.jsp文件，内容如下：

--------------------------------------

<%@ page contentType="text/html;charset=gb2312" %>

   <HTML>

     <HEAD><TITLE>JSP测试页面</TITLE></HEAD>

     <BODY><%out.println("<h1>Hello World! </h1>");%></BODY>

   </HTML>

---------------------------------------

打开浏览器,访问如下页面

http://localhost/test.jsp

http://localhost:8080/test.jsp

如图:

测试成功,说明apache调用tomcat进行jsp页面解析成功...

注:这里需要保证tomcat与apache同时开启

可以：

* 使用多域名SSL证书，可以实现一个IP，一个443端口上多个SSL虚拟主机；

* 一个ip，为所有SSL虚拟主机配置单独的端口。比如，默认的虚拟主机使用443，其他的使用8080或8081等，且每个SSL虚拟主机必须独占一个端口；

* 为Apache服务器配置多个IP，每个SSL虚拟主机独占IP。如果只有一张物理网卡，可以配置为网卡配置子接口；

* 使用mod_gnutls模块，创建多个SSL虚拟主机 

1. Apache中同一IP多个HTTPS虚拟主机的实现

在 Apache 文档中提到，不能在单个 IP 上同时有多个按名字识别的虚拟主机("named virtual host")。不完全是这样。

HTTPS协议的过程是：服务器首先与客户机之间进行服务器身份验证并协商安全会话，然后，客户端向服务器发送 HTTP 请求。这样一来，在客户端开始发送HTTP请求之前，服务器就已经把证书发给了客户端（客户端根据本地的根证书去验证证书链，等等）。而最重要的是，为了表明身份，这个证书的"Common Name"填写的应该是域名，否则浏览器会给出警告。

既然在这个过程中，客户端就所访问的域名所处的地位是"被告知"的地位，因此，客户端再发出的 Host: 请求头也就显得不那么有意义了。另一方面，如果客户请求的域名与Common Name不符，浏览器也会给出警告。至少，在表面上看是这样。

不过，对于自行签署的证书，以及一些发证机构而言，其实还可以签署一种普适HTTPS证书，这种证书的Common Name一栏是 *.domain.tld 这样的形式，即其主机名部分可以是任意字符串，而只有域名部分是确定的。
当然，这种证书的安全性有一定的负面影响：由于一个证书可以验证整个域下面的所有服务器，一旦其被破解，则所有加密通讯也就同时失密了（当然，可以每台服务器使用自己的单独的证书），不过这个问题并不是太严重，通常还算是尚可接受的范围。另一个潜在的影响是，某些手机上运行的浏览器不能正确处理这种证书，不过这个问题仅限于希望给手机提供服务的网站。

因此，简而言之，符合这样几个条件的前提下，是可以在同一个IP上部署多个HTTPS虚拟主机的：

a) 这些虚拟主机是同属于同一域名的子域名 

b) 拥有普适证书 

c) 正确地配置Apache。

如果要在一个IP地址上需要部署多个SSL网站，

（1）一种方法：如果要在同一个IP地址的443端口上部署多个网站，必须保证这些网站的域名都能匹配相同的一张SSL证书。这是因为SSL握手协议过程中,是通过IP+Port来进行通信，一个IP的一个端口只能返给客户一张SSL证书（即使有多张证书，也只能返回第一张，因为无法分辨用户会需要返回哪张证书），如果这张证书能够满足这些网站的主机名匹配要求（访问b.test.com时，使用a.test.com段的证书，证书中包含a.test.com,于虚拟主机中的主机名之一匹配），就可以使用。
一般能匹配多个主机名的证书有通配符证书*.domain.com和多域名证书(www.domain.com,ftp.domain.com 等)，以下我们提供一个典型同一个IP上的多主机名部署配置，www.domain.com对应的根目录在WWW下，ftp.domain.com对应的根目录在FTP下，

