成人国产在线小视频_日韩寡妇人妻调教在线播放_色成人www永久在线观看_2018国产精品久久_亚洲欧美高清在线30p_亚洲少妇综合一区_黄色在线播放国产_亚洲另类技巧小说校园_国产主播xx日韩_a级毛片在线免费

資訊專欄INFORMATION COLUMN

Nginx 配置 SSL 證書 + 搭建 HTTPS 網(wǎng)站

BicycleWarrior / 4007人閱讀

摘要：操作流程第一步，生成文件和文件第二步，提交文件到機(jī)構(gòu)第三步，拿到文件第四步，三個文件放到目錄下第五步，修改文件也可以不監(jiān)聽端口看需要一般的形式就配置好了為了更安全，可以考慮使用迪菲赫爾曼密鑰交換然后在配置的后面加上下面的配

操作流程

第一步，生成csr文件和key文件

$ cd /etc/ssl/private
$ openssl req -new -newkey rsa:2048 -sha256 -nodes -out maketea_loc.csr -keyout maketea_loc.key -subj "/C=CN/ST=Beijing/L=Beijing/O=maketea Inc./OU=Web Security/CN=*.maketea.loc"

第二步，提交csr文件到CA機(jī)構(gòu)

第三步，拿到crt文件

第四步，maketea_loc.csr maketea_loc.key maketea_loc.crt 三個文件放到/etc/ssl/private目錄下

第五步，修改nginx文件

server {  
    listen 80;#也可以不監(jiān)聽80端口 看需要
    listen 443 ssl;
    server_name www.maketea.loc;

    ssl on;
    ssl_certificate /etc/ssl/private/maketea_loc.crt;
    ssl_certificate_key /etc/ssl/private/maketea_loc.key;
}

一般的SHA-1形式https就配置好了

為了更安全 ，可以考慮使用迪菲－赫爾曼密鑰交換

$ cd /etc/ssl/certs
$ openssl dhparam -out dhparam.pem 2048

然后在nginx ssl配置的后面加上下面的配置

ssl_prefer_server_ciphers on;
ssl_dhparam /etc/ssl/certs/dhparam.pem;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_ciphers "EECDH+ECDSA+AESGCM EECDH+aRSA+AESGCM EECDH+ECDSA+SHA384 EECDH+ECDSA+SHA256 EECDH+aRSA+SHA384 EECDH+aRSA+SHA256 EECDH+aRSA+RC4 EECDH EDH+aRSA !aNULL !eNULL !LOW !3DES !MD5 !EXP !PSK !SRP !DSS !RC4";
keepalive_timeout 70;
ssl_session_cache shared:SSL:10m;
ssl_session_timeout 10m;

同時，如果是全站 HTTPS 并且不考慮 HTTP 的話，可以加入 HSTS 告訴你的瀏覽器本網(wǎng)站全站加密，并且強(qiáng)制用 HTTPS 訪問

add_header Strict-Transport-Security max-age=63072000;
add_header X-Frame-Options DENY;
add_header X-Content-Type-Options nosniff;

同時也可以多帶帶開一個 Nginx 配置，把 HTTP 的訪問請求都用 301 跳轉(zhuǎn)到 HTTPS

server {  
        listen 80;
        server_name  www.maketea.loc;
        return 301 https://www.maketea.loc$request_uri;
}
頒發(fā)證書的機(jī)構(gòu)

目前一般市面上針對中小站長和企業(yè)的 SSL 證書頒發(fā)機(jī)構(gòu)有：

StartSSL

Comodo / 子品牌 Positive SSL

GlobalSign / 子品牌 AlphaSSL

GeoTrust / 子品牌 RapidSSL

其中 Postivie SSL、AlphaSSL、RapidSSL 等都是子品牌，一般都是三級四級證書，所以你會需要增加 CA 證書鏈到你的 CRT 文件里。

以 Comodo Positive SSL 為例，需要串聯(lián) CA 證書，假設(shè)你的域名是 example.com

那么，串聯(lián)的命令是

$ cat example_com.crt COMODORSADomainValidationSecureServerCA.crt COMODORSAAddTrustCA.crt AddTrustExternalCARoot.crt > example_com.signed.crt

在 Nginx 配置里使用 example_com.signed.crt 即可

級聯(lián)問題

有些時候，由第三方機(jī)構(gòu)簽發(fā)的證書在瀏覽器上是OK的，但是到了例如安卓端會不認(rèn)這個證書，Nginx官方是這樣說的

Some browsers may complain about a certificate signed by a well-known certificate authority, while other browsers may accept the certificate without issues. This occurs because the issuing authority has signed the server certificate using an intermediate certificate that is not present in the certificate base of well-known trusted certificate authorities which is distributed with a particular browser. In this case the authority provides a bundle of chained certificates which should be concatenated to the signed server certificate. The server certificate must appear before the chained certificates in the combined file

就是說需要有個中間證書

一般類似godaddy這種機(jī)構(gòu)會提供這個證書給你，你要做的就是把這個串放在crt文件的后面，做成一個新的crt，就可以正常使用了

$ cat nginx.crt bundle.crt > nginx.chain.crt

測試的時候自簽證書的方法

$ openssl ca -in nginx.csr -out nginx.crt

參考文獻(xiàn)

https://s.how/nginx-ssl/
http://www.cnblogs.com/chjbbs...

