如何使用SSL和安全密码保护由Nginx驱动的网站

• 介绍
• 介绍

介绍

SSL（代表安全套接字层）及其后继TLS（代表传输层安全性）是用于保护Internet上通信安全的加密协议。它可用于创建与网站的安全连接。

介绍

确保在您的服务器上安装了Nginx和OpenSSL。在本文中，我们将通过生成自签名SSL证书来演示该过程。

步骤1：为证书和私钥创建目录

我们将通过以下方式在/ etc / nginx中创建一个目录（并输入该目录）（假设该目录是Nginx的配置目录）：

sudo mkdir /etc/nginx/ssl
cd /etc/nginx/ssl # we'll perform our next few steps in this dir

步骤2：建立私钥和CSR

让我们从创建站点的私钥开始。在此示例中，我们将使用4096位密钥来增强安全性。请注意，2048位也是安全的，但是请勿使用1024位私钥！

sudo openssl genrsa -out example.com.key 4096

现在，创建用于签署证书的证书签署请求（CSR）。我们将使用512位SHA-2。注意该-sha512选项。

sudo openssl req -new -key example.com.key -out example.com.csr -sha512

它将提示需要填写的字段列表。确保Common Name已将其设置为您的域名！此外，离开A challenge password和An optional company name空白。

You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:US
State or Province Name (full name) [Some-State]:CA
Locality Name (eg, city) []:LosAngeles
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Example Inc
Organizational Unit Name (eg, section) []:Security
Common Name (e.g. server FQDN or YOUR name) []:*.example.com
Email Address []:webmaster@example.com

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

第3步：签署证书

快完成了！现在我们只需要签名。不要忘记将365（365天后过期）替换为您希望的天数。

sudo openssl x509 -req -days 365 -in example.com.csr -signkey example.com.key -out example.com.crt -sha512

现在，我们完成了一个自签名证书。

步骤4：设定

打开Nginx的示例SSL配置文件：

sudo nano /etc/nginx/conf.d/example_ssl.conf

在“ HTTPS服务器 ”行下的部分中取消注释。将您的配置与以下信息匹配，用您的域名或IP地址替换example.com该server_name行中的。还要设置您的根目录。

# HTTPS server

server {
    listen       443 ssl;
    server_name example.com;

    ssl_certificate /etc/nginx/ssl/example.com.crt;
    ssl_certificate_key /etc/nginx/ssl/example.com.key;
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
    ssl_prefer_server_ciphers on;
    ssl_ecdh_curve secp384r1;
    ssl_ciphers ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384:DHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA256:ECDHE-RSA-AES256-SHA:!aNULL:!eNULL:!EXPORT:!DES:!3DES:!MD5:!PSK:!RC4; # no RC4 and known insecure cipher
location / {
  root   /usr/share/nginx/html;
  index  index.html index.htm;
 }
}

然后重新启动Nginx。

service nginx restart

现在，使用https地址（https://your.address.tld）访问您的网站。您的Web浏览器将使用您的自签名证书显示安全连接。