当然，这种证书的安全性有一定的负面影响：由于一个证书可以验证整个域下面的所有服务器，一旦其被破解，则所有加密通讯也就同时失密了（当然，可以每台服务器使用自己的单独的证书），不过这个问题并不是太严重，通常还算是尚可接受的范围。另一个潜在的影响是，某些手机上运行的浏览器不能正确处理这种证书，不过这个问题仅限于希望给手机提供服务的网站。

因此，简而言之，符合这样几个条件的前提下，是可以在同一个IP上部署多个HTTPS虚拟主机的：

a) 这些虚拟主机是同属于同一域名的子域名 

b) 拥有普适证书 

c) 正确地配置Apache。

如果要在一个IP地址上需要部署多个SSL网站，

（1）一种方法：如果要在同一个IP地址的443端口上部署多个网站，必须保证这些网站的域名都能匹配相同的一张SSL证书。这是因为SSL握手协议过程中,是通过IP+Port来进行通信，一个IP的一个端口只能返给客户一张SSL证书（即使有多张证书，也只能返回第一张，因为无法分辨用户会需要返回哪张证书），如果这张证书能够满足这些网站的主机名匹配要求（访问b.test.com时，使用a.test.com段的证书，证书中包含a.test.com,于虚拟主机中的主机名之一匹配），就可以使用。

一般能匹配多个主机名的证书有通配符证书*.domain.com和多域名证书(www.domain.com,ftp.domain.com 等)，以下我们提供一个典型同一个IP上的多主机名部署配置，www.domain.com对应的根目录在WWW下，ftp.domain.com对应的根目录在FTP下，http://www.domain.com与http://ftp.domain.com使用相同的证书：

NameVirtualHost 11.22.33.44:443

<VirtualHost 11.22.33.44:443>

DocumentRoot "C:/Apache2.2/htdocs/www"

ServerName http://www.domain.com

SSLEngine on

SSLCertificateFile "C:/Apache2.2/conf/server.cer"

SSLCertificateKeyFile "C:/Apache2.2/conf/server.key"

</VirtualHost>

<VirtualHost 11.22.33.44:443>

DocumentRoot "C:/Apache2.2/htdocs/ftp"

ServerName http://ftp.domain.com

SSLEngine on

SSLCertificateFile "C:/Apache2.2/conf/server.cer"

SSLCertificateKeyFile "C:/Apache2.2/conf/server.key"

</VirtualHost>

（2）另一种办法就是给每个网站分配不同的端口号；

<VirtualHost 11.22.33.44:443>

DocumentRoot "C:/Apache2.2/htdocs/www"

ServerName http://www.domain.com

SSLEngine on

SSLCertificateFile "C:/Apache2.2/conf/server.cer"

SSLCertificateKeyFile "C:/Apache2.2/conf/server.key"

</VirtualHost>

<VirtualHost 11.22.33.44:8443>

DocumentRoot "C:/Apache2.2/htdocs/ftp"

ServerName http://ftp.domain.com

SSLEngine on

SSLCertificateFile "C:/Apache2.2/conf/server.cer"

SSLCertificateKeyFile "C:/Apache2.2/conf/server.key"

</VirtualHost>

基于域名的虚拟主机只能使用同一个证书，或者说，即使有不同的证书，最终使用的都是排在前面的默认的第一个

2. Apache中一张网卡绑定不同IP实现多个HTTPS虚拟主机

一张网卡绑定多个ip，ifconfig eth0:0......

