Nginx自籤ssl證書建立及配置方法
阿新 • • 發佈：2019-01-31
場景：
Nginx使用自籤ssl證書實現https連線。
方法：
第一步：使用OpenSSL建立證書
#建立伺服器私鑰（過程需要輸入密碼，請記住這個密碼）生成RSA金鑰 >openssl genrsa -des3 -out server.key 1024 #生成一個證書請求 >openssl req -new -key server.key -out server.csr #需要依次輸入國家，地區，組織，email。最重要的是有一個common name，可以寫你的名字或者域名。如果為了https申請，這個必須和域名吻合，否則會引發瀏覽器警報。生成的csr檔案交給CA簽名後形成服務端自己的證書 #--------------------------------------------------------------------------------------------------------------- Enter pass phrase for server.key: #之前輸入的密碼 Country Name (2 letter code) [XX]: #國家 State or Province Name (full name) []: #區域或是省份 Locality Name (eg, city) [Default City]: #地區區域性名字 Organization Name (eg, company) [Default Company Ltd]: #機構名稱：填寫公司名 Organizational Unit Name (eg, section) []: #組織單位名稱:部門名稱 Common Name (eg, your name or your server's hostname) []: #網站域名 Email Address []: #郵箱地址 A challenge password []: #輸入一個密碼，可直接回車 An optional company name []: #一個可選的公司名稱，可直接回車 #--------------------------------------------------------------------------------------------------------------- #輸入完這些內容，就會在當前目錄生成server.csr檔案 >cp server.key server.key.org >openssl rsa -in server.key.org -out server.key #使用上面的金鑰和CSR對證書進行簽名 #以下命令生成v1版證書 >openssl x509 -req -days 365 -sha256 -in server.csr -signkey server.key -out servernew.crt #以下命令生成v3版證書 >openssl x509 -req -days 365 -sha256 -extfile openssl.cnf -extensions v3_req -in server.csr -signkey server.key -out servernew.crt
至此，證書生成完畢!
附常用對證書的操作：
檢視key、csr及證書資訊
openssl rsa -noout -text -in myserver.key
openssl req -noout -text -in myserver.csr
openssl x509 -noout -text -in ca.crt# PKCS轉換為PEM > openssl pkcs12 -in myserver.pfx -out myserver.pem -nodes # PEM轉換為DER > openssl x509 -outform der -in myserver.pem -out myserver.[der|crt] # PEM提取KEY > openssl RSA -in myserver.pem -out myserver.key # DER轉換為PEM > openssl x509 -inform der -in myserver.[cer|crt] -out myserver.pem # PEM轉換為PKCS > openssl pkcs12 -export -out myserver.pfx -inkey myserver.key -in myserver.pem -certfile ca.crt
第二步：Nginx下ssl配置方法
首先，確保安裝了OpenSSL庫，並且安裝Nginx時使用了–with-http_ssl_module引數。
證書拷至nginx目錄，配置如下server
|
server { listen 443 ssl; server_name your.domain.name; index index.html index.htm index.php; ssl on; ssl_certificate ssl/hotyq.com.crt; ssl_certificate_key ssl/hotyq.com.key; ssl_session_cache shared:SSL:10m; ssl_session_timeout 5m; ssl_protocols TLSv1 TLSv1.1 TLSv1.2; } |
另，還可加入如下配置實現https重定向
|
server { isten 80; server_name your.domain.name; rewrite ^(.*) https://$server_name$1 permanent; } |
敲黑板：
第一次配置https時需重啟nginx！
驗證方法：
Win、Android系統
curl https://your.domain.name
iOS系統
curl -3 https://your.domain.name