文章版權(quán)歸作者所有，未經(jīng)允許請勿轉(zhuǎn)載,若此文章存在違規(guī)行為，您可以聯(lián)系管理員刪除。

轉(zhuǎn)載請注明本文地址：http://systransis.cn/yun/39412.html

相關(guān)文章

  • 一文教您如何通過 Docker 搭建反向代理 Ngnix，并配置 Https SSL 證書

    摘要：由于上面我們已經(jīng)新建了一個配置文件，這里就直接將反向代理的配置寫在里面通過配置，我們反向代理到了端口的服務(wù)。六最后本文中，我們學(xué)習(xí)了如何通過快速搭建環(huán)境，并對其配置證書和反向代理，讓網(wǎng)站能夠以協(xié)議來訪問。 歡迎關(guān)注個人微信公眾號: 小哈學(xué)Java, 每日推送 Java 領(lǐng)域干貨文章，關(guān)注即免費(fèi)無套路附送 100G 海量學(xué)習(xí)、面試資源喲??！個人網(wǎng)站: https://www.except...

    ZHAO_ 評論0 收藏0

  • Nginx配置https訪問

    摘要：在這里我使用的是阿里云，里面提供一年免費(fèi)證書什么是根據(jù)維基百科的解釋超文本傳輸安全協(xié)議縮寫，英語是超文本傳輸協(xié)議和的組合，用以提供加密通訊及對網(wǎng)絡(luò)服務(wù)器身份的鑒定。配置我使用的是阿里云，其他云也一樣。 在這里我使用的是阿里云ECS，里面提供一年免費(fèi)SSL證書 1、什么是HTTPS 根據(jù)維基百科的解釋： 超文本傳輸安全協(xié)議（縮寫：HTTPS，英語：Hypertext Transfer P...

    孫吉亮 評論0 收藏0

  • 用nginx+WordPress搭建個人博客全流程

    摘要：正好最近有一臺空閑的于是來搭建一個玩玩。因此我們可以申請免費(fèi)的證書，這個證書不但免費(fèi)，而且操作非常簡單，雖然每次只有天的有效期，但可以通過腳本配置定期更新。這個驗證服務(wù)以后更新證書還要用到，要一直保留。創(chuàng)建一個并通過賦予執(zhí)行權(quán)限。 0x00 前言 ????????WordPress是世界上最受歡迎的CMS系統(tǒng)，它是基于php和MySQL技術(shù)棧的，并且還有很多插件，可擴(kuò)展性非常強(qiáng)。正好最...

    WilsonLiu95 評論0 收藏0

  • 【圖文】如何用云服務(wù)器搭建一個https的網(wǎng)站？

    摘要：推薦使用阿里云服務(wù)器。推薦使用阿里云的，我的網(wǎng)站就是搭建在阿里云的上，穩(wěn)定下一個教程分享一下，如何優(yōu)化站點(diǎn)的打開速度。所需材料：??????? 1、域名1個。??????? 2、虛擬機(jī)或者云服務(wù)器1臺。??????? 3、ssl證書1個。? 前提準(zhǔn)備：??????? 1、域名最好要備案，在國內(nèi)使用比較方便。? ? ? ? ?2、推薦使用阿里云服務(wù)器。（阿里云哪個地域節(jié)點(diǎn)的服務(wù)器好、速度快，...

    CodeSheep 評論0 收藏0

  • 搭建https服務(wù)--部署服務(wù)（2）

    摘要：這邊以常用的為例。首先將在獲取的證書，上傳至服務(wù)器。修改的配置，并且重啟，重啟時需要輸入證書密碼。配置如下默認(rèn)的是端口，默認(rèn)的端口。 上一節(jié)介紹了HTPPS協(xié)議，以及獲取HTPP證書的方法。這一節(jié)將介紹如何部署HTPPS服務(wù)。這邊以常用的linux+nginx為例。1.首先將在startssl獲取的證書，上傳至服務(wù)器。2.修改nginx的配置，并且重啟nginx，重啟時需要輸入證書密碼...

    Drummor 評論0 收藏0

發(fā)表評論

0條評論

BicycleWarrior

男|高級講師

TA的文章

閱讀更多
最新活動
閱讀需要支付1元查看
<