<VirtualHost 220.181.75.109:8443>

     ServerAdmin lala@corp.net.com

     DocumentRoot /home/lala/apache/htdocs/test

     ServerName a.test.com

     SSLEngine on

     SSLCipherSuite ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP:+eNULL

     SSLCertificateFile /home/lala/apache/conf/ssl.key/server.crt

     SSLCertificateKeyFile /home/lala/apache/conf/ssl.key/server.key

     #Include /home/lala/apache/conf/ssl.conf

     #ErrorLog logs/dummy-a.test.com-error_log

     #CustomLog logs/a.test.com-access_log common

</VirtualHost>

<VirtualHost 220.181.75.65:8443>

     ServerAdmin lala@corp.net.com

     DocumentRoot /home/lala/apache/htdocs/test2

     ServerName d.test.com

     SSLEngine on

     SSLCipherSuite ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP:+eNULL

     SSLCertificateFile /home/lala/apache/conf/ssl.key/server2.crt

     SSLCertificateKeyFile /home/lala/apache/conf/ssl.key/server2.key

     #Include /home/lala/apache/conf/ssl.conf

     #ErrorLog logs/dummy-a.test.com-error_log

     #CustomLog logs/a.test.com-access_log common

</VirtualHost>

------------------------------------

<VirtualHost *:80>

    DocumentRoot "/usr/local/www/www.abc.com.cn/"

    ServerAlias 1.1.1.1

    <Location />

    Order Deny,Allow

    Deny from all

    </Location>

</VirtualHost>

-------------------------------------

Apache自带的ab压力测试工具好，安装使用也特别方便。

1、适用系统：Linux

2、编译安装：

# wget http://blog.s135.com/soft/linux/webbench/webbench-1.5.tar.gz

# tar zxvf webbench-1.5.tar.gz

# cd webbench-1.5

# make && make install

3、使用：

# webbench -c 500 -t 30 http://127.0.0.1/test.jpg

参数说明：-c表示并发数，-t表示时间(秒)

4、测试结果示例：

Webbench - Simple Web Benchmark 1.5

Copyright (c) Radim Kolar 1997-2004, GPL Open Source Software.

Benchmarking: GET http://127.0.0.1/test.jpg

500 clients, running 30 sec.

Speed=3230 pages/min, 11614212 bytes/sec.

Requests: 1615 susceed, 0 failed.

APACHE版本:apache2.42(编译安装)

1.配置Limit模块

#wget http://dominia.org/djao/limit/mod_limitipconn-0.24.tar.bz2

安装:

#tar jxvf mod_limitipconn-0.24.tar.bz2

#cd mod_limitipconn-0.24

#vi Makefile

找到APXS这行,改成

APXS=/usr/local/apache2/bin/apxs

#make && make install

全局变量范例:

< IfModule mod_limitipconn.c >

< Location / >    # 所有虚拟主机的/目录

MaxConnPerIP 3      # 每IP只允许3个并发连接

NoIPLimit image/*   # 对图片不做IP限制

< /Location >

< Location /mp3 >   # 所有主机的/mp3目录

MaxConnPerIP 1          # 每IP只允许一个连接请求

OnlyIPLimit audio/mpeg video     # 该限制只对视频和音频格式的文件

< /Location >

< /IfModule >

# vi /usr/local/apache2/conf/httpd.conf

--------------------

ExtendedStatus On  

LoadModule limitipconn_module modules/mod_limitipconn.so

<IfModule mod_limitipconn.c> 

<Location />

MaxConnPerIP 6

NoIPLimit image/* 

</Location>

</IfModule> 

-------------------

2、配置webbench对网站进行压力测试：

#wget http://blog.s135.com/soft/linux/webbench/webbench-1.5.tar.gz

#tar zxvf webbench-1.5.tar.gz

#cd webbench-1.5

#make && make install

3、使用：

webbench -c 500 -t 30 http://127.0.0.1/

参数说明：-c表示并发数，-t表示时间(秒)

4、测试结果示例：

Webbench - Simple Web Benchmark 1.5

Copyright (c) Radim Kolar 1997-2004, GPL Open Source Software.

Benchmarking: GET http://127.0.0.1/

500 clients, running 30 sec.

Speed=3230 pages/min, 11614212 bytes/sec.

Requests: 1615 susceed, 0 failed.

