Tag: ssl

Byeๆ TLS1.0 TLS1.1
ใช้ Firefox beta อยู่เลยจะได้รับ Feature อะไรใหม่ๆ อยู่เรื่อยๆ จนเมื่อ beta 73 กว่าๆ เริ่มเข้าเว็บบางเว็บในมหาวิทยาลัยไม่ได้ จะปรากฏหน้าดังนี้

เว็บสามัญประจำบ้านแห่งหนึ่ง

อ่านดูถึงได้รู้ว่าออ เค้าจะเลิก TLS1.0 และ TLS1.1 แล้วจริงประกาศไว้นานละว่าจะเลิกปีนี้!! สำหรับ Firefox จะเลิกในรุ่น 74 และ Chrome น่าจะรุ่น 81 ส่วน Microsoft และ Safari ก็จะปิดในครึ่งปีแรก ในปีนี้เช่นกัน

https://www.techtalkthai.com/old-tls-protocol-has-been-dropped-by-all-major-browsers-in-2020/

เอ้าเลยเช็คเว็บตัวเองสักหน่อยเริ่มจาก ทดสอบกับเว็บที่เคยได้ A+ ผลเป็นดังรูป

ม่ายยย

อัยย่ะละก๊ะ…. เหลือ B เพราะเปิด TLS1.0 และ TLS1.1 เอาไว้ ปิดให้ไว

วิธีการคือ (สำหรับ Apache2)

แก้ไขแฟ้ม /etc/apache/mod-enabled/ssl.conf หาข้อความว่า
```
 SSLProtocol All -SSLv3
```
(บางคนอาจจะมี -SSLv2 ด้วยแต่ apache2 ไม่สนับสนุน SSLv2 โดยปริยาย (default) แล้ว) เปลี่ยนข้อความข้างต้นเป็น
```
SSLProtocol All -SSLv3 -TLSv1 -TLSv1.1
```
บันทึกแล้ว restart apache ให้เรียบร้อย เมื่อไปตรวจใหม่ได้ผลตามภาพ

เย่ กลับมา A+ แล้ว จบขอให้สนุก

เกี่ยวข้อง

https://sysadmin.psu.ac.th/hardening-your-http-response-headers/

https://sysadmin.psu.ac.th/เปลี่ยน-certificate/
February 14, 2020
วิธีตั้งค่า HTTPS บน Apache2 รุ่นที่สูงกว่า 2.4.8
จากบทความ การแก้ไข Certificate สำหรับ Apache Web Server (Ubuntu 14.04 LTS) ตอนนี้ Apache2 รุ่นที่สูงกว่า 2.4.8 ประกาศให้ SSLCertificateChainFile นั้น obsolete หรือ จะไม่ใช้อีกต่อไป

จากเดิม เราเคยใช้
```
SSLCertificateFile /etc/apache2/cer/[cer-file-name].crt
SSLCertificateKeyFile /etc/apache2/cer/[cer-file-name].key
SSLCertificateChainFile /etc/apache2/cer/[cer-file-name].ca-bundle
```
ต่อไปนี้ แนะนำให้ใช้แค่
```
SSLCertificateFile /etc/apache2/cer/[cer-file-name]_combined.crt
SSLCertificateKeyFile /etc/apache2/cer/[cer-file-name].key
```
แล้ว
```
/etc/apache2/cer/[cer-file-name]_combined.crt
```
มาจากไหน ??? มันมากจากการเอาไฟล์ [cer-file-name].crt แล้วต่อท้ายด้วยไฟล์ [cer-file-name].ca-bundle ด้วยคำสั่ง
```
cat [cer-file-name].crt [cer-file-name].ca-bundle > [cer-file-name]_combined.crt
```
เช่น
```
cat in_psu.crt intermediate_ca.crt > in_psu_combined.crt
```
เป็นต้น เสร็จแล้ว ก็ Restart Apache — จบแค่นี้ ใช้งานได้

TL;DR

Q: มีไฟล์ .crt เต็มไปหมด จะรู้ได้ไงว่า อันไหนคือ Certificate ของอะไร อย่างไร

A: สมมุติ Certificate ของ Server ที่ได้มา ชื่อ server.crt ต้องใช้คำสั่งนี้ ดูรายละเอียด
```
openssl x509 -in server.crt -text
```
ผลที่ได้ จะประมาณนี้

