さくらVPSのSSL化

Question

初めてサーバーを借り、SSL化をしようと思い奮闘中です。
ドメインを取得し、ドメイン名でのアクセスは出来ている状態です。
httpsでのアクセスもiptablesを443の設定をしアクセスは出来ている状態です。
（保護されていない通信状態）

ssl証明書を取得しさくらの管理画面の連携は済んでいます。
下記ページを参考に「中間証明書をサーバに配置」まで実施しました。
さくらVPS(CentOS7.2+Apache2.4)でSSL証明書(JPRS)を発行してhttpsにするまで

で、この後の対応として、「Apacheに証明書のパスを配置」をやろうと思っているのですが、
うまくいきません。。。

まずhttpd.confに下記を入れました。

#一番最後に記載  
Include conf.d/*.conf

で、色々調べたところ、ssl.confの<VirtualHost _default_:443>から閉じタグまでコメントアウトするのかと思いコメントアウトしました。
そしてvhost.confを作成し、下記を記載しました。

NameVirtualHost *:443

<VirtualHost *:443>
    SSLEngine on
    SSLCertificateKeyFile /etc/httpd/conf/ssl.key/server.key
    SSLCertificateFile /etc/httpd/conf/ssl.crt/server.crt
    SSLCertificateChainFile /etc/httpd/conf/ssl.crt/internal.crt

    ServerName exsample.com #こちらは変更済みです
    DocumentRoot /var/www/html/

    <Directory "/var/www/html/">
        AllowOverride All
        Options Indexes FollowSymLinks
    </Directory>
</VirtualHost>

ここでサーバー再起動をするとエラーになってしまいます。

httpd を停止中:                                            [  OK  ]
httpd を起動中: [Tue Sep 11 23:22:56 2018] [warn] module php7_module is already loaded, skipping
[Tue Sep 11 23:22:56 2018] [warn] module ssl_module is already loaded, skipping
[Tue Sep 11 23:22:56 2018] [warn] NameVirtualHost *:443 has no VirtualHosts
(98)Address already in use: make_sock: could not bind to address 0.0.0.0:443
no listening sockets available, shutting down
Unable to open logs
                                                           [失敗]

NameVirtualHostのエラーをググると「NameVirtualHost *:443」を２つ以上設定しているらしいのですが、
vhost.confにしか記載していない状態です。。。
その後vhost.confやssl.confを色々いじってみたのですが解決が出来ておりません。

何か手順を間違えている箇所ありますでしょうか。。。？m(_ _)m

---

9/12追記します。
httpd.confのInclude conf.d/*.confをInclude conf.d/vhost.confにしてみたらエラーが下記だけになりました。

[warn] NameVirtualHost *:443 has no VirtualHosts

これに関して検索をしてみても記述に間違いがあるような箇所を発見出来ません。。。

---

10/2追記します。
サーバーの再起動はできるようになったのですが、error_logに下記エラーが出力されていました。
｀｀｀
[Tue Oct 02 20:05:10 2018] [notice] caught SIGTERM, shutting down
[Tue Oct 02 20:05:10 2018] [notice] suEXEC mechanism enabled (wrapper: /usr/sbin/suexec)
[Tue Oct 02 20:05:19 2018] [warn] Init: Session Cache is not configured [hint: SSLSessionCache]
[Tue Oct 02 20:05:19 2018] [notice] Digest: generating secret for digest authentication ...
[Tue Oct 02 20:05:19 2018] [notice] Digest: done
[Tue Oct 02 20:05:19 2018] [notice] Apache/2.2.15 (Unix) DAV/2 mod_ssl/2.2.15 OpenSSL/1.0.1e-fips configured -- resuming normal operations
｀｀｀
[warn] Init: Session Cache is not configured [hint: SSLSessionCache]
上記で色々検索して解決策を見ているのですが解決に至っていません。。。
現在のvhost.confは以下になります。
｀｀｀

setting for ssl

LoadModule ssl_module modules/mod_ssl.so

#Listen 443
#NameVirtualHost *:443

<IfModule mod_ssl.c>

<VirtualHost *:443>
SSLEngine on
SSLCertificateKeyFile /etc/httpd/conf/ssl.key/server.key
SSLCertificateFile /etc/httpd/conf/ssl.crt/server.crt
SSLCertificateChainFile /etc/httpd/conf/ssl.crt/internal.crt

