SSL/TLS 强加密：兼容性

本页涵盖了 mod_ssl 与其他 SSL 解决方案之间的向后兼容性。 mod_ssl 并不是 Apache 唯一的 SSL 解决方案；还有(或曾经提供)另外四个产品：Ben Laurie 的免费提供的Apache-SSL(最初是 mod_ssl 的来源，1998 年从那里获得)，Red Hat 的商业 Secure Web Server(基于 mod_ssl)，Covalent 的商业 Raven SSL 模块(也基于 mod_ssl)，最后是 C2Net(现在是 Red Hat)的商业产品Stronghold(基于一个不同的演进分支，从 Stronghold 2.x 开始命名为 Sioux，从 Stronghold 3.x 开始基于 mod_ssl)。

mod_ssl 主要提供所有其他解决方案功能的超集，因此很容易从较旧的模块之一迁移到 mod_ssl。较早的 SSL 解决方案使用的配置指令和环境变量名称与 mod_ssl 中使用的配置指令和环境变量名称不同；此处包含 Map 表，以提供 mod_ssl 使用的等效表。

Configuration Directives

Table 1给出了 Apache-SSL 1.x 和 mod_ssl 2.0.x 使用的配置指令之间的 Map。由于这些接口中的特殊功能(mod_ssl 不提供)，因此 Sioux 1.x 和 Stronghold 2.x 的 Map 仅是部分的。

表 1：配置指令 Map

Old Directive	mod_ssl Directive	Comment
Apache-SSL 1.x 和 mod_ssl 2.0.x 兼容性：
`SSLEnable`	`SSLEngine on`	compactified
`SSLDisable`	`SSLEngine off`	compactified
`SSLLogFile` 文件	``	而是使用按模块的LogLevel设置。
`SSLRequiredCiphers` 规格	`SSLCipherSuite` 规格	renamed
`SSLRequireCipher` * c1 * ...	`SSLRequire %{SSL_CIPHER} in {"` * c1 * `", ...}`	generalized
`SSLBanCipher` * c1 * ...	`SSLRequire not (%{SSL_CIPHER} in {"` * c1 * `", ...})`	generalized
`SSLFakeBasicAuth`	`SSLOptions +FakeBasicAuth`	merged
`SSLCacheServerPath` * dir *	-	functionality removed
`SSLCacheServerPort` 整数	-	functionality removed
Apache-SSL 1.x 兼容性：
`SSLExportClientCertificates`	`SSLOptions +ExportCertData`	merged
`SSLCacheServerRunDir` * dir *	-	不支持的功能
Sioux 1.x 兼容性：
`SSL_CertFile` 文件	`SSLCertificateFile` 文件	renamed
`SSL_KeyFile` 文件	`SSLCertificateKeyFile` 文件	renamed
`SSL_CipherSuite` * arg *	`SSLCipherSuite` * arg *	renamed
`SSL_X509VerifyDir` * arg *	`SSLCACertificatePath` * arg *	renamed
`SSL_Log` 文件	`-`	而是使用按模块的LogLevel设置。
`SSL_Connect` 标志	`SSLEngine` 标志	renamed
`SSL_ClientAuth` * arg *	`SSLVerifyClient` * arg *	renamed
`SSL_X509VerifyDepth` * arg *	`SSLVerifyDepth` * arg *	renamed
`SSL_FetchKeyPhraseFrom` * arg *	-	不可直接 Map；使用 SSLPassPhraseDialog
`SSL_SessionDir` * dir *	-	不可直接 Map；使用 SSLSessionCache
`SSL_Require` * expr *	-	不可直接 Map；使用 SSLRequire
`SSL_CertFileType` * arg *	-	不支持的功能
`SSL_KeyFileType` * arg *	-	不支持的功能
`SSL_X509VerifyPolicy` * arg *	-	不支持的功能
`SSL_LogX509Attributes` * arg *	-	不支持的功能
要塞 2.x 兼容性：
`StrongholdAccelerator` 引擎	`SSLCryptoDevice` 引擎	renamed
`StrongholdKey` * dir *	-	不需要功能
`StrongholdLicenseFile` * dir *	-	不需要功能
`SSLFlag` 标志	`SSLEngine` 标志	renamed
`SSLSessionLockFile` 文件	`SSLMutex` 文件	renamed
`SSLCipherList` 规格	`SSLCipherSuite` 规格	renamed
`RequireSSL`	`SSLRequireSSL`	renamed
`SSLErrorFile` 文件	-	不支持的功能
`SSLRoot` * dir *	-	不支持的功能
`SSL_CertificateLogDir` * dir *	-	不支持的功能
`AuthCertDir` * dir *	-	不支持的功能
`SSL_Group` 名称	-	不支持的功能
`SSLProxyMachineCertPath` * dir *	`SSLProxyMachineCertificatePath` * dir *	renamed
`SSLProxyMachineCertFile` 文件	`SSLProxyMachineCertificateFile` 文件	renamed
`SSLProxyCipherList` 规格	`SSLProxyCipherSpec` 规格	renamed

