根据honestqiao的帖子和myhan的文章，集合了2种方法如下：
(各位先别着急试1和2，这些指令未必都正确；先对照一下最后面的5备注，我在最后有说明)
1.装apache的时候静态安装modssl
1.1 先静态安装openssl
./config
make
make install
1.2 后装apache，静态安装modssl，其它都动态安装（据说modssl的动态做的还不太好，所以静态）
./configure --prefix=/usr/local/apache2 --enable-so --enable-ssl=static --with-ssl=/usr/local/ssl --enable-mods-shared=all
make
make install
2.装apache的时候动态安装modssl
2.1 先动态安装openssl
./config
make
make build-shared
mv libssl.so* /usr/local/lib
mv libcrypto.so* /usr/local/lib
ldconfig
2.2 再安装apache，所有模块全动态
./configure --prefix=/usr/local/apache2 --enable-ssl=shared --enable-mods-shared=all
make
make install
3. 其它零零碎碎的东西
3.1 别忘了/usr/local/apache2/conf/ssl.conf的端口监听，
只写个Listen 443可不行，443端口根本没在监听，https根本起不来。
ip必须要填上,符合以下之一的情况
Listen 0.0.0.0:443 本机所有ip(ipv4)的443端口
Listen [::]:443 本机所有ip(ipv6)的443端口
Listen xxx.xxx.xxx.xxx:443 本机ip(ipv4:xxx.xxx.xxx.xxx)的443端口
还有本机ipv6的ip等等
3.2 ssl的证书必须制作，不制作，https起不来，modssl等于白给。
(以下大段摘抄)
对证书不熟悉的人，有一个工具可以使用：http://www.openssl.org/contrib/ssl.ca-0.1.tar.gz
# cd /usr/local/apache2/conf
# tar zxvf ssl.ca-0.1.tar.gz
# cd ssl.ca-0.1
# ./new-root-ca.sh (生成根证书)
No Root CA key round. Generating one
Generating RSA private key, 1024 bit long modulus
...........................++++++
....++++++
e is 65537 (0x10001)
Enter pass phrase for ca.key: (输入一个密码)
Verifying - Enter pass phrase for ca.key: (再输入一次密码)
......
Self-sign the root CA... (签署根证书)
Enter pass phrase for ca.key: (输入刚刚设置的密码)
........
........ (下面开始签署)
Country Name (2 letter code) [MY]:CN
State or Province Name (full name) [Perak]:JiangSu
Locality Name (eg, city) [Sitiawan]:NanJing
Organization Name (eg, company) [My Directory Sdn Bhd]:Wiscom System Co.,Ltd
Organizational Unit Name (eg, section) [Certification Services Division]:ACSTAR
Common Name (eg, MD Root CA) []:WISCOM CA
Email Address []:acmail@wiscom.com.cn
这样就生成了ca.key和ca.crt两个文件，下面还要为我们的服务器生成一个证书：
# ./new-server-cert.sh server (这个证书的名字是server)
......
......
Country Name (2 letter code) [MY]:CN
State or Province Name (full name) [Perak]:JiangSu
Locality Name (eg, city) [Sitiawan]:NanJing
Organization Name (eg, company) [My Directory Sdn Bhd]:Wiscom System Co.,Ltd
Organizational Unit Name (eg, section) [Secure Web Server]:ACSTAR
Common Name (eg, www.domain.com) []:acmail.wiscom.com.cn
这个服务器的Common Name可是很重要,填的不正确以后有点小麻烦
你有真正的被承认的域名吗？有就填比如：www.SBdaxue.edu.cn 没有的话，就填ip地址就行了比如：202.202.202.202
Email Address []:acmail@wiscom.com.cn
这样就生成了server.csr和server.key这两个文件。
还需要签署一下才能使用的：
# ./sign-server-cert.sh server
CA signing: server.csr -> server.crt:
Using configuration from ca.config
Enter pass phrase for ./ca.key: (输入上面设置的根证书密码)
Check that the request matches the signature
Signature ok
The Subject's Distinguished Name is as follows
countryName :PRINTABLE:'CN'
stateOrProvinceName :PRINTABLE:'JiangSu'
localityName :PRINTABLE:'NanJing'
organizationName :PRINTABLE:'Wiscom System Co.,Ltd'
organizationalUnitName:PRINTABLE:'ACSTAR'
commonName :PRINTABLE:'acmail.wiscom.com.cn'
emailAddress :IA5STRING:'acmail@wiscom.com.cn'
Certificate is to be certified until Jul 16 12:55:34 2005 GMT (365 days)
Sign the certificate? [y/n]:y
1 out of 1 certificate requests certified, commit? [y/n]y
Write out database with 1 new entries
Data Base Updated
CA verifying: server.crt <-> CA cert
server.crt: OK
(如果这里出现错误，最好重新来过，删除ssl.ca-0.1这个目录，从解压缩处重新开始。)
