网络知识详解之：CA证书制作实战（Nginx数字证书实战）

已于 2023-01-30 22:49:11 修改
阅读量1.3k 收藏 4
点赞数
分类专栏： 计算机网络 文章标签： nginx 网络 服务器
于 2023-01-30 21:42:33 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Urbanears/article/details/128809130
版权

网络知识详解之：CA证书制作实战

计算机网络相关知识体系详解

需求

自建CA 颁发证书

使用自签名证书来构建安全网络，所谓自签名证书，就是自己扮演 CA 机构，自己给自己的服务器颁发证书。

OpenSSL

在这里插入图片描述

OpenSSL是一个以C语言编写现了SSL与TLS协议的开源的软件库包，应用程序可以使用这个包来进行安全通信，避免窃听，同时确认另一端连线者的身份。这个包广泛被应用在互联网的网页服务器上。OpenSSL支持Linux、Windows、BSD（Unix的衍生系统）、Mac等平台，这使得OpenSSL具有广泛的适用性。

OpenSSL整个软件包大概可以分成三个主要的功能部分：

  • 加密算法库
    • 对称加密算法：
    • 非对称加密算法
    • 信息摘要算法
  • SSL协议库
    • OpenSSL实现了SSL协议的SSLv2和SSLv3，支持了其中绝大部分算法协
      议
    • OpenSSL也实现了TLSv1.0+
  • 应用程序
    • 多功能的命令行工具，可以实现加密解密、密钥生成、密钥和证书管理、自建CA和签名等功能

过程

  1. CA生成根密钥
  2. CA生成根证书
  3. Nginx生成私钥
  4. Nginx申请证书
  5. CA签发
  6. Nginx安装证书，配置

颁发证书

默认情况下Linux操作系统已经内置安装了OpenSSL，可以通过 openssl version 查看版本号

在这里插入图片描述

但是在使用前，需要注意下当前OpenSSL的库的版本，因为版本1.0.1是一个很重要的风水岭版本，1.0.1是第一个支持TLS1.1和1.2的版本。

(1) 修改配置

在CA目录下创建两个初始文件，维护序列号。通过CA机构签发的每个证书都有一个唯一的序列号。

cd /etc/pki/CA
touch index.txt serial
echo 01 > serial

(2) 生成根密钥

表示的CA机构的私钥，CA结构签发的每一个证书都要通过自己的私钥进行签名

cd /etc/pki/CA
#生成一个2048位的密钥
openssl genrsa -out private/cakey.pem 2048

在这里插入图片描述

(3）生成根证书

使用req命令生成自签证书

  • -new：表示新的申请
  • -x509：表示生成自签证书
  • -key：指定私钥文件
  • -out：保存证书的位置
  • -days：指定证书期限
openssl req -new -x509 -key private/cakey.pem -out cacert.pem

会提示输入一些内容，因为是私有的，所以可以随便输入（之前修改的openssl.cnf会在这里呈现），最好记住能与后面保持一致。上面的自签证书cacert.pem 应该生成在 /etc/pki/CA 下。

在这里插入图片描述

(4) 为我们的Nginx服务器生成SSL密钥

申请SSL证书本质上就是服务器升级支持HTTPS，非对称加密（公钥和私钥）。

以上都是在CA服务器上做的操作，而且只需进行一次，现在转到nginx服务器上执行：

安装Nginx

#1.安装该rpm
rpm -ivh
http://nginx.org/packages/centos/7/noarch/RPMS/nginx-releasecentos-7-0.el7.ngx.noarch.rpm
#安装该rpm后，我们就能在/etc/yum.repos.d/ 目录中看到一个名为
nginx.repo 的文件。

#2.安装完Nginx源后，就可以正式安装Nginx了。
yum install -y nginx

#3.查看所在目录
whereis nginx

cd ./nginx-1.17.8/
# 创建一个ssl的新目录
mkdir ssl
cd ssl
#为我们的nginx web服务器生成ssl密钥
openssl genrsa -out nginx.key 2048

(5）为nginx生成证书签署请求

该过程会生成一个文件，包含了证书相关的信息，但是该文件不是证书，生成证书的请求文件。

该文件需要发送给CA机构，由CA签名后生成一个证书文件。

openssl req -new -key nginx.key -out nginx.csr
...
Country Name (2 letter code) [AU]:CN
State or Province Name (full name) [Some-State]:GD
Locality Name (eg, city) []:SZ
Organization Name (eg, company) [Internet Widgits Pty
Ltd]:COMPANY
Organizational Unit Name (eg, section) []:IT_SECTION
Common Name (e.g. server FQDN or YOUR name)
[]:your.domain.com
Email Address []:
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:
...

