Nginx服务器证书部署

依赖建议
l SSL卸载驱动。建议:openssl版本1.1.0f+。
l nginx版本Stable version:最新稳定版,生产环境上建议使用的版本。
获取证书
- MPKI方式:
1. 登录https://mpki.trustasia.com。
2. 证书下载pem(nginx SLB)格式,会得到一个zip的压缩包,解压后有两个文件,分别是crt和key后缀。
- 非MPKI方式:
1. CSR对应的key文件
2. 证书邮件里提取代码,把-----BEGIN CERTIFICATE-----到-----END CERTIFICATE-----(包括开头和结尾,不用换行)复制到txt文本文件里,然后保存为crt后缀;这样也就获取到nginx用的2个文件了。
SSL相关配置
到nginx的conf目录,找到nginx.conf文件,修改或者配置这样一段
server { listen 80 default_server; listen [::]:80 default_server; # 强制跳转 return 301 https://$host$request_uri;} server { listen 443 ssl http2; listen [::]:443 ssl http2; #IPv6支持 #RSA证书 ssl_certificate /xxx/xx/rsa.pem; ssl_certificate_key /xxx/xx/rsa.key; #ECC证书,可选,需要1.11版本支持 ssl_certificate /xxx/xx/ecc.pem;; ssl_certificate_key /xxx/xx/ecc.key;; ssl_session_timeout 1d; ssl_session_cache shared:SSL:50m; ssl_session_tickets off; # A+级配置. ssl_protocols TLSv1 TLSv1.1 TLSv1.2; ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256'; ssl_prefer_server_ciphers on; # HSTS (需要编译带ngx_http_headers_module模块) (15768000 秒= 6 月) add_header Strict-Transport-Security max-age=15768000; # OCSP Stapling 装订 ssl_stapling on; ssl_stapling_verify on;}
下面为配置文件参数说明:
listen 443
SSL访问端口号为443
ssl on
启用SSL功能
ssl_certificate
证书文件server.crt
ssl_certificate_key
私钥文件server.pem
ssl_protocols
使用的协议
ssl_ciphers
配置加密套件,写法遵循openssl标准
配置完成后,先用sbin/nginx –t来测试下配置是否有误,正确无误的话,建议重启nginx。
http跳转https(建议而非强制)
对于用户,不是不知道https,就是知道https也因为懒,不愿意输入https。这样就有一个需求,让服务器自动把http的请求重定向到https。
在服务器这边的话配置的话,可以在页面里加js脚本,也可以在后端程序里写重定向,当然也可以在web服务器来实现跳转。Nginx是支持rewrite的(只要在编译的时候没有去掉pcre)
在http的server里
增加
return 301 https://$host$request_uri;
或者
rewrite ^(.*) https://$host$1 permanent;
这样就可以实现80进来的请求,重定向为https了。
检测
https的端口没做限制后(防火墙放行,端口转发正常),到https://myssl.com进行检测
评级达到B以上,在安全和兼容方面是较不错的。
-
Cloudflare实战指南:企业级密钥交换算法配置白皮书
SSL证书密钥交换机制主要用于在客户端和服务器之间安全地交换密钥,以确保通信的保密性和完整性。以下是SSL证书密钥交换机制的详细介绍:一、密钥交换的基本原理密钥交换的核心目的是让通信双方(通常称为客户
-
证书链不完整致瘫网站?华为/腾讯云工程师亲授修复秘笈
SSL证书链不完整可能导致浏览器提示证书错误或无法建立安全连接。以下是修复SSL证书链不完整的详细介绍:检查证书链完整性使用在线工具检查:可以使用一些在线的SSL证书检查工具,如SSL Server
-
TLS 1.3时代来临:SSL证书算法如何匹配新一代协议?
选择SSL证书加密算法时,需要考虑多个因素,包括安全性、性能、兼容性和合规性等。以下是一些选择SSL证书加密算法的要点:常见的SSL证书加密算法RSA:RSA是一种广泛应用的非对称加密算法,通过公钥和
[广告]赞助链接:
关注数据与安全,洞悉企业级服务市场:https://www.ijiandao.com/
让资讯触达的更精准有趣:https://www.0xu.cn/

随时掌握互联网精彩
- GeoTrust 等通用品牌证书提交流程
- “拯救 Linux 桌面”的 Valve 给开源开发者发薪资!
- 专场直播|【又拍云明眸】AI 视频处理降本新体验
- STM32固件逆向
- 需求着急上线,是写烂代码的理由吗?
- 华为郭平:三个重构托起华为中长期竞争力
- 美国扣押并归还索尼1.54亿美元被盗资金
- 在Z | Amber Group(40K/月16薪)诚招数据安全治理工程师
- 想要无坚不摧?快来学习《Web安全编程入门》吧!
- 高通公司、东软集团及移远通信支持长城汽车打造首款量产5G车载无线终端
- 做个“原年人”,过个“幸福年”,又拍云送福利啦!
- Brave 浏览器宣布集成 IPFS 协议,它会取代 HTTP 吗?