Apache:   http-2.4.2

代理端，web服务器（192.168.7.12）：

# mkdir /usr/local/apache2/htdocs/files.abc.cn/

首先将在主配置文件http.conf下Module的注释去掉 

# vi /usr/local/apache2/conf/http.conf

找到以下3行，去掉#注释

-----------------

LoadModule proxy_module modules/mod_proxy.so 

LoadModule proxy_http_module modules/mod_proxy_http.so 

Include conf/extra/httpd-vhosts.conf 

-----------------

进入虚拟主机配置：

# vi /usr/local/apache2/conf/extra/httpd-vhosts.conf

<VirtualHost *:80>

    DocumentRoot "/usr/local/apache2/htdocs/files.abc.cn/"

    ServerAlias files.abc.cn

    proxypass /    http://192.168.7.11/

</VirtualHost>

被代理端，文件服务器（192.168.7.11）：

# vi /usr/local/apache2/conf/http.conf

找到下行，去掉#注释

-----------------

Include conf/extra/httpd-vhosts.conf

-----------------

进入虚拟主机配置：

# mkdir /usr/local/apache2/htdocs/files.abc.cn/

# vi /usr/local/apache2/conf/extra/httpd-vhosts.conf

-----------------

<VirtualHost *:80>

    DocumentRoot "/usr/local/apache2/htdocs/files.abc.cn/"

    ServerAlias 192.168.7.11

</VirtualHost>

-----------------

配置完毕

这样客户端浏览器访问域名http://files.abc.cn

通过http代理，即可访问到192.168.7.11上的资源

从而实现网站资源异步存储访问，缓解主服务器访问压力。

Apache 2.X  支持插入式并行处理模块，称为多路处理模块（MPM）。在编译apache时必须选择也只能选择一个MPM，对类UNIX系统，有几个不同的MPM可供选择，它们会影响到apache的速度和可伸缩性。

Prefork MPM : 这个多路处理模块(MPM)实现了一个非线程型的、预派生的web服务器，它的工作方式类似于Apache 1.3。它适合于没有线程安全库，需要避免线程兼容性问题的系统。它是要求将每个请求相互独立的情况下最好的MPM，这样若一个请求出现问题就不会影响到其他请求。

这个MPM具有很强的自我调节能力，只需要很少的配置指令调整。最重要的是将MaxClients设置为一个足够大的数值以处理潜在的请求高峰，同时又不能太大，以致需要使用的内存超出物理内存的大小。

Worker MPM : 此多路处理模块(MPM)使网络服务器支持混合的多线程多进程。由于使用线程来处理请求，所以可以处理海量请求，而系统资源的开销小于基于进程的MPM。但是，它也使用了多进程，每个进程又有多个线程，以获得基于进程的MPM的稳定性。

每个进程可以拥有的线程数量是固定的。服务器会根据负载情况增加或减少进程数量。一个单独的控制进程(父进程)负责子进程的建立。每个子进程可以建立ThreadsPerChild数量的服务线程和一个监听线程，该监听线程监听接入请求并将其传递给服务线程处理和应答。

不管是Worker模式或是Prefork 模式，Apache总是试图保持一些备用的(spare)或者是空闲的子进程（空闲的服务线程池）用于迎接即将到来的请求。这样客户端就不需要在得到服务前等候子进程的产生。

Event MPM：以上两种稳定的MPM方式在非常繁忙的服务器应用下都有些不足。尽管HTTP的Keepalive方式能减少TCP连接数量和网络负载，但是 Keepalive需要和服务进程或者线程绑定，这就导致一个繁忙的服务器会耗光所有的线程。 Event MPM是解决这个问题的一种新模型，它把服务进程从连接中分离出来。在服务器处理速度很快，同时具有非常高的点击率时，可用的线程数量就是关键的资源限 制，此时Event MPM方式是最有效的。一个以Worker MPM方式工作的繁忙服务器能够承受每秒好几万次的访问量（例如在大型新闻服务站点的高峰时），而Event MPM可以用来处理更高负载。值得注意的是，Event MPM不能在安全HTTP（HTTPS）访问下工作。

对于Event 模式，apache给出了以下警告：

This MPM is experimental, so it may or may not work as expected .

