So sichern Sie Ihre Nginx-basierte Website mit SSL und Secure Ciphers

• Einführung
• Intro

Einführung

SSL (steht für Secure Sockets Layer ) und sein Nachfolger TLS (steht für Transport Layer Security ) sind kryptografische Protokolle zur Sicherung der Kommunikation über das Internet. Es kann verwendet werden, um eine sichere Verbindung zu einer Website herzustellen.

Intro

Stellen Sie sicher, dass Nginx und OpenSSL auf Ihrem Server installiert sind. In diesem Artikel wird der Prozess durch Generieren eines selbstsignierten SSL-Zertifikats demonstriert.

Schritt 1: Erstellen Sie ein Verzeichnis für das Zertifikat und den privaten Schlüssel

Wir erstellen ein Verzeichnis (und geben es ein) in / etc / nginx (vorausgesetzt, das Verzeichnis ist das Konfigurationsverzeichnis von Nginx) durch:

sudo mkdir /etc/nginx/ssl
cd /etc/nginx/ssl # we'll perform our next few steps in this dir

Schritt 2: Erstellen Sie einen privaten Schlüssel und CSR

Beginnen wir mit der Erstellung des privaten Schlüssels der Site. In diesem Beispiel verwenden wir 4096-Bit-Schlüssel für mehr Sicherheit. Beachten Sie, dass 2048-Bit ebenfalls sicher ist. Verwenden Sie jedoch keinen privaten 1024-Bit-Schlüssel!

sudo openssl genrsa -out example.com.key 4096

Erstellen Sie jetzt eine Zertifikatsignierungsanforderung (Certificate Signing Request, CSR) zum Signieren des Zertifikats. Wir werden 512-Bit-SHA-2 verwenden. Beachten Sie die -sha512Option.

sudo openssl req -new -key example.com.key -out example.com.csr -sha512

Es wird eine Liste mit Feldern angezeigt, die ausgefüllt werden müssen. Stellen Sie sicher Common Name, dass Ihr Domain-Name festgelegt ist! Auch lassen A challenge passwordund An optional company nameleer.

You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:US
State or Province Name (full name) [Some-State]:CA
Locality Name (eg, city) []:LosAngeles
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Example Inc
Organizational Unit Name (eg, section) []:Security
Common Name (e.g. server FQDN or YOUR name) []:*.example.com
Email Address []:[email protected]

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

Schritt 3: Unterschreiben Sie Ihr Zertifikat

Fast fertig! Jetzt müssen wir es nur noch unterschreiben. Vergessen Sie nicht, 365 (Ablauf nach 365 Tagen) durch die Anzahl der Tage zu ersetzen, die Sie bevorzugen.

sudo openssl x509 -req -days 365 -in example.com.csr -signkey example.com.key -out example.com.crt -sha512

Jetzt haben wir ein selbstsigniertes Zertifikat erstellt.

Schritt 4: Einrichten

Öffnen Sie die Beispiel-SSL-Konfigurationsdatei von Nginx:

sudo nano /etc/nginx/conf.d/example_ssl.conf

Kommentar innerhalb des Abschnitts unter der Zeile HTTPS-Server entfernen . Ordnen Sie Ihre Konfiguration den folgenden Informationen zu und ersetzen Sie die example.comin der server_nameZeile stehende durch Ihren Domainnamen oder Ihre IP-Adresse. Legen Sie auch Ihr Stammverzeichnis fest.

# HTTPS server

server {
    listen       443 ssl;
    server_name example.com;

    ssl_certificate /etc/nginx/ssl/example.com.crt;
    ssl_certificate_key /etc/nginx/ssl/example.com.key;
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
    ssl_prefer_server_ciphers on;
    ssl_ecdh_curve secp384r1;
    ssl_ciphers ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384:DHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA256:ECDHE-RSA-AES256-SHA:!aNULL:!eNULL:!EXPORT:!DES:!3DES:!MD5:!PSK:!RC4; # no RC4 and known insecure cipher
location / {
  root   /usr/share/nginx/html;
  index  index.html index.htm;
 }
}

Starten Sie dann Nginx neu.

service nginx restart

Besuchen Sie jetzt Ihre Website mit einer httpsAdresse ( https://your.address.tld). Ihr Webbrowser zeigt eine sichere Verbindung mit Ihrem selbstsignierten Zertifikat an.