SSL/TLS 强加密：兼容性

可用语言： en | fr

本页介绍 mod_ssl 与其他 SSL 解决方案之间的向后兼容性。mod_ssl 不是 Apache 的唯一 SSL 解决方案；还有四种其他产品（或曾经存在）：Ben Laurie 免费提供的 Apache-SSL（mod_ssl 最初于 1998 年从中衍生而来）、Red Hat 的商业 Secure Web Server（基于 mod_ssl）、Covalent 的商业 Raven SSL 模块（也基于 mod_ssl）以及最后是 C2Net（现在是 Red Hat）的商业产品 Stronghold（基于不同的演化分支，名为 Sioux，直到 Stronghold 2.x，从 Stronghold 3.x 开始基于 mod_ssl）。

mod_ssl 主要提供了所有其他解决方案功能的超集，因此从较旧的模块迁移到 mod_ssl 很简单。较旧的 SSL 解决方案使用的配置指令和环境变量名称与 mod_ssl 中使用的名称不同；此处包含映射表以提供 mod_ssl 使用的等效项。

配置指令
环境变量
自定义日志函数

另请参见

配置指令

Apache-SSL 1.x 和 mod_ssl 2.0.x 使用的配置指令之间的映射在表 1 中给出。Sioux 1.x 和 Stronghold 2.x 的映射仅是部分的，因为这些接口中存在 mod_ssl 不提供的特殊功能。

表 1：配置指令映射

旧指令	mod_ssl 指令	注释
Apache-SSL 1.x & mod_ssl 2.0.x 兼容性
`SSLEnable`	`SSLEngine on`	压缩
`SSLDisable`	`SSLEngine off`	压缩
`SSLLogFile` file		使用每个模块的 `LogLevel` 设置代替。
`SSLRequiredCiphers` spec	`SSLCipherSuite` spec	重命名
`SSLRequireCipher` c1 ...	`SSLRequire %{SSL_CIPHER} in {"`c1`", ...}`	泛化
`SSLBanCipher` c1 ...	`SSLRequire not (%{SSL_CIPHER} in {"`c1`", ...})`	泛化
`SSLFakeBasicAuth`	`SSLOptions +FakeBasicAuth`	合并
`SSLCacheServerPath` dir	-	功能已移除
`SSLCacheServerPort` integer	-	功能已移除
Apache-SSL 1.x 兼容性
`SSLExportClientCertificates`	`SSLOptions +ExportCertData`	合并
`SSLCacheServerRunDir` dir	-	不支持的功能
Sioux 1.x 兼容性
`SSL_CertFile` file	`SSLCertificateFile` file	重命名
`SSL_KeyFile` file	`SSLCertificateKeyFile` file	重命名
`SSL_CipherSuite` arg	`SSLCipherSuite` arg	重命名
`SSL_X509VerifyDir` arg	`SSLCACertificatePath` arg	重命名
`SSL_Log` file	`-`	使用每个模块的 `LogLevel` 设置代替。
`SSL_Connect` flag	`SSLEngine` flag	重命名
`SSL_ClientAuth` arg	`SSLVerifyClient` arg	重命名
`SSL_X509VerifyDepth` arg	`SSLVerifyDepth` arg	重命名
`SSL_FetchKeyPhraseFrom` arg	-	无法直接映射；使用 SSLPassPhraseDialog
`SSL_SessionDir` dir	-	无法直接映射；使用 SSLSessionCache
`SSL_Require` expr	-	无法直接映射；使用 SSLRequire
`SSL_CertFileType` arg	-	不支持的功能
`SSL_KeyFileType` arg	-	不支持的功能
`SSL_X509VerifyPolicy` arg	-	不支持的功能
`SSL_LogX509Attributes` arg	-	不支持的功能
Stronghold 2.x 兼容性
`StrongholdAccelerator` engine	`SSLCryptoDevice` engine	重命名
`StrongholdKey` dir	-	不需要的功能
`StrongholdLicenseFile` dir	-	不需要的功能
`SSLFlag` flag	`SSLEngine` flag	重命名
`SSLSessionLockFile` file	`SSLMutex` file	重命名
`SSLCipherList` spec	`SSLCipherSuite` spec	重命名
`RequireSSL`	`SSLRequireSSL`	重命名
`SSLErrorFile` file	-	不支持的功能
`SSLRoot` dir	-	不支持的功能
`SSL_CertificateLogDir` dir	-	不支持的功能
`AuthCertDir` dir	-	不支持的功能
`SSL_Group` name	-	不支持的功能
`SSLProxyMachineCertPath` dir	`SSLProxyMachineCertificatePath` dir	重命名
`SSLProxyMachineCertFile` file	`SSLProxyMachineCertificateFile` file	重命名
`SSLProxyCipherList` spec	`SSLProxyCipherSpec` spec	重命名

