在Apache虚拟机上配置HTTPS服务的核心答案是：通过安装证书、启用SSL模块、修改虚拟主机配置文件并强制跳转，整个流程在CentOS等系统上通常半小时内可完成。
Apache虚拟机HTTPS配置前的环境检查
动手配置前,先确认你的Apache版本和虚拟机环境是否满足条件，多数情况下，Apache 2.4.x版本对SSL/TLS的支持已经非常成熟，配置方式和老版本有些差异，建议使用较新版本。
查看Apache版本和已加载模块
在终端输入以下命令确认版本：
httpd -v
或者：
apachectl -v
如果输出显示Apache/2.4.x版本，说明基础环境不错，接着检查SSL模块是否已经安装：
httpd -M | grep ssl
如果没有任何输出,说明mod_ssl模块尚未启用，这一步经常被零基础用户遗漏，结果后面配置虚拟主机时总是报错。
确认虚拟机配置文件的结构
Apache虚拟机（VirtualHost）的核心配置文件路径根据操作系统略有差异，CentOS/RHEL系统通常在/etc/httpd/conf.d/目录下，Debian/Ubuntu系统则在/etc/apache2/sites-available/目录下，建议先查看现有配置的目录结构：
ls /etc/httpd/conf.d/
多数情况下,ssl.conf文件已经存在于该目录，这说明系统自带了SSL配置模板，我们只需要在此基础上修改即可。
获取SSL证书：自签名证书与免费证书的选择
不配置证书就无法开启HTTPS,这里涉及一个很多新手纠结的问题：到底用自签名证书还是申请正规CA证书？
自签名证书适合测试环境
如果你只是在本地虚拟机测试,或者内网环境下使用，自签名证书完全够用，生成方式简单快速：
mkdir /etc/httpd/ssl cd /etc/httpd/ssl openssl req -new -x509 -days 365 -nodes -out server.crt -keyout server.key
执行后会提示输入国家、地区、组织等信息，按照实际情况填写即可，这样生成的证书和密钥会保存在/etc/httpd/ssl/目录下，不过需要说明的是，自签名证书在浏览器访问时会显示安全警告，用户体验不太好，仅建议测试时使用。
免费CA证书是生产环境首选
近年来,Let’s Encrypt等免费证书服务已经非常成熟，行业共识认为，对于绝大多数中小企业网站和个人博客，免费证书完全能够满足HTTPS加密需求，无需购买付费证书，配置方法通常借助Certbot工具，以Apache虚拟机为例：
yum install certbot python3-certbot-apache certbot --apache -d yourdomain.com
Certbot会自动检测Apache的虚拟主机配置,帮你完成证书申请和自动续期，整个过程大约几分钟，非常便利。
网站HTTPS证书价格与选择建议
很多人会搜索“网站HTTPS证书价格”这个长尾词，目前市场上付费证书的价格差异很大，从每年几百元到几千元不等，但如果你是个人站长或中小企业，没必要一开始就购买昂贵的企业验证证书，免费证书和付费证书在加密强度上几乎没有差别，主要区别在验证级别和售后保障，付费证书支持通配符域名、提供更长的有效期，还会在浏览器地址栏显示企业名称，如果你的站点涉及在线支付、用户登录等高敏感场景，可以考虑购买OV级或EV级证书，大多数内容展示型网站使用免费证书就够了。
Apache虚拟主机HTTPS配置步骤详解
拿到证书后,核心工作就是修改虚拟主机配置文件，以下步骤适用于Apache 2.4.x版本。
编辑虚拟主机配置文件
以CentOS环境为例,在/etc/httpd/conf.d/目录下创建一个新配置文件，比如ssl-vhost.conf：
vim /etc/httpd/conf.d/ssl-vhost.conf
写入以下配置内容：
<VirtualHost :443>
ServerName www.yourdomain.com
DocumentRoot /var/www/html
SSLEngine on
SSLCertificateFile /etc/httpd/ssl/server.crt
SSLCertificateKeyFile /etc/httpd/ssl/server.key
# 如果你的证书包含证书链，则取消下面一行的注释
# SSLCACertificateFile /etc/httpd/ssl/chain.crt
<Directory /var/www/html>
Options -Indexes +FollowSymLinks
AllowOverride All
Require all granted
</Directory>
ErrorLog logs/ssl_error_log
TransferLog logs/ssl_access_log
</VirtualHost>
如果是使用Certbot申请的证书,证书路径通常会在/etc/letsencrypt/live/你的域名/目录下，将SSLCertificateFile和SSLCertificateKeyFile指向对应文件即可。
配置HTTP自动跳转HTTPS
很多用户设置完HTTPS后,发现直接输入域名还是走了HTTP，这需要在原80端口虚拟主机配置中加入跳转规则，编辑对应的HTTP虚拟主机配置，添加重定向：
<VirtualHost :80>
ServerName www.yourdomain.com
Redirect permanent / https://www.yourdomain.com/
</VirtualHost>
保存配置文件后,先测试语法是否正确：
httpd -t
如果输出Syntax OK，然后重启Apache服务：
systemctl restart httpd
防火墙和SELinux的注意事项
