升级Https前的可行性验证（一）

最新推荐文章于 2024-02-29 11:18:41 发布
最新推荐文章于 2024-02-29 11:18:41 发布
阅读量580 收藏
点赞数 1
分类专栏： 计算机网络 文章标签： Https升级 Https升级可行性分析 OpenSSL安装和证书签发 Nginx安装以及简单配置
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_37602117/article/details/81781744
版权

升级Https之前的可行性验证

注意：自签证书和Nginx的安装都基于ContOS 6

一、如何申请OpenSSL自签证书

1、安装OpenSSL

（一）OpenSSL 工具下载

下载地址

（二）OpenSSL 安装

参考博客

  • 查看服务器是否安装有OpenSSL
    openssl version -a
  • 将下载的OpenSSL源码上传至Linux服务器

    可以使用Xshell的Xftp工具。

  • 解压上传的.tar.gz压缩包
    tar -zxvf openssl-1.1.1-pre8.tar.gz
  • 安装gcc编译器，如果已经安装请略过
    
#如果系统安装了gcc编译器，如下图所示的gcc version

gcc -v 


#安装gcc

yum install gcc-c++

这里写图片描述

  • 安装zlib库，如果已经安装请略过
    
#检查是否安装zlib，如果安装如下图所示

whereis zlib


#获取zlib源码包

wget http://zlib.net/zlib-1.2.11.tar.gz


#切换到zlib源码包中

cd zlib-1.2.11


#安装zlib

./configure && make && make install

这里写图片描述

  • 安装OpenSSL工具
    
#首先进入OpenSSL工具解压之后的目录

cd openssl-1.1.1-pre8


#--prefix=指定的安装路径

./config shared zlib  --prefix=/usr/local/openssl && make && make install


#安装完成之后再当前目录再执行下面命令

./config -t make depend


#然后进入OpenSSL的安装目录

cd /usr/local


#建立文件链接

ln -s openssl ssl


#打开etc下的这个ld.so.conf配置文件，然后再文本中添加/usr/local/openssl/lib

vim /etc/ld.so.conf


#执行命令使文件链接共享生效

ldconfig
  • 环境变量配置
    
#打开etc目录下的profile文件

vim /etc/profile


#然后再文件的末尾添加如下内容

export OPENSSL=/usr/local/openssl/bin
export PATH=$OPENSSL:$PATH:$HOME/bin
  • 重开命令窗口，加载环境变量

2、自签证书

参考博客

（一）生成根证书
  • 生成.key后缀私钥
    
#生成私钥到指定目录

openssl genrsa -out /usr/local/nginx/conf/rootca.key
  • 生成.csr后缀的证书申请文件
    
#通过私钥生成申请文件到指定目录

openssl req -new -key /usr/local/nginx/conf/rootca.key -out /usr/local/nginx/conf/rootca.csr
  • 生成.crt后缀的证书文件
    
#通过私钥和证书申请文件，来自签证书

openssl x509 -req -days 3650 -in /usr/local/nginx/conf/rootca.csr -signkey /usr/local/nginx/conf/rootca.key -out /usr/local/nginx/conf/rootca.crt
（二）通过根证书签发服务端证书
  • 生成.key后缀私钥
    
#生成服务端私钥

openssl genrsa -out /usr/local/nginx/conf/server.key
  • 生成.csr后缀的证书申请文件
    
#生成服务端证书申请文件

openssl req -new -key /usr/local/nginx/conf/server.key -out /usr/local/nginx/conf/server.csr
  • 生成.crt后缀的证书文件
    
#签发服务端证书文件

openssl ca -in /usr/local/nginx/conf/server.csr -cert /usr/local/nginx/conf/rootca.crt -keyfile /usr/local/nginx/conf/rootca.key -out /usr/local/nginx/conf/server.crt

二、Nginx 安装

1、安装Nginx

参考博客

（一）下载相关源码包
  • 下载Nginx源码包
    
#通过wget命令来远程获取源码包到当前目录

wget http://nginx.org/download/nginx-1.15.2.tar.gz ./
  • 下载Pcre源码包
    
#通过wget命令来远程获取源码包到当前目录

wget ftp://ftp.csx.cam.ac.uk/pub/software/programming/pcre/pcre-8.40.tar.gz ./
（二）安装
  • 安装Pcre
    