สิ่งสำคัญที่ควรดู ในที่นี้คือ Issuer จะเห็นว่า CN หรือ common name คือ AlphaSSL CA – SHA256 – G2 และบรรทัด Subject จะบอกว่า Domain (*.xxxxx.psu.ac.th) ที่ลงทะเบียนไว้ อยู่ภายใต้ “AlphaSSL CA” อีกที

ซึ่ง ถ้าไปดูใน /etc/ssl/certs ก็จะเห็นว่า ไม่มี CA Certificate ของ “AlphaSSL CA” นี้อยู่ แต่จะมีของ “GlobalSign Root CA” อยู่

ทำไมเป็นอย่างนั้น ??? เพราะ CA เค้าต้องรักษา Root Certificate ของตนเองไว้ให้ดี จึงออกสิ่งที่เรียกว่า Intermediate CA ขึ้นมาอีกชั้นหนึ่ง แล้วแจกจ่ายให้กับผู้ที่ซื้อ Certificate ของเค้าอีกชั้นหนึ่ง

คราวนี้ มาลองดูข้อมูลใน intermediate_ca.crt ว่ามีข้อมูลเป็นอย่างไร ด้วยคำสั่ง
```
openssl x509 -in intermediate_ca.crt -text
```
จะเห็นได้ว่า Issuer เป็น “GlobalSign Root CA” และ Subject เป็น “AlphaSSL CA”

จากเดิม Apache2 รุ่น < 2.4.8 ให้ใช้ Directive “SSLCertificateChainFile” ในการกำหนด Intermediate CA ได้ แต่หลังจากนั้น ก็ให้ Obsolete เพราะ สามารถเอา 2 ไฟล์มาต่อกันได้ตามที่เขียนไว้ข้างต้น

ในทางปฏิบัติ จริง ๆ แล้ว ก็ยังใช้ได้อยู่ แต่เป็น Obsolete ทางที่ดี ก็ควรจะปรับปรุงตามที่แนะนำไว้จะดีกว่า

และ ถ้าใช้งานแค่ SSLCertificateFile (แบบที่มีแต่ Server Certificate) และ SSLCertificateKey (Server Private Key) นั้น เมื่อ Restart apache2 แล้ว ทดสอบใช้งานกับ Web Browser ส่วนใหญ่ จะใช้งานได้ ไม่ต้องอ้าง Intermediate CA ก็ได้ *** เพราะใน Web Browser ได้ติดตั้ง Intermediate CA พวกนี้ไว้เป็นส่วนใหญ่แล้ *** แต่ถ้าลองเรียกผ่าน curl หรือบริการอื่น ๆ เช่น จาก Google DialogFlow Fulfillment ก็จะเรียกไม่ผ่าน เพราะในระบบเค้าไม่ได้ใส่ Intermediate CA ไว้นั่นเอง

การที่ Combined ทั้ง Server Certificate และ Intermediate CA ไว้ในไฟล์เดียวกัน ทำให้มั่นใจได้ว่า สามารถใช้งาน https ได้จากทุก Platform นั่นเอง

หวังว่าจะเป็นประโยชน์ครับ
October 12, 2018
Configuration of TCP/IP with SSL and TLS for Database Connections
สิ่งที่ต้องเตรียม
1. Oracle Database Server ในตัวอย่างนี้ใช้ Oracle database บน Oracle Enterprise Linux 7
2. Oracle Database Client ในตัวอย่างใช้ Windows Server 2008 R2
เริ่ม
- ฝั่ง Server
- เข้าระบบด้วยบัญชีผู้ใช้ oracle หรือบัญชีที่เป็นเจ้าของ Oracle Database
- เปิด terminal สร้าง Oracle Wallet ด้วยคำสั่ง
  - mkdir -p /u01/app/oracle/wallet
- ต่อด้วย
  - orapki wallet create -wallet "/u01/app/oracle/wallet" -pwd WalletPasswd123 -auto_login_local
  - โดย -pwd WalletPasswd123 ตัว WalletPasswd123 คือรหัสผ่านที่ใช้ป้องกันการเข้าถึงข้อมูลต่างๆ ใน wallet กฎการตั้งมีอยู่คือ ยาวอย่างน้อย 8 ตัวอักษร ไม่จำกัดความยาว จำเป็นต้องตั้งให้ตัวเลขผสมตัวอักษร
- สร้าง Certificate และใส่เข้าไปใน wallet ด้วยคำสั่ง
  - orapki wallet add -wallet "/u01/app/oracle/wallet" -pwd WalletPasswd123 \
    -dn "CN=`hostname`" -keysize 1024 -self_signed -validity 3650
- ตรวจสอบด้วยคำสั่ง
  - orapki wallet display -wallet "/u01/app/oracle/wallet" -pwd WalletPasswd123
- ได้ผลลัพธ์ประมาณ
  - Oracle PKI Tool : Version 12.1.0.2
    Copyright (c) 2004, 2014, Oracle and/or its affiliates. All rights reserved.
    