这种MPM目前处于试验状态，他可能不能按照预期的那样工作。

简单来讲：

1. prefork 中没有线程的概念，是多进程模型，一个进程处理一个连接；稳定；响应快。其缺点是在连接数比较大时就非常消耗内存。

2. worker 是多进程多线程模型，一个进程有多个线程，每个线程处理一个连接。与prefork相比，worker模式更节省系统的内存资源。不过，需要注意worker模式下的Apache与php等程序模块的兼容性。

3. event 是worker模式的变种，它把服务进程从连接中分离出来,在开启KeepAlive场合下相对worker模式能够承受的了更高的并发负载。event模式不能很好的支持https的访问（HTTP认证相关的问题）。

一.打开 Apache Server Status

如果你的Apache配置文件httpd.conf或者extra/httpd-info.conf中有LoadModule status_module modules/mod_status.so话，说明你的Apache已经加载了此模块；或者编译的时候加上了–enable-module=so也表明服务器支持server-status。

如果Apache没有加载这个模块，如果是linux服务器，就得重新编译Apache，加上–enable-module=so参数即可；如果你是windows系统的话，无需任何编译，只要把刚才时候说的LoadModule status_module modules/mod_status.so这句加上，如果前面有带#号，开启的话，需要将#去除。

二.配置 Apache Server Status

# vi /usr/local/apache2/conf/httpd.conf

末行添加：

------------

ExtendedStatus On

<location /server-status>

    SetHandler server-status

    Order Allow,Deny

    Allow from all

</location>

------------

重启服务：

# /usr/local/apache2/bin/apachectl restart

三.访问状态页面

这里后面添加?refresh=5表示每隔5秒刷新一次页面，不加也可以

浏览器访问 http://192.168.7.196/server-status?refresh=5

如图：

研究完毕并线上测试成功，这里刚好在之前的基础上修改后分享给大家，也算是不用在apache装perl模块的一种补救方案，效果还不错。

系统环境：centOS6.3

Apache: httpd-2.4.4

配置：

# wget http://sourceforge.net/projects/awstats/files/AWStats/7.1.1/awstats-7.1.1.tar.gz/download

# tar -zxvf awstats-7.1.1.tar.gz -C /usr/local/

# cd  /usr/local/

# mv awstats-7.1.1 awstats

# cd  awstats/tools/

# perl  awstats_configure.pl

------------------------------

Need to create a new config file ?

Do you want me to build a new AWStats config/profile

file (required if first install) [y/N] ? y

What is the name of your web site or profile analysis ?

Example: http://www.mysite.com

Example: demo

Your web site, virtual server or profile name:

> http://www.abc.com.cn

----------------------

一路默认回车即可完成awstats配置文件向导，该配置文件保存在/etc/awstats/下

注：该配置向导会在apache主配置文件末尾添加几处awstats配置内容，参照本博文配置的同学建议直接删除，以免引起页面无法访问

# vi  /etc/awstats/awstats.www.abc.com.cn.conf

修改如下几处配置

-------------

LogFile="/usr/local/apache2/logs/access_log"

#apache若建立分段日志见修改如下

LogFile="/usr/local/apache2/logs/www.abc.com.cn-%YYYY_%MM_%DD.access_log"

LogType=W

LogFormat=1

#此处log目录必须具有写入权限

DirData="/usr/local/apache2/htdocs/www.abc.com.cn/awstats/log"

AllowToUpdateStatsFromBrowser=1

#显示简体中文页面

Lang="cn"

------------

相应的apache分段日志配置：

# vi /usr/local/apache2/conf/httpd.conf

去掉注释#

Include conf/extra/httpd-vhosts.conf

# vi /usr/local/apache2/conf/extra//httpd-vhosts.conf

-------------

<VirtualHost *:80>

   DocumentRoot "/usr/local/apache2/htdocs/www.abc.com.cn"