下面要按照ssl.conf里面的设置，将证书放在适当的位置。
（别急ssl.conf的基本设置在后面贴，）
# chmod 400 server.key
# cd ..
# mkdir ssl.key
# mv ssl.ca-0.1/server.key ssl.key
# mkdir ssl.crt
# mv ssl.ca-0.1/server.crt ssl.crt
3.3 ssl.conf的设置
（注意： 以上方法好像只建立了CA根证书和服务器证书，并未建立客户端证书，因此不能进行客户端验证。客户端证书的制作应该包含在这个程序之中，大概是new-user-cert.sh和sign-user-cert.sh。也可以看看本区的其它精华，它们制作证书的方法有些不同）
SSLCertificateFile xxx/xxx.crt （服务器证书的位置，就是公钥吧？后面是位置和名字）
SSLCertificateKeyFile xxx/xxx.key （服务器私钥,后面是位置和名字）
SSLCACertificateFile xxx/xxx.crt （CA根证书，进行客户端验证时需要。也是一个CA公钥吧？后面是位置和名字)
(我自己是把它们都放在apache的conf目录下了）
DocumentRoot "/xxx/xx" （指向要ssl加密认证的文档目录，比如"/usr/local/apache/htdocs"）
SSLVerifyClient require （去掉前面的‘#’号，进行客户端验证时需要）
SSLVerifyDepth 1 （去掉前面的‘#’号，把10改为1，进行客户端验证时需要）
3.2 运行apache
/usr/local/apache2/bin/apachectl startssl就运行了
/usr/local/apache2/bin/apachectl stop关闭
4.
客户端上https的网站，以ie为例：
客户端安装证书
打开internet explorer(IE)，工具-internet选项-内容-证书，点选'个人'
再点击导入,把客户端证书xxx.pfx或xxx.p12导入到个人组里(别忘了扩展名是pfx)。
这里还要输入刚才建立的输出密码hehe才能倒入呢。
接着，点选'受信任的根证书颁发机构'，点击导入，把CA根证书xxx.crt导入到受信任的根证书颁发机构里。
#########################################################################
好啦，重新启动apache，打开IE，
在地址栏里输入服务器地址https://xx.xx.xx.xx或者域名，弹出个窗口要选择个人的数字证书。
点选，然后确定。
如果服务器证书的common name填写正确的话，你就可以直接进入网站了，看到右下角的小锁头（可靠的SSL128位）。
如果服务器证书的common name填写不正确，就会弹出个‘安全警报’框，告诉你3条：
1.安全证书由信任的站点颁发
（如果说是由不信任的站点颁发，那就是你的ca根证书ca.crt没有导入到ie的受信任的根证书颁发机构里）
2.安全证书的日期有效
（这个日期缺省是10年，可以在openssl.cnf里调整修改，然后重新制作一整套证书）
3.“安全证书上的名称无效，或者与站点名称不匹配”
这就是服务器证书的common name填写不正确所致，不过这也没关系，有人好像愿意这样。我是不想看到这个警告框，烦人。
即使有安全警报，你仍能进入网站，看到右下角的小锁头（可靠的SSL128位）
#################################
最后，成功啦！用吧。
5.备注：
5.1 apache进行configure的时候，有了--enable-mods-shared=all,就不需要--enable-so这项了。但还必须有--enable-ssl(=xxxx)！mods里缺省是不含ssl的。
5.2 如果静态安装modssl,那么--enable-ssl=static应该在--enable-mods-shared=all之前,否则可能出错（似乎我碰到过）。
5.3 如果动态安装modssl，（openssl必然也是动态安装）那么--with-ssl=/xxx/xxx/xxx这个参数就不需要了。因为动态openssl根本就没有安装目录，都成动态库了，程序会自动找到的。而--enable-ssl=shared还是需要的。
5.4 参数解释
./configure --prefix=/aaa/bbb/ccc 定义安装目录
--enable-so 允许动态模块安装
--enable-ssl=static modssl静态安装
--with-ssl=/usr/local/ssl 安装modssl所需的openssl安装目录
--enable-mods-shared=all 动态安装所有模块(modssl除外)
--enable-ssl=shared modssl动态安装
mv libssl.so* /usr/local/lib 把所有以libssl.so打头的文件移动到指定目录（照着做就是了）
| zhuningwll 回复于：2005-05-06 02:21:36 |
| good! |
| ataman 回复于：2005-05-06 11:09:41 |
| 像设置参数、安装、应用等情况，又不是编程，不需要自已有什么创造性。只要有人愿意分享经验，资料，一切都很简单，没有难度。
希望大家能主动收集整理，发到网上来，让更多人分享。 当然，要感谢那些无私为大家服务的人。 |
| suyang0218 回复于：2005-05-18 13:57:26 |
| # ./new-user-cert.sh client 客户端证书制作
# ./sign-user-cert.sh client 客户端证书签署 # ./p12.sh client 将客户端证书从x.509转化成pkcs12格式（此步必须作，否则客户端无法正确安装证书） |