nginx配置https协议

admin · 发表于 2018-5-5 15:59:33

ngin配置https协议
1.https简介
HTTPS其实是有两部分组成：HTTP + SSL / TLS，也就是在HTTP上又加了一层处理加密信息的模块。服务端和客户端的信息传输都会通过TLS进行加密，所以传输的数据都是加密后的数据
2.https协议原理
首先，客户端与服务器建立连接，各自生成私钥和公钥，是不同的。服务器返给客户端一个公钥，然后客户端拿着这个公钥把要搜索的东西加密，称之为密文，并连并自己的公钥一起返回给服务器，服务器拿着自己的私钥解密密文，然后把响应到的数据用客户端的公钥加密，返回给客户端，客户端拿着自己的私钥解密密文，把数据呈现出来

TLS或传输层安全( transport layer security)，它的前身是SSL(安全套接字层secure sockets layer)，是Web协议用来包裹在一个受保护，加密封装正常通道。
采用这种技术，服务器和客户端之间可以安全地进行交互，而不用担心消息将被拦截和读取。证书系统帮助用户在核实它们与连接站点的身份。

openssl req -x509 -nodes -days 36500 -newkey rsa:2048 -keyout /usr/local/nginx/conf/ssl/nginx.key -out /usr/local/nginx/conf/ssl/nginx.crt

Generating a 2048 bit RSA private key
...................+++
........+++
writing new private key to '/usr/local/nginx/conf/ssl/nginx.key'
-----
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----

Country Name (2 letter code) [XX]:BJ
State or Province Name (full name) []:Beijing
Locality Name (eg, city) [Default City]:Beijing
Organization Name (eg, company) [Default Company Ltd]:Beijing
Organizational Unit Name (eg, section) []:
Common Name (eg, your name or your server's hostname) []:
Email Address []:

步骤2： Configure Nginx to Use SSL

首先配置HTTP请求重定向

server {

         listen    80;

            server_name  www.yourdomain.com;

            rewrite ^ https://$http_host$request_uri? permanent; # force redirect http to https #return 301 https://$http_host$request_uri;

}

server {
               listen 443 ssl;
               ssl_certificate /etc/nginx/ssl/nginx.crt;

      ssl_certificate_key /etc/nginx/ssl/nginx.key;
      keepalive_timeout 70;

      server_name www.yourdomain.com; #禁止在header中出现服务器版本，防止黑客利用版本漏洞攻击

server_tokens off; #如果是全站 HTTPS 并且不考虑 HTTP 的话，可以加入 HSTS 告诉你的浏览器本网站全站加密，并且强制用 HTTPS 访问 #add_header Strict-Transport-Security "max-age=31536000; includeSubdomains";       # ......

fastcgi_param HTTPS             on;

      fastcgi_param HTTP_SCHEME       https;

access_log    /usr/local/nginx/logs/wiki.xby1993.net.access.log;

   error_log    /usr/local/nginx/logs/wiki.xby1993.net.error.log;

}

如果想同时启用HTTP和HTTPS

server {
            listen             80;

         listen             443 ssl;

         server_name       www.example.com;

      ssl_certificate    www.example.com.crt;
      ssl_certificate_key www.example.com.key;

...
            }

admin · 发表于 2018-5-5 16:07:03

创建了有效期100年，加密强度为RSA2048的SSL密钥key和X509证书文件。

参数说明:

req: 配置参数-x509指定使用 X.509证书签名请求管理(certificate signing request (CSR))."X.509" 是一个公钥代表that SSL and TLS adheres to for its key and certificate management.
-nodes: 告诉OpenSSL生产证书时忽略密码环节.(因为我们需要Nginx自动读取这个文件，而不是以用户交互的形式)。
-days 36500: 证书有效期，100年
-newkey rsa:2048: 同时产生一个新证书和一个新的SSL key(加密强度为RSA 2048)
-keyout:SSL输出文件名
-out:证书生成文件名
它会问一些问题。需要注意的是在common name中填入网站域名，如wiki.xby1993.net即可生成该站点的证书，同时也可以使用泛域名如*.xby1993.net来生成所有二级域名可用的网站证书。
整个问题应该如下所示:

Country Name (2 letter code) [AU]:US
State or Province Name (full name) [Some-State]:New York
Locality Name (eg, city) []:New York City
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Bouncy Castles, Inc.
Organizational Unit Name (eg, section) []:Ministry of Water Slides
Common Name (e.g. server FQDN or YOUR name) []:your_domain.com
Email Address []:admin@your_domain.com

admin · 发表于 2018-5-5 17:05:42

server{
#比起默认的80 使用了443 默认是ssl方式  多出default之后的ssl
      listen 443 default ssl;
#default 可省略
#开启  如果把ssl on；这行去掉，ssl写在443端口后面。这样http和https的链接都可以用
      ssl on;
#证书(公钥.发送到客户端的)
      ssl_certificate ssl/server.crt;
#私钥,
      ssl_certificate_key ssl/server.key;
#下面是绑定域名
      server_name www.daj.com;
      location / {
#禁止跳转
      proxy_redirect off;
#代理淘宝
proxy_pass https://www.tao.com/;
      }
}

admin · 发表于 2019-8-21 21:18:58

虚拟机实现https网络设置
现在很多网站使用的都是https协议，想在自己的电脑上实现下，

由于自己的电脑是win10，我总是觉得在windows上布置环境不如在linux上稳定，所以在电脑上安装了虚拟机，cento系统。

上周末在虚拟机上安装了lnmp环境和laravel及后台、oauth，辛辛苦苦的记下了安装步骤，没想到昨天打开电脑，要找笔记的时候，莫名奇妙的没有了，丢失的还有我保存的虚拟电脑（郁闷一分钟……）

怎么就莫名其妙的消失了呢，我怀疑是win10系统自动重启闹的，遂果断关掉自动重启功能（叉会儿腰）

算了，不吐槽了，直奔主题

我在虚拟机上布置的lnmp环境，想要让网站可以用https访问，首先要申请证书，只是想搭个环境满足自己的好奇心，没必要申请付费的ssl证书，那就申请免费的吧

生成私钥和证书

1.生成服务器的私钥（放在nginx的配置目录下）

openssl genrsa -des3 -out server.key 1024 （采用3DES加密算法生成1024位长度的私钥放在server.key文件中）

2.创建服务器证书的申请文件

openssl req -new -key server.key -out server.csr

3.生成服务器的证书

openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt

证书已经生成好了，接下来就可以部署证书了

部署证书

在nginx的配置文件中增加以下配置

server {
listen 443 default ssl;
ssl on;
ssl_certificate /etc/nginx/conf.d/server.crt;
ssl_certificate_key /etc/nginx/conf.d/server.key;

		自动登录	找回密码
密码			注册