    Requested Certificates:
    User Certificates:
    Subject: CN=reis.psu.ac.th
    Trusted Certificates:
    Subject: CN=reis.psu.ac.th
- Export Certificate เพื่อนำไปใช้กับเครื่อง Oracle Client ด้วยคำสั่ง
  - orapki wallet export -wallet "/u01/app/oracle/wallet" -pwd WalletPasswd123 \
    -dn "CN=`hostname`" -cert /tmp/server-certificate.crt
- ตรวจสอบแฟ้มที่ export ไปด้วยคำสั่ง
  - cat /tmp/server-certificate.crt
- ได้ผลลัพธ์ประมาณว่า
  - -----BEGIN CERTIFICATE-----
    MIIBoTCCAQoCAQAwDQYJKoZIhvcNAQEEBQAwGTEXMBUGA1UEAxMOcmVpcy5wc3UuYWMudGgwHhcN
    MTgwMTA5MDcyNTA2WhcNMjgwMTA3MDcyNTA2WjAZMRcwFQYDVQQDEw5yZWlzLnBzdS5hYy50aDCB
    nzANBgkqhkiG9w0BAQEFAAOBjQAwgYkCgYEAj4x2/NviDaTlXuEJt0kZARY5fHiT2SiVX+a18hai
    I0stoUhKKefjOCgB85iuqjIk0rvcGXI0KXkbenTy2t40A+qGxB04mBhCLKaKeIe67BZKR6Zyw1dd
    oaesoaWChC01b+IW1X5WWtC53UxpIZQ4Zktj41sLGUnarIr9+9HFwncCAwEAATANBgkqhkiG9w0B
    AQQFAAOBgQAqSCF2Y8uyM4rSQHUC8MKEl3Ia3NJKnigMOUzDc2fP7grSaoeuQ4NvIntTD+s+IT5Y
    EpLVND4kSHFTwGRq0Py/ig8ybXZCXfHtvNZh7ZGziL/sYt5/8xYi/tOBKwVanBTUaseKIMovtmd7
    UyoOKrX8YBoFsB3UPRLudmFsksXRXw==
    -----END CERTIFICATE-----
- ฝั่ง Client
- เข้าระบบด้วยบัญชีผู้ใช้ administrator
- เปิด cmd แล้วสร้าง wallet ด้วยคำสั่ง
  - mkdir c:\app\oracle\wallet
สร้าง Certificate ด้วยคำสั่ง
- - orapki wallet add -wallet "c:\app\oracle\wallet" -pwd WalletPasswd123 -dn "CN=%computername%" -keysize 1024 -self_signed -validity 3650
  - โดย WalletPasswd123 คือพาสเวิร์ดที่ใช้ล็อค wallet ไม่จำเป็นต้องเหมือนกับของ Server
- ตรวจสอบด้วยคำสั่ง
  - orapki wallet display -wallet "c:\app\oracle\wallet" -pwd WalletPasswd123
- ได้ผลลัพธ์ประมาณว่า
  - Oracle PKI Tool : Version 12.2.0.1.0 Copyright (c) 2004, 2016, Oracle and/or its affiliates. All rights reserved.
    
