Jak zabezpieczyć witrynę z obsługą Nginx przy użyciu protokołu SSL i bezpiecznych szyfrów

• Wprowadzenie
• Wprowadzenie

Wprowadzenie

SSL (skrót od Secure Sockets Layer ) i jego następca, TLS (skrót od Transport Layer Security ) to protokoły kryptograficzne do zabezpieczania komunikacji przez Internet. Można go użyć do stworzenia bezpiecznego połączenia ze stroną internetową.

Wprowadzenie

Upewnij się, że Nginx i OpenSSL są zainstalowane na twoim serwerze. W tym artykule zademonstrujemy ten proces, generując samopodpisany certyfikat SSL.

Krok 1: Utwórz katalog certyfikatu i klucza prywatnego

Stworzymy katalog (i wprowadzimy go) w / etc / nginx (zakładając, że katalog jest katalogiem konfiguracji Nginx), poprzez:

sudo mkdir /etc/nginx/ssl
cd /etc/nginx/ssl # we'll perform our next few steps in this dir

Krok 2: Utwórz klucz prywatny i CSR

Zacznijmy od utworzenia klucza prywatnego witryny. W tym przykładzie użyjemy 4096-bitowego klucza dla większego bezpieczeństwa. Pamiętaj, że 2048-bit jest również bezpieczny, ale NIE UŻYWAJ KLUCZA PRYWATNEGO 1024-BIT!

sudo openssl genrsa -out example.com.key 4096

Teraz utwórz żądanie podpisania certyfikatu (CSR) do podpisania certyfikatu. Użyjemy 512-bitowego SHA-2. Zwróć uwagę na -sha512opcję.

sudo openssl req -new -key example.com.key -out example.com.csr -sha512

Wyświetli się lista pól, które należy wypełnić. Upewnij się, że Common Nameustawiono nazwę domeny! Ponadto, zostawić A challenge passwordi An optional company namepuste.

You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:US
State or Province Name (full name) [Some-State]:CA
Locality Name (eg, city) []:LosAngeles
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Example Inc
Organizational Unit Name (eg, section) []:Security
Common Name (e.g. server FQDN or YOUR name) []:*.example.com
Email Address []:[email protected]

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

Krok 3: Podpisz swój certyfikat

Prawie skończone! Teraz musimy to tylko podpisać. Nie zapomnij zastąpić 365 (wygaśnięcie po 365 dniach) liczbą dni, które wolisz.

sudo openssl x509 -req -days 365 -in example.com.csr -signkey example.com.key -out example.com.crt -sha512

Teraz skończymy tworzyć samopodpisany certyfikat.

Krok 4: Skonfiguruj

Otwórz przykładowy plik konfiguracyjny SSL Nginx:

sudo nano /etc/nginx/conf.d/example_ssl.conf

Odkomentowanie w sekcji pod linią Serwer HTTPS . Dopasuj swój config z informacjami poniżej, zastępując example.comw server_namewierszu z nazwą domeny lub adresu IP. Ustaw także katalog główny.

# HTTPS server

server {
    listen       443 ssl;
    server_name example.com;

    ssl_certificate /etc/nginx/ssl/example.com.crt;
    ssl_certificate_key /etc/nginx/ssl/example.com.key;
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
    ssl_prefer_server_ciphers on;
    ssl_ecdh_curve secp384r1;
    ssl_ciphers ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384:DHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA256:ECDHE-RSA-AES256-SHA:!aNULL:!eNULL:!EXPORT:!DES:!3DES:!MD5:!PSK:!RC4; # no RC4 and known insecure cipher
location / {
  root   /usr/share/nginx/html;
  index  index.html index.htm;
 }
}

Następnie uruchom ponownie Nginx.

service nginx restart

Teraz odwiedź swoją stronę z httpsadresem ( https://your.address.tld). Twoja przeglądarka pokaże bezpieczne połączenie przy użyciu twojego samopodpisanego certyfikatu.