Environment Variables

较旧的 SSL 解决方案使用的环境变量名称与 mod_ssl 使用的名称之间的 Map 在Table 2中给出。

表 2：环境变量推导

Old Variable	mod_ssl Variable	Comment
`SSL_PROTOCOL_VERSION`	`SSL_PROTOCOL`	renamed
`SSLEAY_VERSION`	`SSL_VERSION_LIBRARY`	renamed
`HTTPS_SECRETKEYSIZE`	`SSL_CIPHER_USEKEYSIZE`	renamed
`HTTPS_KEYSIZE`	`SSL_CIPHER_ALGKEYSIZE`	renamed
`HTTPS_CIPHER`	`SSL_CIPHER`	renamed
`HTTPS_EXPORT`	`SSL_CIPHER_EXPORT`	renamed
`SSL_SERVER_KEY_SIZE`	`SSL_CIPHER_ALGKEYSIZE`	renamed
`SSL_SERVER_CERTIFICATE`	`SSL_SERVER_CERT`	renamed
`SSL_SERVER_CERT_START`	`SSL_SERVER_V_START`	renamed
`SSL_SERVER_CERT_END`	`SSL_SERVER_V_END`	renamed
`SSL_SERVER_CERT_SERIAL`	`SSL_SERVER_M_SERIAL`	renamed
`SSL_SERVER_SIGNATURE_ALGORITHM`	`SSL_SERVER_A_SIG`	renamed
`SSL_SERVER_DN`	`SSL_SERVER_S_DN`	renamed
`SSL_SERVER_CN`	`SSL_SERVER_S_DN_CN`	renamed
`SSL_SERVER_EMAIL`	`SSL_SERVER_S_DN_Email`	renamed
`SSL_SERVER_O`	`SSL_SERVER_S_DN_O`	renamed
`SSL_SERVER_OU`	`SSL_SERVER_S_DN_OU`	renamed
`SSL_SERVER_C`	`SSL_SERVER_S_DN_C`	renamed
`SSL_SERVER_SP`	`SSL_SERVER_S_DN_SP`	renamed
`SSL_SERVER_L`	`SSL_SERVER_S_DN_L`	renamed
`SSL_SERVER_IDN`	`SSL_SERVER_I_DN`	renamed
`SSL_SERVER_ICN`	`SSL_SERVER_I_DN_CN`	renamed
`SSL_SERVER_IEMAIL`	`SSL_SERVER_I_DN_Email`	renamed
`SSL_SERVER_IO`	`SSL_SERVER_I_DN_O`	renamed
`SSL_SERVER_IOU`	`SSL_SERVER_I_DN_OU`	renamed
`SSL_SERVER_IC`	`SSL_SERVER_I_DN_C`	renamed
`SSL_SERVER_ISP`	`SSL_SERVER_I_DN_SP`	renamed
`SSL_SERVER_IL`	`SSL_SERVER_I_DN_L`	renamed
`SSL_CLIENT_CERTIFICATE`	`SSL_CLIENT_CERT`	renamed
`SSL_CLIENT_CERT_START`	`SSL_CLIENT_V_START`	renamed
`SSL_CLIENT_CERT_END`	`SSL_CLIENT_V_END`	renamed
`SSL_CLIENT_CERT_SERIAL`	`SSL_CLIENT_M_SERIAL`	renamed
`SSL_CLIENT_SIGNATURE_ALGORITHM`	`SSL_CLIENT_A_SIG`	renamed
`SSL_CLIENT_DN`	`SSL_CLIENT_S_DN`	renamed