#解压压缩包

tar -zxvf pcre-8.40.tar.gz


#切换到解压的目录中

cd ./pcre-8.40


#安装

./configure && make && make install
  • 安装Nginx
    
#解压压缩包

tar -zxvf nginx-1.15.2.tar.gz


#切换到解压的目录中

cd ./nginx-1.15.2


#安装

./configure && make && make install

2、安装Https模块

参考博客

  • 如果之前有安装过Nginx并且配置过nginx.conf，那么一定先做备份
    
#备份配置文件，前面是文件名，后面携带备份时间

cp nginx.conf ./nginx.conf.2018816


#备份安装目录sbin中 nginx运行文件

cp ./nginx/sbin/nginx ./nginx/sbin/nginx2018816
  • 在源码目录下安装Https模块
    
#备份安装目录sbin中 nginx运行文件

cp ./nginx/sbin/nginx ./nginx/sbin/nginx2018816


#先cd到源码包中


#获取https模块到指定目录

./configure --prefix=./nginx --with-http_stub_status_module --with-http_ssl_module


#编译

make


#将编译好的nginx运行文件复制到安装目录的sbin中

cp ./objs/nginx /usr/local/nginx/sbin/
  • 验证Https模块是否安装成功
    
#通过命令查看Https模块是否安装成功，如果安装成功如下图所示

/usr/local/nginx/sbin/nginx -V

这里写图片描述

3、启动Nginx验证是否安装成功

  • Nginx 常用的一些命令
    
#测试nginx.conf文件是否配置正确

./sbin/nginx -t


#启动nginx

./sbin/nginx


#重启

./sbin/nginx -s reload
  • 启动Nginx

    访问Nginx部署的服务器ip地址，出现如下图所示页面则表示安装成功。

这里写图片描述

三、Nginx 配置

1、Nginx 配置Https

（一）配置端口监听
listen       443 ssl;
server_name  10.3.1.2;
（二）配置证书
ssl_certificate      /usr/local/nginx/conf/server.crt;
ssl_certificate_key  /usr/local/openssl/bin/nopass-server.key;
（三）其他参数配置
ssl_session_cache    shared:SSL:1m;
ssl_session_timeout  5m;

server_tokens off;

ssl_ciphers  HIGH:!aNULL:!MD5;
ssl_prefer_server_ciphers  on;

2、Nginx 配置请求重定向和代理

<!-- 配置重定向 -->
location = /xxx {
    return 302 http://10.3.1.2:18080/bms_core;
}

<!-- 配置代理 -->
location = /bms_core/ {
    proxy_set_header Host $host:$server_port;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_pass http://10.3.1.1:18080;
}

<!-- 
    注意：
        1、location后接的是请求匹配规则
        2、在代理时如果，转发的地址最后加了/，那么location后匹配的请求路径不会被代理到proxy_pass指定的路径后，如果不加/，那么location后的匹配路径就会添加在proxy_pass指定的代理路径后。示例：如果加/就会是这样http://10.3.1.1:18080，如果不加/就会使这样http://10.3.1.1:18080/bms_core/
        3、在代理配置时加上proxy_set_header Host $host:$server_port;的作用就是在代理时端口号就不会被去掉
-->

3、Nginx 配置项目静态资源

<!-- 静态资源配置
    注意：如果监听了80端口（Http）和445端口（https），如果不配置静态资源的代理，则会出现静态资源无法访问的情况。原因是因为，如果是一个Html页面，你在第一次访问的时候给你返回之后，在Html中引用的一个静态资源是重新发起请求去获取的，当请求到了80端口和445端口就会再次取来匹配location，因为这个时候没有配置就会出现静态资源无法访问。
    解决方案：1、配置静态资源代理
            2、将Nginx服务器作为静态资源访问服务器，然后再配置如果请求静态资源就去Nginx中去匹配，在实际改造中这样不现实，还是配置静态资源访问吧
    如果有更好的解决方案请在下方评论！！！
-->
location ~ \.(gif|jpg|png|js|css)$ {
    proxy_set_header Host $host:$server_port;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_pass http://10.3.1.1:18080;
}

4、Nginx Http和Https共存

<!-- 
    目前的Http和Https共存，我暂时是单独配置一个Http Server 和一个Https Server两个端口监听互不干扰，同样如果有更好的方案请在下方评论告诉我！！！
 -->
server {
        listen 80;
        server_name  10.3.1.2;

        location / {
            root html;
            index  index.html index.htm;
        }

        location = /bms_core/ {
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            proxy_set_header Host $host:$server_port;
            proxy_pass http://10.3.1.1:18080;
            #return 302 http://10.3.1.2:18080/bms_core;
        }
        location ~ \.(gif|jpg|png|js|css)$ {
            proxy_set_header Host $host:$server_port;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            proxy_pass http://10.3.1.1:18080;