同样会提示输入一些内容，其它随便，除了 Commone Name 一定要是你要授予证书的服务器域名或主机名，challenge password不填。

在这里插入图片描述

(6) 私有CA根据请求来签署证书

接下来要把上一步生成的证书请求csr文件，发到CA服务器上，在CA上执行：

openssl ca -in nginx.csr -out nginx.crt

在这里插入图片描述

在这里插入图片描述

上面三个文件中，nginx.crt表示证书，nginx.csr表示请求文件，nginx.key表示私钥

上面签发过程其实默认使用了 -cert cacert.pem -keyfile cakey.pem ，这两个文件就是前两步生成的位于 /etc/pki/CA 下的根密钥和根证书。将生成的crt证书发回nginx服务器使用。

到此我们已经拥有了建立SSL安全连接所需要的所有文件，并且服务器的crt和key都位于配置的目录下，剩下的是如何使用证书的问题。

使用 SSL证书

(1) Nginx 使用 SSL 证书

在本地安装完成证书（在Nginx服务器配置）也就意味着Java Web应用已经完成了从http到https协议的升级

以 Nginx 为例，在 Nginx 中新建ssl文件夹，将生成的crt和key放入其中，配置文件中加入以下代码：

#修改Nginx的配置文件，安装SSL证书
cd /etc/nginx/conf.d
vi default.conf

listen 443 ssl http2;#https协议监听的端口号是443端口，基于http2进行工作的。
ssl_certificate /etc/nginx/ssl/nginx.crt; # 指向 ssl文件夹中的 crt 文件
ssl_certificate_key /etc/nginx/ssl/nginx.key; # 指向ssl 文件夹中的 key 文件
ssl_session_timeout 5m;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;

实际的配置文件如下：

default.conf

server {
    listen       80;
    server_name  localhost;
		
	listen 443 ssl http2;	
	ssl_certificate /opt/lagou/servers/nginx-1.17.8/ssl/nginx.crt; 
	ssl_certificate_key /opt/lagou/servers/nginx-1.17.8/ssl/nginx.key; 
	ssl_session_timeout 5m;
	ssl_protocols TLSv1 TLSv1.1 TLSv1.2;  

    #charset koi8-r;

    #access_log  logs/host.access.log  main;

    location / {
        root   html;
        index  index.html index.htm;
    }

    #error_page  404              /404.html;

    # redirect server error pages to the static page /50x.html
    #
    error_page   500 502 503 504  /50x.html;
    location = /50x.html {
        root   html;
    }

    # proxy the PHP scripts to Apache listening on 127.0.0.1:80
    #
    #location ~ \.php$ {
    #    proxy_pass   http://127.0.0.1;
    #}

    # pass the PHP scripts to FastCGI server listening on 127.0.0.1:9000
    #
    #location ~ \.php$ {
    #    root           html;
    #    fastcgi_pass   127.0.0.1:9000;
    #    fastcgi_index  index.php;
    #    fastcgi_param  SCRIPT_FILENAME  /scripts$fastcgi_script_name;
    #    include        fastcgi_params;
    #}

    # deny access to .htaccess files, if Apache's document root
    # concurs with nginx's one
    #
    #location ~ /\.ht {
    #    deny  all;
    #}
}

(2) 启动Nginx

#切换到可执行目录
cd /usr/sbin/
./nginx
#查看启动状态
ps -ef|grep nginx

在这里插入图片描述

(3) 访问测试

curl https://192.168.80.121

但是，我们自己签发的证书，是不受其他服务器信任的，当发起 curl 请求时，会出现以下情况：证书无效或无法验证错误。

在这里插入图片描述

这时候，我们就需要将我们 CA 服务器的根证书导入到这台服务器中。

(4) 添加证书

#安装 ca-certificates package:
yum install ca-certificates

#启用dynamic CA configuration feature:
update-ca-trust force-enable

#将证书文件放到 /etc/pki/ca-trust/source/anchors/ 目录下
mv /etc/pki/CA/cacert.pem /etc/pki/ca-trust/source/anchors/