`SSL_CLIENT_CN`	`SSL_CLIENT_S_DN_CN`	renamed
`SSL_CLIENT_EMAIL`	`SSL_CLIENT_S_DN_Email`	renamed
`SSL_CLIENT_O`	`SSL_CLIENT_S_DN_O`	renamed
`SSL_CLIENT_OU`	`SSL_CLIENT_S_DN_OU`	renamed
`SSL_CLIENT_C`	`SSL_CLIENT_S_DN_C`	renamed
`SSL_CLIENT_SP`	`SSL_CLIENT_S_DN_SP`	renamed
`SSL_CLIENT_L`	`SSL_CLIENT_S_DN_L`	renamed
`SSL_CLIENT_IDN`	`SSL_CLIENT_I_DN`	renamed
`SSL_CLIENT_ICN`	`SSL_CLIENT_I_DN_CN`	renamed
`SSL_CLIENT_IEMAIL`	`SSL_CLIENT_I_DN_Email`	renamed
`SSL_CLIENT_IO`	`SSL_CLIENT_I_DN_O`	renamed
`SSL_CLIENT_IOU`	`SSL_CLIENT_I_DN_OU`	renamed
`SSL_CLIENT_IC`	`SSL_CLIENT_I_DN_C`	renamed
`SSL_CLIENT_ISP`	`SSL_CLIENT_I_DN_SP`	renamed
`SSL_CLIENT_IL`	`SSL_CLIENT_I_DN_L`	renamed
`SSL_EXPORT`	`SSL_CIPHER_EXPORT`	renamed
`SSL_KEYSIZE`	`SSL_CIPHER_ALGKEYSIZE`	renamed
`SSL_SECKEYSIZE`	`SSL_CIPHER_USEKEYSIZE`	renamed
`SSL_SSLEAY_VERSION`	`SSL_VERSION_LIBRARY`	renamed
`SSL_STRONG_CRYPTO`	`-`	mod_ssl 不支持
`SSL_SERVER_KEY_EXP`	`-`	mod_ssl 不支持
`SSL_SERVER_KEY_ALGORITHM`	`-`	mod_ssl 不支持
`SSL_SERVER_KEY_SIZE`	`-`	mod_ssl 不支持
`SSL_SERVER_SESSIONDIR`	`-`	mod_ssl 不支持
`SSL_SERVER_CERTIFICATELOGDIR`	`-`	mod_ssl 不支持
`SSL_SERVER_CERTFILE`	`-`	mod_ssl 不支持
`SSL_SERVER_KEYFILE`	`-`	mod_ssl 不支持
`SSL_SERVER_KEYFILETYPE`	`-`	mod_ssl 不支持
`SSL_CLIENT_KEY_EXP`	`-`	mod_ssl 不支持
`SSL_CLIENT_KEY_ALGORITHM`	`-`	mod_ssl 不支持
`SSL_CLIENT_KEY_SIZE`	`-`	mod_ssl 不支持

自定义日志功能

启用 mod_ssl 时，如参考章节中所述，mod_log_config的自定义日志格式存在附加功能。除了可以用于扩展任何模块提供的任何变量的``````+215+``+216+`''加密格式功能，用于向后兼容。当前实现的函数调用在Table 3中列出。

表 3：自定义日志密码功能

Function Call	Description
`%...{version}c`	SSL 协议版本
`%...{cipher}c`	SSL cipher
`%...{subjectdn}c`	Client 证书主题专有名称
`%...{issuerdn}c`	Client 证书颁发者的专有名称
`%...{errcode}c`	证书验证错误(数字)
`%...{errstr}c`	证书验证错误(字符串)

Docs

Docs4dev

Title here