        }

        location = /bms {
            return 302 http://10.3.1.2:18080/bms_core;
        }
    }

5、我的nginx.conf配置文件的完整配置

worker_processes  4;
events {
    worker_connections  1024;
}


http {
    include       mime.types;
    default_type  application/octet-stream;

    log_format  main  '$remote_addr - $remote_user [$time_local] "$request" '
                      '$status $body_bytes_sent "$http_referer" '
                      '"$http_user_agent" "$http_x_forwarded_for"';

    access_log  /usr/local/nginx/logs/access.log  main;
    sendfile        on;
    keepalive_timeout  65;

    upstream my_server{
        server 10.3.1.2:3128 weight=5 ;
        server 10.3.1.2:80 weight=1;
     }

    server {
        listen 80;
        server_name  10.3.1.2;

        location / {
            root html;
            index  index.html index.htm;
        }

        location = /bms_core/ {
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            proxy_set_header Host $host:$server_port;
            proxy_pass http://10.3.1.1:18080;
            #return 302 http://10.3.1.2:18080/bms_core;
        }
        location ~ \.(gif|jpg|png|js|css)$ {
            proxy_set_header Host $host:$server_port;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            proxy_pass http://10.3.1.1:18080;

        }

        location = /bms {
            return 302 http://10.3.1.2:18080/bms_core;
        }
    }

    server {
        listen       443 ssl;
        server_name  10.3.1.2;

        ssl_certificate      /usr/local/nginx/conf/server.crt;
        ssl_certificate_key  /usr/local/openssl/bin/nopass-server.key;

        ssl_session_cache    shared:SSL:1m;
        ssl_session_timeout  5m;

        server_tokens off;

        ssl_ciphers  HIGH:!aNULL:!MD5;
        ssl_prefer_server_ciphers  on;

        location / {
            root   html;
            index  index.html index.htm;
        }

        location = /xxx {
            return 302 http://10.3.1.2:18080/bms_core;
        }

        location = /bms_core/ {
            proxy_set_header Host $host:$server_port;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            proxy_pass http://10.3.1.1:18080;
        }

        location ~ \.(gif|jpg|png|js|css)$ {
            proxy_set_header Host $host:$server_port;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            proxy_pass http://10.3.1.1:18080;
        }

    }

}

四、验证Client到Nginx Https请求是否生效，Https请求中是否建立SSL握手

1、验证Https模块和Https Server配置是否生效

（一）通过使用Https请求Nginx

这里写图片描述

（二）需要注意的点
  • 使用OpenSSL进行自签证书，所得证书是不能被浏览器所信任的。
  • 如果实际业务并没有浏览器与服务端交互，那么就可以使用OpenSSL进行自签证书，签发证书的目的只是为了单纯的使用Https请求来提高数据安全性，关于Https为什么安全，请参考下面博客。

    Https参考博客

    SSL/TLS握手参考博客

  • 如果需要使用到受浏览器信任的CA证书，可以参考下面博客对CA证书签发机构的介绍，自己选择哪个签来机构来签发自己的受信任CA证书。

    收费证书申请推荐

    免费证书签发机构参考博客

２、Tcpdump使用

参考博客

#查看网卡名命令
ifconfig

#通过tcpdump抓包
#eth0为网卡名
#host 10.2.1.254为发起请求的客户端ip地址
#-w ./eth1.cap是将抓包信息输出到指定目录下指定文件中
tcpdump -i eth0 host 10.2.1.254 -w ./eth1.cap