环境变量

较旧的 SSL 解决方案使用的环境变量名称与 mod_ssl 使用的名称之间的映射在表 2 中给出。

表 2：环境变量推导

旧变量	mod_ssl 变量	注释
`SSL_PROTOCOL_VERSION`	`SSL_PROTOCOL`	重命名
`SSLEAY_VERSION`	`SSL_VERSION_LIBRARY`	重命名
`HTTPS_SECRETKEYSIZE`	`SSL_CIPHER_USEKEYSIZE`	重命名
`HTTPS_KEYSIZE`	`SSL_CIPHER_ALGKEYSIZE`	重命名
`HTTPS_CIPHER`	`SSL_CIPHER`	重命名
`HTTPS_EXPORT`	`SSL_CIPHER_EXPORT`	重命名
`SSL_SERVER_KEY_SIZE`	`SSL_CIPHER_ALGKEYSIZE`	重命名
`SSL_SERVER_CERTIFICATE`	`SSL_SERVER_CERT`	重命名
`SSL_SERVER_CERT_START`	`SSL_SERVER_V_START`	重命名
`SSL_SERVER_CERT_END`	`SSL_SERVER_V_END`	重命名
`SSL_SERVER_CERT_SERIAL`	`SSL_SERVER_M_SERIAL`	重命名
`SSL_SERVER_SIGNATURE_ALGORITHM`	`SSL_SERVER_A_SIG`	重命名
`SSL_SERVER_DN`	`SSL_SERVER_S_DN`	重命名
`SSL_SERVER_CN`	`SSL_SERVER_S_DN_CN`	重命名
`SSL_SERVER_EMAIL`	`SSL_SERVER_S_DN_Email`	重命名
`SSL_SERVER_O`	`SSL_SERVER_S_DN_O`	重命名
`SSL_SERVER_OU`	`SSL_SERVER_S_DN_OU`	重命名
`SSL_SERVER_C`	`SSL_SERVER_S_DN_C`	重命名
`SSL_SERVER_SP`	`SSL_SERVER_S_DN_SP`	重命名
`SSL_SERVER_L`	`SSL_SERVER_S_DN_L`	重命名
`SSL_SERVER_IDN`	`SSL_SERVER_I_DN`	重命名
`SSL_SERVER_ICN`	`SSL_SERVER_I_DN_CN`	重命名
`SSL_SERVER_IEMAIL`	`SSL_SERVER_I_DN_Email`	重命名
`SSL_SERVER_IO`	`SSL_SERVER_I_DN_O`	重命名
`SSL_SERVER_IOU`	`SSL_SERVER_I_DN_OU`	重命名
`SSL_SERVER_IC`	`SSL_SERVER_I_DN_C`	重命名
`SSL_SERVER_ISP`	`SSL_SERVER_I_DN_SP`	重命名
`SSL_SERVER_IL`	`SSL_SERVER_I_DN_L`	重命名
`SSL_CLIENT_CERTIFICATE`	`SSL_CLIENT_CERT`	重命名
`SSL_CLIENT_CERT_START`	`SSL_CLIENT_V_START`	重命名
`SSL_CLIENT_CERT_END`	`SSL_CLIENT_V_END`	重命名
`SSL_CLIENT_CERT_SERIAL`	`SSL_CLIENT_M_SERIAL`	重命名
`SSL_CLIENT_SIGNATURE_ALGORITHM`	`SSL_CLIENT_A_SIG`	重命名
`SSL_CLIENT_DN`	`SSL_CLIENT_S_DN`	重命名