ServerName falcon.click
DocumentRoot /var/www/html/

<Directory "/var/www/html/">
    AllowOverride All
    Options Indexes FollowSymLinks
</Directory>

</VirtualHost> </IfModule> ｀｀｀ 現在のiptablesは下記になります。 ｀｀｀ Chain INPUT (policy ACCEPT) num target prot opt source destination 1 ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED 2 ACCEPT icmp -- anywhere anywhere 3 ACCEPT all -- anywhere anywhere 4 ACCEPT tcp -- anywhere anywhere state NEW tcp dpt:ssh 5 ACCEPT tcp -- anywhere anywhere tcp dpt:http 6 ACCEPT tcp -- anywhere anywhere tcp dpt:https 7 ACCEPT tcp -- anywhere anywhere tcp dpt:61203 8 REJECT all -- anywhere anywhere reject-with icmp-host-prohibited

Chain FORWARD (policy ACCEPT)
num target prot opt source destination
1 REJECT all -- anywhere anywhere reject-with icmp-host-prohibited

Chain OUTPUT (policy ACCEPT)
num target prot opt source destination
｀｀｀
色々と調べてはいるのですが、、、何かエラーの原因になる箇所わかりますでしょうか。。。？

Comments

[Orlofsky]

URLは https://teratail.com/help#about-markdown の[リンク]を使ってください。

[CHERRY]

apachectl configtest の結果はどうでしょうか？

[falconHM]

Orlofskyさん　ご指摘ありがとうございます！修正しました！

[falconHM]

CHERRYさん　実行結果はこちらになります！[Wed Sep 12 23:20:36 2018] [warn] module php7_module is already loaded, skipping [Wed Sep 12 23:20:36 2018] [warn] module ssl_module is already loaded, skipping [Wed Sep 12 23:20:36 2018] [warn] NameVirtualHost *:443 has no VirtualHosts Syntax OK

Answer 1

手作業で行うよりも、certbot-auto を使うと楽ですよ。

certbot-auto を利用して、SSLにすることは、対話形式で応答するだけで、半自動で設定可能です。
Certbotをダウンロードして、実行権限を付与。
certbot-auto をダウンロードして、実行権限を付与。

cd ~
wget https://dl.eff.org/certbot-auto
chmod a+x certbot-auto

Certbotを実行。
certbot-autoを実行。

./certbot-auto

SSLサーバ証明書の設定
Apacheとnginxのどちらを使うか質問される場合。Apacheしかない場合は多分聞かれない。

How would you like to authenticate and install certificates?
-------------------------------------------------------------------------------
1: Apache Web Server plugin - Beta (apache)
2: Nginx Web Server plugin - Alpha (nginx)
-------------------------------------------------------------------------------
Select the appropriate number [1-2] then [enter] (press 'c' to cancel): 1

メールアドレスを入力します。

Enter email address (used for urgent renewal and security notices) (Enter 'c' to
cancel): [e-mail]

規約に同意するよう求められます。「A」を入力。

Please read the Terms of Service at
https://letsencrypt.org/documents/LE-SA-v1.1.1-August-1-2016.pdf. You must agree
in order to register with the ACME server at
https://acme-v01.api.letsencrypt.org/directory
-------------------------------------------------------------------------------
(A)gree/(C)ancel: A

メールアドレスを電子フロンティア財団に共有するか質問されます。
財団からメールが届くらしいのですが、不要なので「N」を入力。

-------------------------------------------------------------------------------
Would you be willing to share your email address with the Electronic Frontier
Foundation, a founding partner of the Let's Encrypt project and the non-profit
organization that develops Certbot? We'd like to send you email about EFF and
our work to encrypt the web, protect its users and defend digital rights.
-------------------------------------------------------------------------------
(Y)es/(N)o: N

Webサーバに複数のサイトが同居している場合、どのサイトをHTTPS化するか質問されます。
対象の番号を入力。一つしかない場合は、多分聞かれない。

Which names would you like to activate HTTPS for?
-------------------------------------------------------------------------------
1: example.com
2: www.example.com
-------------------------------------------------------------------------------
Select the appropriate numbers separated by commas and/or spaces, or leave input
blank to select all options shown (Enter 'c' to cancel): 1