    Requested Certificates:
    User Certificates:
    Subject: CN=ENERAZAN
    Trusted Certificates:
    Subject: CN=ENERAZAN
- Export Certificate เพื่อนำไปใช้กับเครื่อง Oracle Database Server ด้วยคำสั่ง
  - orapki wallet export -wallet "c:\app\oracle\wallet" -pwd WalletPasswd123 -dn "CN=%computername%" -cert c:\client-certificate.crt
- ตรวจสอบแฟ้มที่ export ไปด้วยคำสั่ง
  - more c:\client-certificate.crt
- ได้ผลลัพธ์ประมาณว่า
  - -----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
- ทำการส่งไฟล์ certificate แลกกันระหว่าง Server กับ Client โดยใช้วิธีการที่ชื่นชอบของแต่คน เมื่อแลกไฟล์กันเสร็จแล้ว
- ฝั่ง Server import certificate ด้วยคำสั่ง
  - orapki wallet add -wallet "/u01/app/oracle/wallet" -pwd WalletPasswd123 \ -trusted_cert -cert /tmp/client-certificate.crt
- สามารถตรวจสอบด้วยคำสั่ง
  - orapki wallet display -wallet "/u01/app/oracle/wallet" -pwd WalletPasswd123
- ได้ผลลัพธ์ประมาณ
  - Oracle PKI Tool : Version 12.1.0.2 Copyright (c) 2004, 2014, Oracle and/or its affiliates. All rights reserved.
    
    Requested Certificates:
    User Certificates:
    Subject: CN=reis.psu.ac.th
    Trusted Certificates:
    Subject: CN=ENERAZAN
    Subject: CN=reis.psu.ac.th
- ฝั่ง Client import certificatae ด้วยคำสั่ง
  - orapki wallet add -wallet "c:\app\oracle\wallet" -pwd WalletPasswd123 -trusted_cert -cert c:\server-certificate.crt
- สามารถตรวจสอบด้วยคำสั่ง
  - orapki wallet display -wallet “c:\app\oracle\wallet” -pwd WalletPasswd123
- ได้ผลลัพธ์ประมาณว่า
  - Oracle PKI Tool : Version 12.2.0.1.0 Copyright (c) 2004, 2016, Oracle and/or its affiliates. All rights reserved.
    
    Requested Certificates:
    User Certificates:
    Subject: CN=ENERAZAN
    Trusted Certificates:
    Subject: CN=reis.psu.ac.th
    Subject: CN=ENERAZAN
- ฝั่ง Server แก้ไขแฟ้ม $ORACLE_HOME/network/admin/sqlnet.ora ด้วย editor ที่ชื่นชอบ
  - เพิ่มคำสั่งต่อไปนี้
  - WALLET_LOCATION = (SOURCE = (METHOD = FILE) (METHOD_DATA = (DIRECTORY = /u01/app/oracle/wallet) ) )
    
    SQLNET.AUTHENTICATION_SERVICES = (TCPS,NTS,BEQ)
    SSL_CLIENT_AUTHENTICATION = FALSE
    SSL_CIPHER_SUITES = (SSL_RSA_WITH_AES_256_CBC_SHA, SSL_RSA_WITH_3DES_EDE_CBC_SHA)
แก้ไขแฟ้ม $ORACLE_HOME/network/admin/listener.ora
- - เพิ่มข้อความส่วนที่เป็นตัวหนาตามตำแหน่งต่อไปนี้
  - LISTENER = (DESCRIPTION_LIST = (DESCRIPTION = (ADDRESS = (PROTOCOL = TCP)(HOST = reis.psu.ac.th)(PORT = 1521)) (ADDRESS = (PROTOCOL = IPC)(KEY = EXTPROC1521)) (ADDRESS = (PROTOCOL = TCPS)(HOST = reis.psu.ac.th)(PORT = 2484)) ) )
    
    SSL_CLIENT_AUTHENTICATION = FALSE
    
    WALLET_LOCATION =
    (SOURCE =
    (METHOD = FILE)
    (METHOD_DATA =
    (DIRECTORY = /u01/app/oracle/wallet)
    )
    )
- restart listener ด้วยคำสั่ง
  - lsnrctl stop
  - lsnrctl start
- ฝั่ง Client แก้ไขแฟ้ม C:\app\client\Administrator\product\12.2.0\client_1\network\admin\sqlnet.ora โดยเพิ่มข้อความต่อไปนี้
  - WALLET_LOCATION = (SOURCE = (METHOD = FILE) (METHOD_DATA = (DIRECTORY = c:\app\oracle\wallet) ) )
    
