Nginx使用ssl模块配置HTTPS

刺骨的言语ヽ痛彻心扉 2023-02-25 14:24 37阅读 0赞

HTTPS（Hyper Text Transfer Protocol Secure），是一种基于SSL/TLS的HTTP，所有的HTTP数据都是在SSL/TLS协议封装之上进行传输的。HTTPS协议是在HTTP协议的基础上，添加了SSL/TLS握手以及数据加密传输，也属于应用层协议。

Nginx希望服务器与客户端之间传输内容是加密的，防止中间监听泄露信息，但是去证书服务商申请证书又不合算，所以自己给自己颁发证书，忽略掉浏览器的不信任警报即可。

CentOS系统默认情况下ssl模块并未被安装，如果要使用该模块则需要在编译时指定–with-http\_ssl\_module参数，安装模块依赖于OpenSSL库和一些引用文件

首先确保机器上安装了openssl和openssl-devel

#yum -y install openssl
    #yum -y install openssl-devel

然后就是自己颁发证书给自己

#cd /usr/local/nginx/conf
    #openssl genrsa -des3 -out server.key 2048               // 生成私钥证书
    #openssl req -new -key server.key -out server.csr        
    #openssl rsa -in server.key -out server_nopwd.key        // 解密后的私钥
    #openssl x509 -req -days 3650 -in server.csr -signkey server_nopwd.key -out server.crt      // 私钥签名

至此证书已经生成完毕，下面就是配置nginx

server {
        server_name mimvp.com;
        listen 443;
        ssl on;
        ssl_certificate  /usr/local/nginx/conf/server.crt;            // 私钥签名; 相对路径也可以
        ssl_certificate_key  /usr/local/nginx/conf/server_nopwd.key;  // 私钥文件; 相对路径也可以
    }

然后重启nginx

**/etc/init.d/nginx restart**

**错误与解决**

如果出现“\[emerg\] 10464\#0: unknown directive "ssl" in /usr/local/nginx-0.6.32/conf/nginx.conf:74”则说明没有将ssl模块编译进nginx，在configure的时候加上“--with-http\_ssl\_module”即可^^

至此已经完成了https服务器搭建，但如何让浏览器信任自己颁发的证书呢？

今天终于研究捣鼓出来了，只要将之前生成的server.crt文件导入到系统的证书管理器就行了，具体方法：

控制面板 -> Internet选项 -> 内容 -> 发行者 -> 受信任的根证书颁发机构 -> 导入 -》选择 server.crt

**实战操作**（推荐）

**1. 生成证书**

可以通过以下步骤生成一个简单的证书：  
  
  
首先，进入你想创建证书和私钥的目录，例如：

$ cd /usr/local/nginx/conf/

创建服务器私钥，命令会让你输入一个口令：

$ openssl genrsa -des3 -out server.key 2048

创建签名请求的证书（CSR）：

$ openssl  req  -new  -key server.key  -out  server.csr

在加载SSL支持的Nginx并使用上述私钥时除去必须的口令：

$ cp server.key server.key.org

$ openssl rsa -in server.key.org -out server.key

**2. 配置nginx**

最后标记证书使用上述私钥和CSR：

$ openssl x509 -req -days 3650 -in server.csr -signkey server.key -out server.crt

修改Nginx配置文件，让其包含新标记的证书和私钥：

server \{  
    server\_name proxy.mimvp.com;  
    listen 443;  
    ssl on;  
    ssl\_certificate /usr/local/nginx/conf/server.crt;  
    ssl\_certificate\_key /usr/local/nginx/conf/server.key;  
\}

**3. 重启nginx**

**/etc/init.d/nginx restart**

这样就可以通过以下方式访问：

[https://proxy.mimvp.com][https_proxy.mimvp.com]     （不需要添加 443 端口号）

另外，还可以加入如下代码，实现80端口重定向到443

server \{  
    listen 80;  
    server\_name mimvp.com;  
    rewrite ^(.\*) https://$server\_name$1 permanent;  
\}