少し待つと、自動で証明書の取得が進みます。
HTTPSへのリダイレクト設定をするか指定します。今回のばあい、リダイレクトするので、2で応答する。

Please choose whether or not to redirect HTTP traffic to HTTPS, removing HTTP access.
-------------------------------------------------------------------------------
1: No redirect - Make no further changes to the webserver configuration.
2: Redirect - Make all requests redirect to secure HTTPS access. Choose this for
new sites, or if you're confident your site works on HTTPS. You can undo this
change by editing your web server's configuration.
-------------------------------------------------------------------------------
Select the appropriate number [1-2] then [enter] (press 'c' to cancel): 2

「Congratulations!」と表示されたら、設定完了です。

Comments

[falconHM]

ご返信が遅くなってしまいすみません！
こんな方法があるんですね。。。（凄い）
後ちょっとで出来そうなんですが無理だった場合こちらの方法を試させていただきます！

Answer 2

「NameVirtualHost *:443」は必要ないです。
設定から削除してください

また、ssl.confをデフォルトに戻してください

Comments

[falconHM]

ご回答ありがとうございます！
ご指摘いただきました内容を修正したところエラーが変わりました。
```
Syntax error on line 40 of /etc/httpd/conf.d/vhost.conf:
Invalid command 'SSLEngine', perhaps misspelled or defined by a module not included in the server configuration
```
調べたところ下記記述が無いとの事でしたのでvhost.confに記述しました。
LoadModule ssl_module modules/mod_ssl.so

sudo service httpd restartで再起動をしたところエラーは出なくなりましたが起動に失敗してしまいます。。。
```
httpd を停止中: [ OK ]
httpd を起動中: [失敗]
```
試しにvhost.confの中身を全てコメントアウトすると再起動は成功します。
vhost.confの中身は問題無いと思うので証明書の設定がうまくいっていなくてこけているのでしょうか？
一度見直してみます。。。
念のため下記に現在のvhost.confの中身を記載させていただきます。
```
## setting for ssl
LoadModule ssl_module modules/mod_ssl.so
#Listen 443
#NameVirtualHost *:443
<VirtualHost *:443>
SSLEngine on
SSLCertificateKeyFile /etc/httpd/conf/ssl.key/server.key
SSLCertificateFile /etc/httpd/conf/ssl.crt/server.crt
SSLCertificateChainFile /etc/httpd/conf/ssl.crt/internal.crt

ServerName exsample.com#ここは変更しています
DocumentRoot /var/www/html/

<Directory "/var/www/html/">
AllowOverride All
Options Indexes FollowSymLinks
</Directory>
</VirtualHost>
```

[hide0527]

以下のように、<Ifmodule>の記載を追加してみてください
<IfModule mod_ssl.c> ←追加
<VirtualHost *:443>
SSLEngine on
SSLCertificateKeyFile /etc/httpd/conf/ssl.key/server.key
SSLCertificateFile /etc/httpd/conf/ssl.crt/server.crt
SSLCertificateChainFile /etc/httpd/conf/ssl.crt/internal.crt

ServerName exsample.com#ここは変更しています
DocumentRoot /var/www/html/

<Directory "/var/www/html/">
AllowOverride All
Options Indexes FollowSymLinks
</Directory>
</VirtualHost>
</IfModule>　←追加

また、error.logには何かメッセージが出力されているか確認をお願いいたします

[falconHM]

再起動ができるようになりました！
ご回答頂いた内容を打ち込み、エラーログを確認したら
[error] Init: Unable to read server certificate from file /etc/httpd/conf/ssl.crt/server.crt
と言うエラーが出ましたが、証明書を見直したところ記述漏れ（コピペミス）がありましたので、
それを直したら再起動出来ました！
早速ブラウザアクセスしようと思ったのですが、
httpアクセスは問題無いですがhttpsでのアクセスが出来ない状態でした。。。
以前iptablesで443設定したのでアクセスは出来ていた（危険ですが繋げますか状態）ので、
再度エラーログ等見てみようと思います！