    SQLNET.AUTHENTICATION_SERVICES = (TCPS,NTS)
    SSL_CLIENT_AUTHENTICATION = FALSE
    SSL_CIPHER_SUITES = (SSL_RSA_WITH_AES_256_CBC_SHA, SSL_RSA_WITH_3DES_EDE_CBC_SHA)
- แก้ไขแฟ้ม C:\app\client\Administrator\product\12.2.0\client_1\network\admin\tnsnames.ora เพิ่มข้อความต่อไปนี้
  - REIS_SSL = (DESCRIPTION = (ADDRESS_LIST = (ADDRESS = (PROTOCOL = TCPS)(HOST = reis.psu.ac.th)(PORT = 2484)) ) (CONNECT_DATA = (SERVICE_NAME = reis.psu.ac.th) ) )
- ทดสอบใช้งาน
- ที่ Client พิมพ์คำสั่ง
  - sqlplus scott/tiger@reis_ssl
- ได้ผลลัพธ์ประมาณว่า
  - SQL*Plus: Release 12.2.0.1.0 Production on Wed Feb 7 16:54:05 2018 Copyright (c) 1982, 2016, Oracle. All rights reserved.
    
    Last Successful login time: Wed Feb 07 2018 16:52:50 +07:00
    
    Connected to:
    Oracle Database 12c Enterprise Edition Release 12.1.0.2.0 – 64bit Production
    With the Partitioning, OLAP, Advanced Analytics and Real Application Testing opt
    ions
    
    SQL>
- หรือต่อด้วย SQL Developer ต้องตั้งค่าการเชื่อมต่อเป็นดังภาพ
- จากภาพเลือก Connection Type เป็น Advanced และใช้ช่อง Custom JDBC URL ใส่เป็น jdbc:oracle:oci:/@reis_ssl
- เนื่องจากไม่สามารถเชื่อมต่อผ่าน tns ได้ ดังภาพ
- วิธีเซ็ตค่าแบบนี้ใช้ได้กับ Oracle Database 10G R2 เป็นต้นมา
- จบขอให้สนุก
ที่มา:
https://oracle-base.com/articles/misc/configure-tcpip-with-ssl-and-tls-for-database-connections
February 7, 2018
เปลี่ยน Certificate!?
เนื่อง Certificate *.psu.ac.th จาก Comodo เดิมซึ่งกลายเป็น Cert. ที่จัดว่า WEAK แล้ว ทางเจ้าหน้าที่เครือข่ายจึงได้ขอ Cert. ใหม่มา ที่ Strong ขึ้น 🙂 ก็ต้องมานั่งเปลี่ยน Cert. ในเครื่องที่ให้บริการขั้นตอนดังนี้
- Download Cert. ใหม่มาซึ่งต้องติดต่อขอไปที่ Net@dmin โดยผ่านช่องทางของ help.psu.ac.th
- ไฟล์ที่จะโหลดมาใช้งานมีทั้งหมด 3 ไฟล์ได้แก่ STAR_psu_ac_th.ca-bundle, STAR_psu_ac_th.crt และ STAR_psu_ac_th_key.key เมื่อดาวน์โหลดมาเสร็จแล้วให้เอาไปแทนที่เก่าได้เลย ในตัวอย่างนี้จะเก็บไว้ที่ /etc/ssl/private
- ทีนี้ มาดู config เก่าของ apache2
<IfModule mod_ssl.c> <VirtualHost *:443> ServerName bahamut.psu.ac.th ServerAdmin cc-server-admin@group.psu.ac.th DocumentRoot "/var/www/html" ErrorLog ${APACHE_LOG_DIR}/bahamut.ssl_error_log TransferLog ${APACHE_LOG_DIR}/bahamut.ssl_access_log LogLevel warn

SSLEngine on
SSLCertificateFile /etc/ssl/private/STAR_psu_ac_th.crt
SSLCertificateKeyFile /etc/ssl/private/STAR_psu_ac_th.key
SSLCertificateChainFile /etc/ssl/private/STAR_psu_ac_th.ca-bundle