   ServerName http://www.abc.com.cn

   CustomLog "|/usr/local/apache2/bin/rotatelogs /usr/local/apache2/logs/www.abc.com.cn-%Y_%m_%d.access_log 86400 480" combined

   ErrorLog "|/usr/local/apache2/bin/rotatelogs /usr/local/apache2/logs/www.abc.com.cn-%Y_%m_%d.error_log 86400 480"

</VirtualHost>

-------------

创建Web方式查看流量的虚拟目录 http://www.abc.com.cn ,拷贝显示网页需要的图形工具（icon、css等）

# mkdir -p /usr/local/apache2/htdocs/www.abc.com.cn/awstats

# cd /usr/local/apache2/htdocs/www.abc.com.cn/awstats/

# mkdir log/ && chmod -R 777 log

# cd  /usr/local/awstats/wwwroot/

# cp -R  icon  /usr/local/apache2/htdocs/www.abc.com.cn/awstats

# cp -R  css  /usr/local/apache2/htdocs/www.abc.com.cn/awstats

# cp -R  classes  /usr/local/apache2/htdocs/www.abc.com.cn/awstats

# cp -R  js  /usr/local/apache2/htdocs/www.abc.com.cn/awstats

# cd /usr/local/apache2/htdocs/www.abc.com.cn/awstats/

# chmod -R 755 icon css classes js

添加计划任务脚本及内容,使crond每分钟执行一次脚本文件来刷新awstats web页面：

# vi /etc/rc.d/awstats.sh

版本一（只能生成一级链接日志分析）

-------------

#/bin/bash

PERL=/usr/bin/perl

awstats=/usr/local/awstats/wwwroot/cgi-bin/awstats.pl

$PERL $awstats -update -config=www.abc.com.cn

$PERL $awstats -config=www.abc.com.cn -output -staticlinks > /usr/local/apache2/htdocs/www.abc.com.cn/awstats/index.html

-------------

版本二（生成多级链接日志分析，推荐）

---------------

#/bin/bash

########################################

PERL=/usr/bin/perl

awstats=/usr/local/awstats/wwwroot/cgi-bin/awstats.pl

hostdir=/usr/local/apache2/htdocs/www.abc.com.cn/awstats

buildstaticpages=/usr/local/awstats/tools/awstats_buildstaticpages.pl

########################################

$buildstaticpages -update -config=www.abc.com.cn -lang=cn -dir=$hostdir -awstatsprog=$awstats

---------------

加入系统计划任务

# crontab -e

-------------

* * * * * /bin/sh /etc/rc.d/awstats.sh

-------------

awstats默认主页为awstats.www.abc.com.cn.html,方便web登录的话可以加一个index.html的软链接

# sh /etc/rc.d/awstats.sh

# cd /usr/local/apache2/htdocs/www.abc.com.cn/awstats

# ln -s awstats.www.abc.com.cn.html index.html

重启计划任务

# service crond restart

添加apache目录访问认证功能

# mkdir /usr/local/apache2/passwd/

# touch /usr/local/apache2/passwd/passwords

加密认证目录

# /usr/local/apache2/bin/htpasswd -cb /usr/local/apache2/passwd/passwords awstats 123456

返回错误提示

-------------

/usr/local/apache2/bin/httpd: error while loading shared libraries: libexpat.so.0: cannot open shared object file: No such file or directory

-------------

使用ldd查看httpd的依赖库信息

# ldd httpd

       linux-vdso.so.1 =>  (0x00007ffffcdff000)

       libpcre.so.1 => /usr/local/pcre/lib/libpcre.so.1 (0x00007fa43177b000)

       libaprutil-1.so.0 => /usr/lib64/libaprutil-1.so.0 (0x00007fa431543000)

  libexpat.so.0 => not found

       libapr-1.so.0 => /usr/lib64/libapr-1.so.0 (0x00007fa4310f0000)

       librt.so.1 => /lib64/librt.so.1 (0x0000003665c00000)

       libcrypt.so.1 => /lib64/libcrypt.so.1 (0x0000003671c00000)

       libpthread.so.0 => /lib64/libpthread.so.0 (0x0000003665000000)

       libc.so.6 => /lib64/libc.so.6 (0x0000003664c00000)

       libuuid.so.1 => /lib64/libuuid.so.1 (0x000000366c400000)

       libexpat.so.1 => /lib64/libexpat.so.1 (0x0000003669000000)

       libdb-4.7.so => /lib64/libdb-4.7.so (0x0000003667800000)