**nginx.conf 实例配置**

<table> 
 <tbody> 
 <tr> 
 <td> 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 </td> 
 <td> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code># HTTPS server</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>server { </code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>listen&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; </code><code>443</code> <code>ssl;</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>server_name&nbsp;&nbsp;&nbsp;&nbsp; proxy.mimvp.com;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; </code><code># 域名可以有多个，用空格隔开</code> &nbsp; <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>ssl_certificate&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; server.crt;</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>ssl_certificate_key&nbsp; server.key;</code> &nbsp; <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>ssl_session_cache&nbsp;&nbsp;&nbsp; shared:SSL:</code><code>5m</code><code>;</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>ssl_session_timeout&nbsp; </code><code>5m</code><code>;</code> &nbsp; <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>ssl_ciphers&nbsp; HIGH:!aNULL:!MD5;</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>ssl_prefer_server_ciphers&nbsp; on;</code> &nbsp; <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>location </code><code>/</code> <code>{ </code> <code>#&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; root&nbsp;&nbsp; html;</code> <code>#&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; index&nbsp; index.html index.htm;</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>root&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; html</code><code>/</code><code>proxy_client</code><code>/</code><code>;</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>index&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; index.html index.htm index.php;</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>fastcgi_index&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; index.php;</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>fastcgi_pass&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; </code><code>127.0</code><code>.</code><code>0.1</code><code>:</code><code>9000</code><code>;</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>include&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; fastcgi.conf;</code> &nbsp; <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>}</code> &nbsp; <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>location ~ \.(php|php5)$ { </code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>root&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; html</code><code>/</code><code>proxy_client</code><code>/</code><code>;</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>index&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; index.html index.htm index.php;</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>fastcgi_index&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; index.php;</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>fastcgi_pass&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; </code><code>127.0</code><code>.</code><code>0.1</code><code>:</code><code>9000</code><code>;</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>include&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; fastcgi.conf;</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>}</code> </td> 
 </tr> 
 </tbody> 
</table>

**Nginx 启用 http2**

Nginx 要启用http2，那么版本要在1.90以上，

然后先配置443端口，最后把http 80端口请求转发到443

<table> 
 <tbody> 
 <tr> 
 <td> 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 </td> 
 <td> <code># 设置非安全连接永久跳转到安全连接</code> <code>server{ </code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>listen 80;</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>server_name mimvp.com;</code> &nbsp; <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code># 告诉浏览器有效期内只准用 https 访问</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>add_header Strict-Transport-Security max-age=15768000;</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code>&nbsp; <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code># 永久重定向到 https 站点</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>return</code> <code>301 https:</code><code>//</code><code>$server_name$request_uri;</code> <code>}</code> &nbsp; <code>server { </code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code># 启用 https, 使用 http/2 协议, nginx 1.9.11 启用 http/2 会有bug, 已在 1.9.12 版本中修复.</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>listen 443 ssl http2 fastopen=3 reuseport;</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>server_name mimvp.com www.mimvp.com;</code> &nbsp; <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code># 告诉浏览器不要猜测mime类型</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>add_header X-Content-Type-Options nosniff;</code> &nbsp; <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>ssl on;</code> &nbsp; <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code># 证书路径</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>ssl_certificate 证书路径;</code> &nbsp; <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code># 私钥路径</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>ssl_certificate_key</code> &nbsp; <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code># 安全链接可选的加密协议</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>ssl_protocols TLSv1 TLSv1.1 TLSv1.2;</code> &nbsp; <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code># 可选的加密算法,顺序很重要,越靠前的优先级越高.</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>ssl_ciphers </code><code>'CHACHA20:EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH:ECDHE-RSA-AES128-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA128:DHE-RSA-AES128-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES128-GCM-SHA128:ECDHE-RSA-AES128-SHA384:ECDHE-RSA-AES128-SHA128:ECDHE-RSA-AES128-SHA:ECDHE-RSA-AES128-SHA:DHE-RSA-AES128-SHA128:DHE-RSA-AES128-SHA128:DHE-RSA-AES128-SHA:DHE-RSA-AES128-SHA:ECDHE-RSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES128-GCM-SHA384:AES128-GCM-SHA128:AES128-SHA128:AES128-SHA128:AES128-SHA:AES128-SHA:DES-CBC3-SHA:HIGH:!aNULL:!eNULL:!EXPORT:!DES:!MD5:!PSK:!RC4;'</code><code>;</code> &nbsp; <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code># 在 SSLv3 或 TLSv1 握手过程一般使用客户端的首选算法,如果启用下面的配置,则会使用服务器端的首选算法.</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>ssl_prefer_server_ciphers on;</code> &nbsp; <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code># 储存SSL会话的缓存类型和大小</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>ssl_session_cache shared:SSL:10m;</code> &nbsp; <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code># 缓存有效期</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>ssl_session_timeout 60m;</code> &nbsp; <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>location / { </code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>proxy_set_header&nbsp;&nbsp;&nbsp; X-Forwarded-For $proxy_add_x_forwarded_for;</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>proxy_set_header&nbsp;&nbsp;&nbsp; Host&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; $http_host;</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>proxy_set_header&nbsp;&nbsp;&nbsp; X-Forwarded-Proto $scheme;</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code><code>proxy_pass&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; http:</code><code>//127</code><code>.0.0.1:9000;</code> <code>&nbsp;&nbsp;&nbsp;&nbsp;</code><code>}</code> <code>}</code> </td> 
 </tr> 
 </tbody> 
</table>

[https_proxy.mimvp.com]: https://proxy.mimvp.com/