RewriteEngine On
RewriteRule /avl https://licensing.psu.ac.th

<Directory /var/www/licensing>
AllowOverride All
Order deny,allow
Deny from all
Allow from 10.0.0.0/8 172.16.0.0/12 192.168.0.0/16
</Directory>
</VirtualHost>
</IfModule>
#!/bin/sh echo "passphrase ที่ได้รับแจ้งจาก Net@dmin"
สิ่งที่ต้องแก้เพื่อให้ได้ A+ ในการทดสอบกับเว็บ https://www.ssllabs.com/ssltest/analyze.html
- แก้ไขแฟ้ม /etc/apache2/mods-enabled/ssl.conf โดยแก้ไข/เพิ่ม ข้อความดังต่อไปนี้
SSLCipherSuite ECDH+AESGCM:DH+AESGCM:ECDH+AES256:DH+AES256:ECDH+AES128:DH+AES: RSA+AESGCM:RSA+AES:!aNULL:!MD5:!DSS SSLHonorCipherOrder on SSLProtocol all -SSLv3 -SSLv2 SSLCompression off
- sudo a2enmod headers เพื่อให้ module headers ของ apache2 ทำงาน
- แก้ไขแฟ้มของไซต์ที่เปิด ssl ไว้ จากตัวอย่างนี้คือ /etc/apache2/sites-enabled/licensing-ssl.conf โดยเพิ่มข้อความว่า
  Header add Strict-Transport-Security "max-age=15768000;includeSubDomains"
- ตัวอย่าง
<IfModule mod_ssl.c> <VirtualHost *:443> ServerName licensing.psu.ac.th ServerAdmin cc-server-admin@group.psu.ac.th DocumentRoot "/var/www/html/avl" ErrorLog ${APACHE_LOG_DIR}/licensing.ssl_error_log TransferLog ${APACHE_LOG_DIR}/licensing.ssl_access_log LogLevel warn SSLEngine on Header add Strict-Transport-Security "max-age=15768000;includeSubDomains" SSLCertificateFile /etc/ssl/private/STAR_psu_ac_th.crt SSLCertificateKeyFile /etc/ssl/private/STAR_psu_ac_th.key SSLCertificateChainFile /etc/ssl/private/STAR_psu_ac_th.ca-bundle </VirtualHost> </IfModule>
- restart apache2 ด้วยคำสั่ง sudo service apache2 restart
- ทั้งหมดนี้ทำ บน Ubuntu 14.04.1
- ผลของการตั้งค่าตามนี้ จะทำให้ผู้ใช้ที่ยังใช้งาน Windows XP และ IE6 ไม่สามารถใช้งานเว็บไซต์ได้
- จบ ขอให้สนุกครับ
จุดสังเกตุเมื่อเปลี่ยน certificate แล้ว
ก่อนเปลี่ยนบน Chrome เบราเซอร์

หลังเปลี่ยนบน Chrome เบราเซอร์

ที่มา:

http://www.bauer-power.net/2014/04/how-to-enable-http-strict-transport.html#.VJJ8pXtKW7A

http://www.hackido.com/2009/10/quick-tip-auto-enter-password-for-your.html
December 18, 2014
การติดตั้ง Lighttpd + PHP5 บนเครื่อง Ubuntu 14.04 LTS
มาเริ่มขั้นตอนการติดตั้งกันเลยครับ

วิธีการติดตั้ง Lighttpd Web Server

1. ทำการติดตั้ง Lighttpd ผ่าน apt-get ดังนี้ครับ
```
# sudo apt-get install -y lighttpd
```
2. ให้ทำการ Restart Lighttpd ด้วยคำสั่ง
```
# sudo service lighttpd restart
```
3. ทำการทดสอบเข้าใช้งาน HTTP โดยพิมพ์คำสั่ง http://หมายเลขไอพีของเซิร์ฟเวอร์ เช่น
```
http://192.168.99.1
```
4. ในกรณีที่ต้องการติดตั้ง SSL ให้พิมพ์คำสั่งเพื่อเปิด site ดังนี้
```
sudo lighttpd-enable-mod ssl
```
5. หลังจากนั้นทำการ สร้าง key จาก default cer (ถ้ามี key จริงสามารถนำมาแทนได้ในภายหลัง)

