https證書的配置

Barrior 發布于2019-06-21 16:39 / 762人閱讀

摘要：代碼示例在配置如下信息生成的配置信息如下參考網站

轉載請注明出處 http://www.paraller.com
原文排版地址點擊跳轉

https證書的配置

生成Key文件

書申請者私鑰文件，和證書里面的公鑰配對使用，
在 HTTPS 『握手』通訊過程需要使用私鑰去解密客戶端發來的經過證書公鑰加密的隨機數信息，是 HTTPS 加密通訊過程非常重要的文件，在配置 HTTPS 的時候要用到

生成CSR文件

CSR :Cerificate Signing Request，證書簽署請求文件，里面包含申請者的 DN（Distinguished Name，標識名）和公鑰信息，在第三方證書頒發機構簽署證書的時候需要提供。
證書頒發機構拿到 CSR 后使用其根證書私鑰對證書進行加密并生成 CRT 證書文件，里面包含證書加密信息以及申請者的 DN 及公鑰信息

生成crt文件

前往亞狐的網站，查看證書信息，找到

SSL證書文件Server Certificate

中級證書文件Intermediate Certificate

根證書文件Root Certificate

復制在同一個文件中，以 domain.crt文件命名

擴展：

我們一般常見的證書鏈分為兩種：

二級證書：直接由受信任的根證書頒發機構頒發的證書（CRT 文件），由于這種情況下一旦 Root CA 證書遭到破壞或者泄露，提供這個 Certificate Authority 的機構之前頒發的證書就全部失去安全性了，需要全部換掉，對這個 CA 也是毀滅性打擊，現在主流的商業 CA 都提供三級證書。
三級證書：由受信任的根證書頒發機構下的中級證書頒發機構頒發的證書，這樣 ROOT CA 就可以離線放在一個物理隔離的安全的地方，即使這個 CA 的中級證書被破壞或者泄露，雖然后果也很嚴重，但根證書還在，可以再生成一個中級證書重新頒發證書，而且這種情況對 HTTPS 的性能和證書安裝過程也沒有太大影響，這種方式也基本成為主流做法。

使用 OpenSSl命令可以在系統當前目錄生成 example.key 和 example.csr 文件：

openssl req -new -newkey rsa:2048 -sha256 -nodes -out example_com.csr -keyout example_com.key -subj "/C=CN/ST=ShenZhen/L=ShenZhen/O=Example Inc./OU=Web Security/CN=example.com"

下面是上述命令相關字段含義：

C：Country ，單位所在國家，為兩位數的國家縮寫，如： CN 就是中國

ST 字段： State/Province ，單位所在州或省

L 字段： Locality ，單位所在城市 / 或縣區

O 字段： Organization ，此網站的單位名稱;

OU 字段： Organization Unit，下屬部門名稱;也常常用于顯示其他證書相關信息，如證書類型，證書產品名稱或身份驗證類型或驗證內容等;

CN 字段： Common Name ，網站的域名;

生成 csr 文件后，提供給 CA 機構，簽署成功后，就會得到一個 example.crt 證書文件，SSL 證書文件獲得后，就可以在 Nginx 配置文件里配置 HTTPS 了。

代碼示例

在docker-compose.yml 配置如下信息：

nginx2:
  restart: always
  image: nginx:latest
  volumes:
    - /etc/localtime:/etc/localtime:ro
    - /etc/timezone:/etc/timezone:ro
    - /var/run/docker.sock:/tmp/docker.sock:ro
    - ./certs:/etc/nginx/certs
    - ./nginx:/etc/nginx/conf.d
  ports:
    - "127.0.0.1:8877:80"

生成的Nginx配置信息如下：

server {
        server_name www.paraller.com;
        listen 443 ssl http2 ;
        access_log /var/log/nginx/access.log vhost;
        ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
        ssl_ciphers "ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA:ECDHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA256:DHE-RSA-AES256-SHA:ECDHE-ECDSA-DES-CBC3-SHA:ECDHE-RSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:DES-CBC3-SHA:!DSS";
        ssl_prefer_server_ciphers on;
        ssl_session_timeout 5m;
        ssl_session_cache shared:SSL:50m;
        ssl_session_tickets off;
        ssl_certificate /etc/nginx/certs/yeamoney.cn.crt;
        ssl_certificate_key /etc/nginx/certs/yeamoney.cn.key;
        add_header Strict-Transport-Security "max-age=31536000";
           location ^~ /socket.io/ {
        return 301;
    }
    location / {
                proxy_pass http://www.paraller.cn;
                proxy_connect_timeout 20;
                proxy_read_timeout 20;
                proxy_send_timeout 20;
                proxy_ignore_client_abort on;
        }
}

參考網站

https://aotu.io/notes/2016/08...

文章版權歸作者所有，未經允許請勿轉載,若此文章存在違規行為，您可以聯系管理員刪除。

轉載請注明本文地址：http://specialneedsforspecialkids.com/yun/11305.html

給網站配置免費的HTTS證書

摘要：最近看到網上說的網站會優先收錄，所以就抽時間記錄下配置博客的過程。使用證書作為博客的實現方式。內容格式對應證書內容后綴私鑰格式對應證書內容后綴最后點擊強制訪問開啟后用戶的請求會強制跳轉到協議進行訪問。最近看到網上說 https 的網站 Google 會優先收錄，所以就抽時間記錄下配置博客的過程。 ACME 使用 LetEncrypt 證書作為博客的 https 實現方式。 acme...

Soarkey 2019-07-25 14:19 評論0 收藏0
Nginx 配置 Https 免費證書訪問

摘要：我們以騰訊云為例子，申請證書。證書部分內容配置，注意證書路徑寫對，其他地方照抄就行了這一步把頂級域名轉發到二級域名上，有利于第一個配置的是把普通端口訪問的協議轉發到訪問。配置HTTPS 現在做博客或者做網站沒有 https 已經不行了，就記錄一下我在騰訊云配置 https 的過程吧，非常簡單，1個小時就可以了。還涉及到 http 訪問自動轉發到 https 訪問路徑。同時把不帶 w...

Dongjie_Liu 2019-07-31 10:21 評論0 收藏0
Nginx 配置 Https 免費證書訪問

摘要：我們以騰訊云為例子，申請證書。證書部分內容配置，注意證書路徑寫對，其他地方照抄就行了這一步把頂級域名轉發到二級域名上，有利于第一個配置的是把普通端口訪問的協議轉發到訪問。配置HTTPS 現在做博客或者做網站沒有 https 已經不行了，就記錄一下我在騰訊云配置 https 的過程吧，非常簡單，1個小時就可以了。還涉及到 http 訪問自動轉發到 https 訪問路徑。同時把不帶 w...

劉厚水 2019-07-25 14:45 評論0 收藏0
Nginx部署HTTPS服務過程與異常處理實踐

摘要：當點擊檢查配置之后，如果阿里云能夠正常訪問，則會在左側給出提示，現在可以返回證書列表，在列表中可以看到當前狀態為審核中，如下圖審核因為不需要人為干預，所以很快就能下發證書，筆者下發證書的時間大約是分鐘左右。一、背景筆者所在團隊需要開發ios的APP，而apptstore應用商店審核需要應用使用https，所以需要配置https證書，筆者將此次配置的過程與遇到的一些問題記錄下來，方便...

Scliang 2019-07-01 10:31 評論0 收藏0