[LNMP]Nginx配置SSL

    SSL证书是数字证书的一种，因为配置在服务器上，也称为SSL服务器证书。它遵守SSL协议，由受信任的数字证书颁发机构CA，在验证服务器身份后颁发，具有服务器身份验证和数据传输加密功能。

    SSL证书通过在客户端浏览器和Web服务器之间建立一条SSL安全通道，通过它可以**SSL协议，实现数据信息在客户端和服务器之间的加密传输，可以防止数据信息的泄露。保证了双方传递信息的安全性，而且用户可以通过服务器证书验证他所访问的网站是否是真实可靠。

下面将演示在nginx环境下ssl的配置方式。

一、产生SSL**对

1、安装openssl

1 2 3 4

[root@plinuxos ~]# cd /usr/local/nginx/conf/ [root@plinuxos conf]# rpm -qf `which openssl` openssl-1.0.1e-60.el7_3.1.x86_64 [root@plinuxos conf]# yum install -y openssl

2、设置私钥

1 2 3 4 5 6 7 8 9 10 11

[root@plinuxos conf]# openssl genrsa -des3 -out tmp.key 2048 Generating RSA private key, 2048 bit long modulus ..........................+++ ...........................................................................................................................................................+++ e is 65537 (0x10001) Enter pass phrase for tmp.key: Verifying - Enter pass phrase for tmp.key: [root@plinuxos conf]# openssl rsa -in tmp.key -out sykey.key ##取消密码，生成新的私钥文件 Enter pass phrase for tmp.key: writing RSA key [root@plinuxos conf]# rm -rf tmp.key

3、生成证书请求文件

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20

[root@plinuxos conf]# openssl req -new -key sykey.key -out key.csr You are about to be asked to enter information that will be incorporated into your certificate request. What you are about to enter is what is called a Distinguished Name or a DN. There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter '.', the field will be left blank. ----- Country Name (2 letter code) [XX]:cn State or Province Name (full name) []:shanghai Locality Name (eg, city) [Default City]:shanghai Organization Name (eg, company) [Default Company Ltd]:51cto Organizational Unit Name (eg, section) []:it Common Name (eg, your name or your server's hostname) []:grodd Email Address []:51cto.51cto.com   Please enter the following 'extra' attributes to be sent with your certificate request A challenge password []:pwd An optional company name []:51cto

4、生成公钥

1 2 3 4

[root@plinuxos conf]# openssl x509 -req -days 365 -in key.csr -signkey sykey.key -out gykey.crt Signature ok subject=/C=cn/ST=shanghai/L=shanghai/O=51cto/OU=it/CN=grodd/emailAddress=51cto.51cto.com Getting Private key

二、Nginx配置SSL

1、编辑配置文件

1 2 3 4 5 6 7 8 9 10 11 12 13

[root@plinuxos conf]# mkdir /data/wwwroot/test.com [root@plinuxos conf]# vi /usr/local/nginx/conf/vhost/ssl.conf server {     listen 443;     server_name test.com;     index index.html index.php;     root /data/wwwroot/test.com;     ssl on;     ssl_certificate gykey.crt;     ssl_certificate_key sykey.key;     ssl_protocols TLSv1 TLSv1.1 TLSv1.2; }

2、重新编译安装

1 2 3 4 5 6 7

[root@plinuxos conf]# cd /usr/local/src/nginx-1.12.1 [root@plinuxos nginx-1.12.1]# ./configure --prefix=/usr/local/nginx --with-http_ssl_module [root@plinuxos nginx-1.12.1]# echo $? 0 [root@plinuxos nginx-1.12.1]# make && make install [root@plinuxos nginx-1.12.1]# echo $? 0

3、检查与重载

1 2 3 4 5 6 7 8 9 10 11 12 13 14

[root@plinuxos nginx-1.12.1]# /usr/local/nginx/sbin/nginx -V nginx version: nginx/1.12.1 built by gcc 4.8.5 20150623 (Red Hat 4.8.5-11) (GCC)  built with OpenSSL 1.0.1e-fips 11 Feb 2013 TLS SNI support enabled configure arguments: --prefix=/usr/local/nginx --with-http_ssl_module [root@plinuxos nginx-1.12.1]# /usr/local/nginx/sbin/nginx -t nginx: the configuration file /usr/local/nginx/conf/nginx.conf syntax is ok nginx: configuration file /usr/local/nginx/conf/nginx.conf test is successful [root@plinuxos nginx-1.12.1]# /etc/init.d/nginx restart Restarting nginx (via systemctl):                          [  OK  ] [root@plinuxos nginx-1.12.1]# netstat -lntp |grep -i nginx tcp        0      0 0.0.0.0:80       0.0.0.0:*        LISTEN      2233/nginx: master   tcp        0      0 0.0.0.0:443      0.0.0.0:*        LISTEN      2233/nginx: master

4、测试效果

1 2	[root@plinuxos nginx-1.12.1]# cd /data/wwwroot/test.com/ [root@plinuxos test.com]# echo "ssl test" > index.html

本地测试

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17

[root@plinuxos test.com]# vi /etc/hosts 127.0.0.1   localhost localhost.localdomain localhost4 localhost4.localdomain4 test.com ::1         localhost localhost.localdomain localhost6 localhost6.localdomain6 [root@plinuxos test.com]# curl https://test.com curl: (60) Peer's certificate issuer has been marked as not trusted by the user. More details here: http://curl.haxx.se/docs/sslcerts.html   curl performs SSL certificate verification by default, using a "bundle"  of Certificate Authority (CA) public keys (CA certs). If the default  bundle file isn't adequate, you can specify an alternate file  using the --cacert option. If this HTTPS server uses a certificate signed by a CA represented in  the bundle, the certificate verification probably failed due to a  problem with the certificate (it might be expired, or the name might  not match the domain name in the URL). If you'd like to turn off curl's verification of the certificate, use  the -k (or --insecure) option.

远端测试

注意：由于模拟使用的是云主机，要确保安全组策略放过443端口。此外，系统的防火墙没有做任何限制。

本文转自Grodd51CTO博客，原文链接：http://blog.51cto.com/juispan/1956587，如需转载请自行联系原作者