#执行更新:
update-ca-trust extract

(5）访问测试

curl https://192.168.80.121

可以看到，通过上述配置后，已经可以成功访问nginx了，说明我们利用CA数字证书进行网络通信的方式测试成功！

JermeryBesian
关注
  • 0
    点赞
  • 踩
  • 4
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
基于openssl 自行签发https 协议证书 openssl+nginx实现https自签有效加密实战记录
03-30
"基于openssl自行签发https协议证书openssl+nginx实现https自签有效加密实战记录" 本篇文章主要讲述了使用openssl自行签发https协议证书，并使用nginx实现https自签有效加密的实战记录。文章包含了证书签发、nginx...
PKI - 借助Nginx实现_客户端使用CA根证书签发客户端证书
小工匠
02-12 2339
这个命令生成了一个 2048 位长度的 RSA 私钥，并将其保存到文件中。这个私钥将用于后续创建自签名的根证书。这个命令使用上一步生成的私钥 () 来生成一个自签名的根证书。具体地，它执行了以下操作：-x509：生成一个自签名的 X.509 格式证书。-new：创建一个新的证书请求。-nodes：不使用密码加密密钥。：指定之前生成的私钥文件作为证书的密钥。：指定证书的主题信息。在这里，表示证书的通用名称 (Common Name) 为client-ca。-days 5000。
在Nginx服务器如何安装SSL证书
AnAnCow
06-14 9108
进入数字证书管理服务/SSL 证书 /免费证书 点击下载 服务器类型选择Nginx 点击下载 将下载好的证书压缩包进行解压：会有下图两个文件 将证书文件和私钥文件上传到Nginx服务器的证书目录（/usr/local/nginx/conf/cert） 编辑Nginx配置文件nginx.conf，修改与证书相关的配置 按i键进入编辑模式 在nginx.conf中找到到server属性配置，把前面#删除 修改内容如下： 配置HTTP请求自动跳转HTTPS 然后重启Nginx服务器就可以了重启如果出现错误：
ca-certificates包的作用
最新发布
Leon_Jinhai_Sun的博客
06-05 214
ca-certificates包的作用
如何配置nginx CA证书
qq_40229790的博客
10-07 1003
使用 OpenSSL 命令生成 CSR，你需要提供一些有关证书的信息，例如通用名称（CN），组织名称（O），部门名称（OU），城市（L），州（ST），国家（C）等。需要注意的是，SSL CA 证书通常需要付费或获得 CA 的批准，因此在多台服务器上使用时可能会产生一些额外的成本。请记住确保您的私钥安全并根据需要定期更新您的 CA 证书。在这个过程中，每台服务器都有自己的服务器证书和私钥，但它们都由相同的 SSL CA 证书签署，因此客户端可以信任这些服务器证书，确保与每台服务器的通信都是安全的。
Nginx的CA证书使用总结
云水之路的专栏
09-08 1万+
Nginx的CA证书使用总结 今天给大家介绍下，在Nginx作为服务器时，网站的CA证书怎么添加？我们都知道，http方式通信是非常常见的，常用在对安全要求不高的站点的交互访问，那么对于有交易或存在敏感信息的网站，就需要我们使用http的另一变体https来替代，因为它基于http协议，并添加的ssl的安全处理，所以网站的交互数据是经过加密的，较安全，具体实现过程如下所示。
nginx SSL证书
y1701的博客
09-02 3632
SSL证书
nginx+ca+https设置【草稿试验版】
一名普通码农的菜地
12-13 2595
添加链接描述
详解Nginx实战之让用户通过用户名密码认证访问web站点
01-10
有时我们会有这么一种需求，就是你的网站并不想提供一个公共的...使用nginx下虚拟主机的搭建 www1.rsyslog.org进行测试。 www1.rsyslog.org 192.168.100.107 DNS1 192.168.100.102 一、查看当前系统参数 [root@rhel
详解Nginx配置SSL证书实现Https访问
01-10
基本架构是硬负载（ReadWhere）+ 软负载（Nginx）+ Tomcat集群，现在的问题是SSl证书要配置在哪里，直接配置在硬负载上？还是分别配置在Nginx和Tomcat上？还是其他的配置方法呢？ 首先在硬负载上配置放弃了，然后...
实战详解Linux下NginxPHPMySQL配置（图）
07-23