ในกรณีที่ไม่เคยติดตั้ง apache ให้ติดตั้งโปรแกรม ssl-cert ก่อนดังนี้
```
sudo apt-get install -y ssl-cert
```
ทำการรวม Key โดยสร้างเป็นไฟล์ใหม่ เก็บไว้ที่ /etc/lighttpd/snakeoil.pem
```
sudo sh -c 'cat /etc/ssl/certs/ssl-cert-snakeoil.pem /etc/ssl/private/ssl-cert-snakeoil.key > /etc/lighttpd/snakeoil.pem'
```
6. จากนั้นทำการเข้าไปแก้ไฟล์ระบุ เพื่อระบุตำแหน่ง cer ให้ถูกต้อง
```
sudo nano /etc/lighttpd/conf-enabled/10-ssl.conf
```
7. ทำการแก้ไขข้อความในไฟล์ดังนี้
```
ssl.pemfile = "/etc/lighttpd/snakeoil.pem"
```
8. จากนั้นให้สั่ง Restart Lighttpd ตามปกติ
```
# sudo service lighttpd restart
```
9. ทำการทดสอบเข้าใช้งาน HTTPS โดยพิมพ์คำสั่ง https://หมายเลขไอพีของเซิร์ฟเวอร์ เช่น
```
https://192.168.99.1
```
*หมายเหตุ วิธีการดู IP ให้พิมพ์ดังนี้
```
ifconfig
```
ให้วิธีการดูให้สังเกตุตามรูปตัวอย่าง

– eth0 เป็น ip จาก nat interface
– eth1 เป็น ip จาก bridge interface
– lo เป็น ip จาก loopback interface

วิธีการเปลี่ยน Lighttpd Server Default Port

*ยกตัวอย่างการเปลี่ยนจาก port 80->8081

– เปิดไฟล์ /etc/lighttpd/lighttpd.conf
```
sudo nano /etc/lighttpd/lighttpd.conf
```
– แก้ไขข้อความในไฟล์ดังนี้ (วิธีการ save ให้กด Ctrl-X แล้วกด y แล้ว enter)
```
server.port = 8081
```
วิธีการติดตั้ง PHP5 เพื่อใช้งานกับ Lighttpd Web Server
1. ทำการติดตั้ง PHP5 ดังนี้
```
sudo apt-get install php5-cgi
```
2. ทำการเปิดใช้งาน module เพื่อให้สามารถใช้งาน php บน lighttpd ได้
```
sudo lighty-enable-mod fastcgi
sudo lighty-enable-mod fastcgi-php
```
3. จากนั้นให้สั่ง Restart Lighttpd ตามปกติ
```
# sudo service lighttpd restart
```
4. วิธีการสร้างไฟล์ตรวจสอบสามารถทำได้ดังนี้

– เปิดไฟล์ /var/www/info.php
```
sudo sh -c 'echo "<?php echo phpinfo(); ?>" > /var/www/info.php'
```
– จากนั้นทำการเปิด web http://หมายเลขไอพีของเซิร์ฟเวอร์/info.php ตัวอย่าง
```
http://192.168.99.1/info.php
```
May 22, 2014
การติดตั้ง Apache2 + PHP5 บนเครื่อง Ubuntu 14.04 LTS
มาเริ่มขั้นตอนการติดตั้งกันเลยครับ

วิธีการติดตั้ง Apache2 Web Server

1. ทำการติดตั้ง Apache ผ่าน apt-get ดังนี้ครับ
```
# sudo apt-get install -y apache2 
```
2. ให้ทำการ Restart Apache ด้วยคำสั่ง
```
# sudo service apache2 restart
```
จะเห็นได้ว่าจะมี Warning เกี่ยวกับ Domain Name ไม่ต้องตกใจครับ สามารถใช้งานได้ แต่เพราะยังไม่ได้จด Domain ให้กับ IP เครื่องที่ติดตั้ง ทุกครั้งที่ Restart ก็จะมีการฟ้องจนกว่าจะจดครับ

ถ้าไม่ต้องการให้ขึ้น Warning ดังกล่าว ให้ทำการแก้ไขไฟล์ /etc/apache2/apache2.conf ดังนี้