３、Wireshark使用

参考博客

（一）查看抓包信息

这里写图片描述

在Wireshark中点击文件，然后打开抓包文件。

（二）查看TCP传输流

这里写图片描述

点击请求，然后右键追踪TCP流。

４、抓取Http请求

（一）查看是否发起Http请求

这里写图片描述

（二）追踪TCP流，查看数据包在TCP传输过程中是否是明文

这里写图片描述

５、抓取Https请求

（一）查看是否建立握手

这里写图片描述

（二）追踪TCP流，查看数据包是否加密

这里写图片描述

６、结论

（一）Http

​ 通过Client向服务端发起的Http请求看到，客户端向服务端发起Http请求，并且通过追踪TCP流可以看到数据是明文传输没有被加密。

（二）Https

​ 通过Client向服务端发起的Https请求看到，中间建立了TLS握手，并且通过追踪TCP流可以看到数据是使用对称加密后的数据。

都说名字长不会被发现
关注
  • 1
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
流量分析-Wireshark -操作手册（不能说最全，只能说更全）
路baby的博客
03-22 1万+
流量分析-Wireshark -操作手册（不能说最全，只能说更全） 基于各种比赛做的总解 基于协议过滤⼿法👍 常用筛选命令方法 常⽤快捷键👍 数据包筛选 顶峰相见
图书管理系统可行性分析报告
04-23
使用方面的可行性韶关学院在没有使用我们这套系统前，采取的是人工方式，相对而言耗时大，效率低。而根据现有的硬件条件以及学院的行政管理模式以及工作制度，在办公室中，管理学籍的老师都配备电脑。而且电脑的系统...
X-Forwarded-For和X-Real-IP区分
yuanfengfengyuan的博客
06-16 2999
前言 在做检测产品的时候，碰到了X-Forwarded-For和X-Real-IP这两个HTTP头部字段，这两个一直稀里糊涂的，专门针对两个字段进行了分析和理解。 代理的区分 反向代理和正向代理 企业服务器以集群方式进行部署，并通过负载均衡方式对外提供应用服务，一般负载均衡可以是软件（nginx），也可以是硬件设备，以B/S通信数据（浏览器）为例，我们通过GET方式访问企业域名服务器，负载均衡设备就会按照当前各个子服务器运行状况进行任务分发，分给空闲的服务器，从客户端来看，请求的目的地址就是服务器设备，其实
Nginx从HTTP到HTTPS：实现网站安全升级
最新发布
✨ 欢迎来到【Seal ^_^ 的CSDN博客】！这里是我记录技术心得、分享经验的地方。✨
02-29 1万+
Nginx从HTTP到HTTPS：实现网站安全升级
升级nginx为https
qdqht2009的专栏
02-14 439
升级nginx为https条件 1、查看nginx是否支持ssl /usr/local/nginx/sbin/nginx -V 注：查看 configure arguments 信息中是否包含 -with-http_ssl_module 字样，如果没有则需要重新编译。找到之前安装 Nginx 时的编译目录，配置ssl模块，因为这次是升级nginx，所以不需要执行 make install，执行...
HTTPS验证流程
weixin_45794641的博客
04-12 2463
HTTPS验证流程 1.HTTPS简介 ​ 由于HTTP在网络中是明文传输的，所以数据在传输过程中很容易被截取，这时就会有一些加密算法及方式出来，比如对称加密、非对称加密等方式，在HTTPS中加密其实是在TCP和HTTP之间加了一层SSL/TLS协议用于加密。 2.对称加密 2.1 对称加密的工作流程 ​ 对称加密其实就是发送方和接收方都拥有一把相同的密钥，发送方在发送之前会对数据通过密钥进行加密，然后传输到接收方，接收方会通过密钥进行解密获取数据。 ​ 在浏览器和服务器之间交互也是这样的，服务端拥有这把
【nginx】网站从http升级到https，详细步骤
u012203062的博客
06-10 1950
个人网站http升级到https的过程记录。
一种多体制通信时间同步算法及其FPGA实现
01-19
以上位机、通用硬件平台和宽带天线等为基础，搭建一个可以兼容多种通信体制的新一代无线通信统一平台，并通过运行GSM、TD-SCDMA、WCDMA、CDMA2000、WiMAX等主流2G/3G/B3G无线通信系统，验证平台的可行性。...
MySQL数据库升级的一些陷阱
12-14
一般来说，升级MySQL有两类可行方案，一类是直接升级数据字典，在本机完成，整个过程会有离线操作，会对业务有中断，第二种是通过高可用切换平滑实现，原理是搭建低版本到高版本的数据复制关系，这种方案优势比较...
论文研究-基于技术升级与选择决策的供应链物流网络再设计.pdf
