CentOS7.x下安装Nginx、PHP及生成自签名证书、开启http2（下）

说明：本篇博客紧接着上一篇博客（CentOS7.x下安装Nginx、PHP及生成自签名证书、开启http2（下）），在安装及配置好Nginx及PHP后，本篇博客重点在于使用openssl生成自签名证书及为Nginx开启http2。

一、使用openssl生成自签名证书

在使用openssl生成自签名证书之前，请确保自己系统中的openssl版本(openssl version)在1.0.2e以上，也即系统自带的openssl需要经过升级后才可以哦，具体的操作可参照我的上一篇博文。
注意：这里所要生成的自签名证书与私有CA签名的证书不同，二者的差异与介绍可以参见sdcxyz博主的博客。

具体操作：

1） 创建/etc/ssl/private目录并设置权限

mkdir /etc/ssl/private
chmod 700 /etc/ssl/private

2） 一行命令生成自签名证书

openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/ssl/private/nginx-selfsigned.key -out /etc/ssl/certs/nginx-selfsigned.crt

各项参数的含义：

• openssl：创建自签名证书的程序，用于创建管理openssl证书，公钥私钥及其它相关文件。
• req：这个子命令表明我们想要使用X.509的方式进行证书（CSR文件）的管理。
• -x509：这项参数确保我们生成的是自签名的证书而不是生成证书签名请求。
• -nodes：告知openssl跳过证书的密码检查——便于Nginx的使用。
• -days 365：这个选项是设置自签名证书的时长。此处将其设置为1年。
• -newkey rsa:2048：该选项表明我们希望在生成证书的同时生成密钥。其中rsa:2048 表示制作一个2048位长度的RSA密钥。
• -keyout：告知openssl生成的私钥放置的位置。
• -out：告知openssl生成的证书放置的位置。

当我们使用上述命令时，即已创建密钥以及自签名证书。当然，在这项命令执行后，还需要用户填写一些信息，其中尤为重要的是 Common Name （填写公用IP或者与该IP绑定的域名）。
这些需要填写的内容示例如下：

Country Name (2 letter code) [AU]:CN #中国的
State or Province Name (full name) [Some-State]:***
Locality Name (eg, city) []:***
Organization Name (eg, company) [Internet Widgits Pty Ltd]:***, Inc.
Organizational Unit Name (eg, section) []:***
Common Name (e.g. server FQDN or YOUR name) []:server_IP_address #这里需要注意一下哦，否则就得重新来过了
Email Address []:***

此外，我们还可以使用openssl创建一个strong Diffie-Hellman组，用于增强安全性。

openssl dhparam -out /etc/ssl/certs/dhparam.pem 2048

二、为Nginx开启http2

在使用openssl生成自签名证书后，便需要将其“配备”到Nginx中。

修改Nginx的设置
vim /usr/local/nginx/conf/nginx.conf

将server {listen 443……中的内容修改如下：

server {
    listen 443 http2 ssl;
    listen [::]:443 http2 ssl;

    server_name server_IP_address;

    ssl_certificate /etc/ssl/certs/nginx-selfsigned.crt;
    ssl_certificate_key /etc/ssl/private/nginx-selfsigned.key;
    ssl_dhparam /etc/ssl/certs/dhparam.pem;
}

然后，重启Nginx服务：/usr/local/nginx/sbin/nginx -s reload

然后在浏览器中输入：https://ip，见到下图所示的信息即开启正确。

本篇博文主要参考资料：
1. https://www.digitalocean.com/community/tutorials/how-to-create-a-self-signed-ssl-certificate-for-nginx-on-centos-7
2. http://blog.csdn.net/sdcxyz/article/details/47220129
3. https://blog.fazero.me/2017/01/06/upgrate-nginx-and-use-http2/
4. http://blog.creke.net/762.html