ssl证书申请并开启https服务

1、单域名版、多域名版、通配符版SSL证书的区别

 

• 单域名版：只保护一个域名，例如:www.mysite.com、shopping.car.net、buy.product.cn

注意：单域名版，如果保护的的是以www为前缀的域名，默认情况下连去除www为前缀的域名也保护，例如申请保护www.mysite.com，其实连mysite.com也保护。但是其它类型的单域名保护则不行，例如shopping.car.net、buy.product.cn都只保护它们本身。

 

• 多域名证书：一个证书保护多个域名(域名个数有限制，不同品牌限定的个数不一致)，例如一个公司因为业务需要可能存在多个域名，例如：www.A.com、www.B.com、www.C.com，可以通过一个证书来保护多个域名，这笔单个域名申请证书所带来的花费少

 

• 通配符版SSL证书:一个证书可以保护同一主域名下同一级所有的子域名，不限制个数，例如在申请证书时，填写的域名为*.domain.com，则可以同时保护以下域名：

www.domain.com、shopping.domain.com、music.domain.com、www.domain.com、

 

 

 

• CSR文件：证书签发请求，即证书请求文件。证书申请者在申请证书时由csp(加密服务提供者)在生成私钥的同时也生成证书请求文件，证书申请者只要把CSR文件提交给颁发机构后，证书颁发机构使用其根证书私钥对该CSR文件签名后就生成了证书公钥文件，也就是颁发给用户的证书。

通常CSR文件是在拿到参考码、授权码进行证书签发和下载时，通过网页提交给CA的(也可以由浏览器自动生成)

 

• SSL证书：SSL安全通道。该协议主要用来提供对用户和服务器的认证，对传送的数据进行加密和隐藏；确保数据在传送过程不被修改，即数据的完整性。SSL证书是数字证书的一种，因为配置在服务器上，也成为SSL服务器证书，由受信任的数字证书颁发机构CA，在验证服务器身份后颁发，具有服务器身份验证和数据传输加密功能。

 

2、免费域名证书申请

• 登录https://freessl.cn/创建免费的SSL证书

在输入框输入要保护的域名，例如www.ikeyly.cn

品牌可以选择trustasia、Let’s Encrypt ,根据需要选择，保护域名格式和时限不一样

• 点击创建免费证书后，输入邮箱，然后选择相应选

           证书类型：RSA、ECC

             其中RSA加密强度高，兼容性好，但是加密效率低

                                           ECC加密强度低，兼容性差，但是加密效率高

• 验证类型：DNS、文件验证

文件验证：CA 将通过访问特定 URL 地址来验证您是否有改域名的所有权。因此，您需要下载给定的验证文件，并上传到您的服务器。比如采用的是文件验证，会生成一个fileauth.txt文件，只要将这个fileauth.txt文件放到待验证域名服务器对应目录，然后通过浏览器访问  http://域名/路径/fileauth.txt，就能验证成功。但是在实际操作中发现访问的域名都是少了www前缀，导致找不到fileauth.txt文件。如果使用的是云服务器和域名，要在对域名解析中添加一条解析记录，既对www.example.com也要对example.com进行解析，对example.com解析配置里面主机记录要从www改成@,其它不变，然后尝试ping example.com正常就没问题了

Dns验证：CA 将通过查询 DNS 的 TXT 记录来确定您对该域名的所有权。您只需要在域名管理平台将生成的 TXT 记录名与记录值添加到该域名下，等待大约 1 分钟即可验证成功。

在云服务器的控制界面---DNS服务管理里面，添加一条_dnsauth的记录，记录值从freessl获取，在云服务器dns管理里面配置完域名解析大概一分钟后，回到freessl点击验证，验证通过后浏览器会自动下载一个.pem文件(证书、公钥，证书还有其它格式，可以互相转换格式), .key文件(私钥)

 

CSR生成：浏览器生成、离线生成、我有CSR

          浏览器生成：在浏览器支持 Web Cryptography 的情况下，我们默认使用浏览器根据用户的信息生成CSR文件

          离线生成：下载managerkey工具自己生成

          我有CSR: 这种方式是最能够保证证书安全的方式，但需要一定的证书知识。如果您有 CSR 文件，您可以选择我有 CSR 并粘贴。我们将根据您的 CSR 颁发证书。

 

 

• 3、证书配置

• 证书申请完后会自动通过浏览器下载到本地，正常是一个zip(包含证书pem和私钥key)，在下载的时候可以选择证书类型，但是由于我们使用的是nginx，所以选择pem类型
• 将证书上传到服务器对应的路径下，然后配置/etc/nginx/sites-enabled/default文件，在server里面写入如下内容,其中ssl_certificate和ssl_certificate_key这两个的文件路径要写绝对地址，不然后面在重启nginx的时候会报错。

1. 重启nginx,执行 /usr/sbin/nginx -s reload
2. 重启后就可以通过https://www.example.com访问网站，目前我的个人博客www.ikeyly.cn已经开启https服务，并同时支持http访问