07-22
建立了基于技术升级与选择决策的供应链物流网络再设计模型，随后设计了数据生成准则，在Java中调用Cplex求解，通过算例验证了模型的有效性和求解方法的可行性。最后灵敏度分析为决策制定者提供了有意义的启示：供应...
EDA/PLD中的一种多体制通信时间同步算法及其FPGA实现
11-06
以上位机、通用硬件平台和宽带天线等为基础，搭建一个可以兼容多种通信体制的新一代无线通信统一平台，并通过运行GSM、TD-SCDMA、WCDMA、CDMA2000、WiMAX等主流2G/3G/B3G无线通信系统，验证平台的可行性。...
关于加密文件后缀 .cer ，.crt，.key，.csr，.crl，jks 傻傻分不清
ratel的博客
08-17 8009
关于加密文件后缀 .cer ，.crt，.key，.csr，.crl，jks 傻傻分不清
Nginx中将Http升级为Https
山路曲折盘旋，但毕竟朝着顶峰延伸
09-20 231
【代码】Nginx中将Http升级为Https。
总结我的验证思路：怎样追波形
TroubleMaker
09-08 1820
本文转自公众号“数字芯片实验室”，作者：夏晶 。谢谢 曾经，有同事仿真挂死，抱着显示器看波形，看了两天，没有结果，给我，我看了30分钟，找到了原因；曾经，在同事已经仿真Pass，最简单的中断测试波形中，我找到了超过20个Bug（和中断测试无关）。所以有同事问我怎么做到的，所以引出了我写这个连载。在这个连载的最后一节，我最后分享一下，我通过波形发现问题，及问题的原因的一些经验。 一回生，二回熟。 很多新晋的验证人员抱怨，这么多信号，这么复杂的连接关系，千头万绪，眼睛都看得长挑针，还是看不出东西..
论证可行性有哪几个方面
热门推荐
Stars_Baek的博客
10-12 2万+
可行性分析过程是确定系统是否值得开发的过程。通常可行性分析从四个方面进行: 1、技术可行性，其研究目的是判断新的系统在当前技术条件下能否实现，或某种新技术能否获得。 2、经济可行性，研究开发的成本和效益，判断系统运行得到的效益是否能高于系统开发的成本，以及能否在规定的时间内收回开发的成本 3、时间可行性。 4、社会可行性。 技术可行性 竞争对手功能比较，研究同行业有多少类似产品，有哪些功能、功能异同点。通过竞品分析可以了解对方技术特点、产品特点、发展空间、市场行情、用户喜爱程度及
个人探索项目管理和需求可行性验证
zhaohan___的博客
11-23 328
收集分析需求 午睡犯困 划分任务 构思 说明： 当项目原型图或需求统计分析之后，在这一步确定界面和各种交互方式。在这次需要多想为什么这么做，是否有别的解决办法。 例子 需求： 下午三点喝杯咖啡 思考： 1.喝咖啡是因为犯困？ 2.公司有提供的饮品喝茶行不行？，喝红牛行不行？ 3.去洗洗脸能不能替代喝咖啡 计划方案 说明： 当已经有几个解决方案的时候，考虑好各种方案的优缺点，能否长期稳定，优化结构尽量少做选择减少逻辑 例子 方案1.去楼下喝咖啡。优点：可以有效地提神，缺点：要离开工位，长期这样可能我的组长会
Nginx配置http升级https
lannister_awalys_pay的博客
01-21 2620
Nginx配置https 记录一下实验室测试版服务器的https配置流程，本次为http升级至https 原有的http配置： server { listen 8001; server_name localhost; #set $live_status 0 #直播是否开启，初始值为0，关闭 location / { root /home; index index.html index.html; } location
https证书验证的基本方法
蔚可云的博客
08-23 3368
https证书是一种数字证书，这种证书的主要作用是保护网站的信息安全，此时就能够提高网站的安全性。不过，网站配置了https证书之后一定要进行https证书验证，这种情况下的安全性是很高的。但是，https证书验证的方法是什么呢？ https证书验证的相关方法： 验证https证书的目的是为了让网站的安全性更加的高，所以验证的是一定要使用正确的方法。一般情况下，从https证书的加密形式来验证是很好的。该证书主要有对称加密以及非对称加密。因此，验证的时候直接从加密的形式来验证就可以了，大家可以在蔚可
ssm框架的系统可行性分析
06-02
1. 技术可行性：SSM框架采用了Spring、SpringMVC和MyBatis三个框架，这些框架都经过多年的发展和实践，稳定性和可靠性得到了充分验证，因此技术可行性较高。 2. 经济可行性：开发一个SSM框架的系统需要投入一定的...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值