配置完成后,浏览器还是无法访问443端口的话，多数情况下是防火墙没有放行，在CentOS上执行：
firewall-cmd --permanent --add-service=https firewall-cmd --reload
另外SELinux可能拦截Apache读取证书文件,如果遇到权限问题，可以尝试：
restorecon -Rv /etc/httpd/ssl/
或者临时关闭SELinux验证是否为原因所在,不过生产环境不建议关闭。
Apache虚拟机HTTPS配置常见报错与排查
实际配置过程中,报错信息五花八门，根据我的经验，用户检索“apache 虚拟主机 https 配置 教程”时，卡住最多的环节往往是证书路径错误和模块未启用。
报错信息：Invalid command ‘SSLEngine’
这个错误非常常见,说明SSL模块未加载，在CentOS上启用mod_ssl：
yum install mod_ssl
Debian/Ubuntu系统则执行：
a2enmod ssl
然后重启Apache。
报错信息：Failed to load certificate
证书文件无法加载,需要检查证书文件是否存在以及是否有读取权限：
ls -l /etc/httpd/ssl/
文件权限至少需要644，私钥文件建议600，另外路径写错也是常见问题，请完整复制pwd命令输出的绝对路径。
查看Apache运行日志辅助定位
当日志中出现问题时,查看错误日志是最直接的排查方式：
tail -f /var/log/httpd/ssl_error_log
错误日志会把具体原因详细列出,包括证书链不完整、端口被占用、配置文件语法不对等，按提示修改即可解决。
HTTPS配置完成后需要做的验证工作
很多用户重启Apache服务后就直接关掉终端,忽略了验证环节，正确操作是检查监听端口和证书是否正常工作。
检查443端口监听情况
netstat -tlnp | grep 443
输出中出现https或者httpd进程监听，说明服务已经正常启动。
使用在线工具或浏览器验证证书链
访问https://你的域名，浏览器地址栏出现小锁图标说明配置成功，如果不放心，可以使用curl命令检测：
curl -I https://www.yourdomain.com
返回包含HTTP/2 200或HTTP/1.1 200的响应头，即证明HTTPS服务正常。
测试HTTP自动跳转是否生效
使用curl不加s参数请求HTTP地址：
curl -I http://www.yourdomain.com
如果配置正确,返回状态码应该是301或302，Location指向HTTPS地址。
Apache与Nginx的HTTPS配置方式差异
经常有人问起
nginx tomcat https 配置 区别，其中也包含了Apache和Nginx的对比，Apache虚拟机的HTTPS配置主要依赖.conf文件中的<VirtualHost :443>块，而Nginx需要写server块并单独配置ssl_certificate指令，Nginx的语法相对更简洁，一行证书一行私钥，Apache则要分别指定SSLCertificateFile和SSLCertificateKeyFile，两者在证书兼容性上没有本质区别，关键是看你的现有环境用哪个顺手，如果团队内部已经熟悉Nginx，迁移到Nginx也正常；但如果服务器上已经跑了多个PHP服务且依赖.htaccess文件，Apache虚拟机仍然是更合适的选择。
Apache虚拟机上配置HTTPS服务并非高深操作：准备好证书，启用mod_ssl模块，修改虚拟主机配置，重启服务，做完这几步你的站点就能以加密协议对外提供服务，免费证书已经可以覆盖绝大多数应用场景，没有必要为入门配置额外付费，唯一需要认真对待的是配置文件路径和防火墙放行，这两步踩坑的人最多，但只要按照上述流程一步步来，你可以在半小时内完成全部配置。
Apache虚拟机HTTPS配置常见问题Q&A
已经配置好HTTPS，为什么浏览器还是显示不安全？
首先确认你是否直接访问的https://开头地址，而不是http://，如果地址栏输的是HTTP协议，需要检查虚拟主机配置文件里的跳转规则是否生效，重启Apache后再测试，另外某些浏览器会缓存之前的HTTP跳转状态，建议清除浏览器缓存或使用无痕模式重新访问。
一个Apache虚拟机上可以配置多个域名的HTTPS吗？
可以,只要服务器IP充足或者使用SNI技术就能实现，每个域名需要在配置文件中单独添加一个<VirtualHost :443>块，每个块内对应不同的ServerName和证书文件路径，Apache 2.4版本默认支持SNI，但需要确保Apache在编译时启用了该功能，配置多个域名的核心要点是每个虚拟主机块内的证书路径不要写错，避免多个域名共用同一份证书导致警告。
使用免费证书的Apache虚拟机HTTPS配置步骤和付费证书有什么不同，网站HTTPS证书价格差异体现在哪里？
配置步骤完全一样,没有区别，两者都是把证书文件路径指向SSLCertificateFile和SSLCertificateKeyFile，免费证书通常只需申请时验证域名所有权，付费证书多出企业资质验证和人工审核环节，付费证书提供更长的有效期、通配符域名支持以及商业保险保障，价格从每年数百元至数千元不等，对于个人博客和中小型企业展示站，免费证书已经够用，需要做在线交易或支付业务时再考虑付费证书更合理。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/apache%e8%99%9a%e6%8b%9f%e6%9c%ba%e5%a6%82%e4%bd%95%e9%85%8d%e7%bd%aehttps%ef%bc%8c%e8%af%a6%e7%bb%86%e6%ad%a5%e9%aa%a4%e6%98%af%e4%bb%80%e4%b9%88%ef%bc%9f/