资源名称：实战详解Linux下Nginx PHP MySQL配置(图)   内容简介：  Nginx因为性能稳定、低系统资源消耗而闻名，近几年Nginx在国内已经成炙热化状态，比如像腾讯、网易、51CTO、迅雷、当当网、51、人人...
实战Nginx：取代Apache的高性能Web服务器
07-23
资源名称：实战Nginx：取代Apache的高性能Web服务器资源截图： 资源太大，传百度网盘了，链接在附件中，有需要的同学自取。
Nginx 域名SSL证书配置（网站 http 升级为 https） acme.sh 申请免费SSL永久证书（自动续期）
Japhet_jiu的博客
05-06 3256
ssl证书，看这一篇，就够了
nginx配置ssl证书实现https访问
热门推荐
YHJ
06-04 3万+
配置ssl证书之前，先准备SSL证书，至于获取的途径很多（阿里云的服务，第三方服务购买）。这里不详细解释。以下是我的SSL证书 准备好证书后，找到nginx的安装目录，我的安装位置为：/usr/local/nginx 进入 config/nginx.conf 如果没有装winscp（一款可视化文件操作工具）的。可以通过命令行的方式，编辑nginx的config文件。 开始配置文件的修改 在修改配置文件之前，最好做一个备份，防止修改错误，也能及时回退错误 1、找到第一个监听..
Nginx 配置 SSL证书
程序猿进阶
02-10 7399
成功配置SSL证书后，您将能够通过HTTPS加密通道安全访问Nginx服务器。
CA证书制作实战
凉茶铺的博客
07-24 2720
需求自建CA颁发证书使用自签名证书来构建安全网络，所谓自签名证书，就是自己扮演CA机构，自己给自己的服务器颁发证书。
nginx 配置ssl证书方法
weixin_58838794的博客
08-08 2895
到域名商哪里，申请免费ssl证书，选择nginx版本的sll证书下载到本地，在服务器中进入我们的nginx目录，新建一个ssl文件夹，把下载好的ssl证书解压放到里面。：对所有在该域名上的 HTTP 请求，返回一个永久重定向（301）到相同的 URL，但使用 HTTPS 协议。：在端口 443 上监听 HTTPS 请求，并启用 SSL 加密。：配置 SSL 证书的路径，这是用于加密通信的证书文件。：配置 SSL 密钥的路径，用于与证书配对进行通信加密。：另一个服务器块，这次用于监听 HTTPS 请求。
Nginx配置SSL证书
krb___的博客
03-25 3130
SSL（Secure Sockets Layer）是一种用于保护在Internet上进行数据传输的加密协议。它是一种为网络通信提供安全性的协议，最初由网景公司（Netscape）开发。SSL的目标是通过对数据进行加密和身份验证，确保敏感信息在用户与网站之间的传输中得到保护。SSL通过在通信的两端之间建立安全的连接来实现其目标。这个安全连接使得通过互联网传输的数据在被发送和接收时都是加密的，从而防止第三方拦截和窃取敏感信息。
nginx配置ssl证书
u013542229的博客
12-19 1万+
最近项目中所有的http请求都要升级到https，实践了一把配置nginx的ssl证书。 由于我们的证书是公司下发的，所以省略了申请证书的体验，关于申请免费证书可以自行搜索。 拿到的证书分两个文件，一个是xxx.crt，一个是xxx.key，分别对应公钥和私钥。 step1.假设我们的nginx安装目录是：/usr/a/b/nginx/，进入下面的conf目录，在conf目录下创建一个新目录
nginx的https证书制作
10-09
制作 Nginx 的 HTTPS 证书需要遵循以下步骤： 1. 生成私钥文件：`openssl genrsa -out server.key 2048` 2. 生成证书签名请求文件：`openssl req -new -key server.key -out server.csr` 3. 根据证书签名请求文件和根证书生成证书文件：`openssl x509 -req -in server.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out server.crt -days 3650` 其中，`server.key` 为生成的私钥文件，`server.csr` 为生成的证书签名请求文件，`ca.crt` 和 `ca.key` 分别为自己生成的根证书文件和私钥文件，`server.crt` 为生成的证书文件。最后将 `server.crt` 和 `server.key` 文件拷贝到 Nginx 服务器的证书目录下。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

JermeryBesian

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值