       /lib64/ld-linux-x86-64.so.2 (0x0000003664400000)

       libfreebl3.so => /lib64/libfreebl3.so (0x0000003672400000)

       libdl.so.2 => /lib64/libdl.so.2 (0x0000003664800000)

查找该库文件

# find / -name libexpat.so.0

返回 /usr/local/apache2/lib/libexpat.so.0

复制该库文件到apache默认库路径

# cp /usr/local/apache2/lib/libexpat.so.0 /usr/lib64/

重新查看依赖库

# ldd httpd

       linux-vdso.so.1 =>  (0x00007ffffcdff000)

       libpcre.so.1 => /usr/local/pcre/lib/libpcre.so.1 (0x00007fa43177b000)

       libaprutil-1.so.0 => /usr/lib64/libaprutil-1.so.0 (0x00007fa431543000)

libexpat.so.0 => /usr/lib64/libexpat.so.0 (0x00007fa43131c000)

       libapr-1.so.0 => /usr/lib64/libapr-1.so.0 (0x00007fa4310f0000)

       librt.so.1 => /lib64/librt.so.1 (0x0000003665c00000)

       libcrypt.so.1 => /lib64/libcrypt.so.1 (0x0000003671c00000)

       libpthread.so.0 => /lib64/libpthread.so.0 (0x0000003665000000)

       libc.so.6 => /lib64/libc.so.6 (0x0000003664c00000)

       libuuid.so.1 => /lib64/libuuid.so.1 (0x000000366c400000)

       libexpat.so.1 => /lib64/libexpat.so.1 (0x0000003669000000)

       libdb-4.7.so => /lib64/libdb-4.7.so (0x0000003667800000)

       /lib64/ld-linux-x86-64.so.2 (0x0000003664400000)

       libfreebl3.so => /lib64/libfreebl3.so (0x0000003672400000)

       libdl.so.2 => /lib64/libdl.so.2 (0x0000003664800000)

重新加密认证目录

# /usr/local/apache2/bin/htpasswd -cb /usr/local/apache2/passwd/passwords awstats 123456

注：此处若不加b参数，自行暗文添加认证密码，在访问认证页面后会无法通过，起初以为自己是不是输入密码的时候手误，google查了下，老外的意思说是apache2.4.4版本的BUG，解决办法只能换apache版本，或者加b参数直接明文添加密码，非2.4.4版本的apache可以无视。

# vi /usr/local/apache2/conf/httpd.conf

末尾添加：

注：添加Alias链接，防止awstats页面暴图：

-----------------

Alias /awstatscss " /usr/local/apache2/htdocs/www.abc.com.cn/awstats/css/"

Alias /awstatsicons " /usr/local/apache2/htdocs/www.abc.com.cn/awstats/icon/"

Alias /awstatsclasses "/usr/local/apache2/htdocs/www.abc.com.cn/awstats/classes/"

<Directory "/usr/local/apache2/htdocs/www.abc.com.cn/awstats/">

 AuthType Basic

 AuthName "Awstats"

 AuthUserFile /usr/local/apache2/passwd/passwords

 Require user awstats

</Directory>

-----------------

重启apache

# /usr/local/apache2/bin/apachectl restart

Web查看awstats流量监控.

注：windows访问需修改主机Hosts文件

浏览器地址栏输入http://www.abc.com.cn/awstats

日志分析主页如图:

大功告成。。。。。