– เปิดไฟล์ /etc/apache2/apache2.conf
```
sudo nano /etc/apache2/apache2.conf
```
– เพิ่มข้อความท้ายไฟล์ดังนี้ (วิธีการ save ให้กด Ctrl-X แล้วกด y แล้ว enter)
```
ServerName localhost
```
3. จากนั้นทำการ Restart Apache อีกครั้งจะไม่พบข้อความ Warning อีกแล้ว
```
# sudo service apache2 restart
```
4. ทำการทดสอบเข้าใช้งาน HTTP โดยพิมพ์คำสั่ง http://หมายเลขไอพีของเซิร์ฟเวอร์ เช่น
```
http://192.168.99.1
```
5. ในกรณีที่ต้องการติดตั้ง SSL ให้พิมพ์คำสั่งเพื่อเปิด site ดังนี้
```
sudo a2enmod ssl
sudo a2ensite default-ssl
```
6. จากนั้นให้สั่ง Restart Apache ตามปกติ
```
# sudo service apache2 restart
```
7. ทำการทดสอบเข้าใช้งาน HTTPS โดยพิมพ์คำสั่ง https://หมายเลขไอพีของเซิร์ฟเวอร์ เช่น
```
https://192.168.99.1
```
8. ในกรณีที่ต้องการยกเลิกการติดตั้ง SSL ให้พิมพ์คำสั่งเพื่อปิด site ดังนี้
```
sudo a2dismod ssl
sudo a2dissite default-ssl
```
9. จากนั้นให้สั่ง Restart Apache ตามปกติ
```
# sudo service apache2 restart
```
*หมายเหตุ วิธีการดู IP ให้พิมพ์ดังนี้
```
ifconfig
```
ให้วิธีการดูให้สังเกตุตามรูปตัวอย่าง

– eth0 เป็น ip จาก nat interface
– eth1 เป็น ip จาก bridge interface
– lo เป็น ip จาก loopback interface

วิธีการเปลี่ยน Apache Server Default Port

*ยกตัวอย่างการเปลี่ยนจาก port 80->8080

1. เปิดไฟล์ /etc/apache2/sites-enabled/000-default.conf
```
sudo nano /etc/apache2/sites-enabled/000-default.conf
```
2. แก้ไขข้อความในไฟล์ดังนี้ (วิธีการ save ให้กด Ctrl-X แล้วกด y แล้ว enter)
```
<VirtualHost *:8080>
```
3. เปิดไฟล์ /etc/apache2/ports.conf
```
sudo nano /etc/apache2/ports.conf
```
2. แก้ไขข้อความในไฟล์ดังนี้ (วิธีการ save ให้กด Ctrl-X แล้วกด y แล้ว enter)
```
Listen 8080
```
3. จากนั้นให้สั่ง Restart Apache ตามปกติ
```
# sudo service apache2 restart
```
4. ทำการทดสอบเข้าใช้งาน โดยพิมพ์คำสั่ง http://หมายเลขไอพีของเซิร์ฟเวอร์:8080 เช่น
```
http://192.168.99.1:8080
```
ตั้ง PHP5 เพื่อใช้งานกับ Apache2 Web Server
1. ทำการติดตั้ง PHP5 ดังนี้
```
sudo apt-get install -y php5 libapache2-mod-php5
```
2. วิธีการสร้างไฟล์ตรวจสอบสามารถทำได้ดังนี้

– เปิดไฟล์ /var/www/html/info.php
```
sudo sh -c 'echo "<?php echo phpinfo(); ?>" > /var/www/html/info.php'
```
– จากนั้นทำการเปิด web http://หมายเลขไอพีของเซิร์ฟเวอร์/info.php ตัวอย่าง
```
http://192.168.99.1/info.php
```
May 22, 2014
Multiple SSL Web Sites On One IP Address
แก้ให้ apache 2 สามารถให้บริการ ssl-site ได้มากกว่า 1 site บน ubuntu 12.04 ; Apache 2.2.22

* Server ต้องสามารถให้บริการ https ได้อยู่แล้ว
1. เพิ่มบรรทัด NameVirtualHost *:443 ลงไปในไฟล์ /etc/apache2/ports.conf
  ตัวอย่าง
  ports.conf
  
  # /etc/apache2/sites-enabled/000-default
  # This is also true if you have upgraded from before 2.2.9-3 (i.e. from
  # Debian etch). See /usr/share/doc/apache2.2-common/NEWS.Debian.gz and
  # README.Debian.gz
  
  NameVirtualHost *:80
  NameVirtualHost *:443
  Listen 80
  (more…)
January 16, 2013