`SSL_CLIENT_CN`	`SSL_CLIENT_S_DN_CN`	重命名
`SSL_CLIENT_EMAIL`	`SSL_CLIENT_S_DN_Email`	重命名
`SSL_CLIENT_O`	`SSL_CLIENT_S_DN_O`	重命名
`SSL_CLIENT_OU`	`SSL_CLIENT_S_DN_OU`	重命名
`SSL_CLIENT_C`	`SSL_CLIENT_S_DN_C`	重命名
`SSL_CLIENT_SP`	`SSL_CLIENT_S_DN_SP`	重命名
`SSL_CLIENT_L`	`SSL_CLIENT_S_DN_L`	重命名
`SSL_CLIENT_IDN`	`SSL_CLIENT_I_DN`	重命名
`SSL_CLIENT_ICN`	`SSL_CLIENT_I_DN_CN`	重命名
`SSL_CLIENT_IEMAIL`	`SSL_CLIENT_I_DN_Email`	重命名
`SSL_CLIENT_IO`	`SSL_CLIENT_I_DN_O`	重命名
`SSL_CLIENT_IOU`	`SSL_CLIENT_I_DN_OU`	重命名
`SSL_CLIENT_IC`	`SSL_CLIENT_I_DN_C`	重命名
`SSL_CLIENT_ISP`	`SSL_CLIENT_I_DN_SP`	重命名
`SSL_CLIENT_IL`	`SSL_CLIENT_I_DN_L`	重命名
`SSL_EXPORT`	`SSL_CIPHER_EXPORT`	重命名
`SSL_KEYSIZE`	`SSL_CIPHER_ALGKEYSIZE`	重命名
`SSL_SECKEYSIZE`	`SSL_CIPHER_USEKEYSIZE`	重命名
`SSL_SSLEAY_VERSION`	`SSL_VERSION_LIBRARY`	重命名
`SSL_STRONG_CRYPTO`	`-`	mod_ssl 不支持
`SSL_SERVER_KEY_EXP`	`-`	mod_ssl 不支持
`SSL_SERVER_KEY_ALGORITHM`	`-`	mod_ssl 不支持
`SSL_SERVER_KEY_SIZE`	`-`	mod_ssl 不支持
`SSL_SERVER_SESSIONDIR`	`-`	mod_ssl 不支持
`SSL_SERVER_CERTIFICATELOGDIR`	`-`	mod_ssl 不支持
`SSL_SERVER_CERTFILE`	`-`	mod_ssl 不支持
`SSL_SERVER_KEYFILE`	`-`	mod_ssl 不支持
`SSL_SERVER_KEYFILETYPE`	`-`	mod_ssl 不支持
`SSL_CLIENT_KEY_EXP`	`-`	mod_ssl 不支持
`SSL_CLIENT_KEY_ALGORITHM`	`-`	mod_ssl 不支持
`SSL_CLIENT_KEY_SIZE`	`-`	mod_ssl 不支持

自定义日志函数

启用 mod_ssl 后，mod_log_config 的自定义日志格式会存在其他函数，如参考章节中所述。除了可以用于扩展任何模块提供的任何变量的“%{varname}x”扩展格式函数外，还存在一个额外的密码学“%{name}c”密码学格式函数，用于向后兼容性。当前实现的函数调用列在表 3 中。

表 3：自定义日志密码学函数

函数调用	描述
`%...{version}c`	SSL 协议版本
`%...{cipher}c`	SSL 密码
`%...{subjectdn}c`	客户端证书主体可分辨名称
`%...{issuerdn}c`	客户端证书颁发者可分辨名称
`%...{errcode}c`	证书验证错误（数字）
`%...{errstr}c`	证书验证错误（字符串）