为jumpserver堡垒机自签ssl证书的痛苦经历

自签ssl证书

1. 创建ssl目录
   cd ~ //切换根目录
   mkdir ssl //创建ssl目录（颜色为蓝色）

2. 自签名证书生成
   一级证书
   openssl genrsa -des3 -out ca.key 2048 //生成自签名证书的私钥ca.key
   要求输入密码，要记住该密码后面需要用，在使用证书的地方也需要用
   openssl req -new -x509 -days 365 -key ca.key -out ca.crt //生成自签名证书ca.crt

3. 使用自签名证书签名服务器证书
   openssl genrsa -out server.key 2048 //生成服务器私钥server.key
   openssl req -new -key server.key -out server.csr //生成服务器证书请求server.csr
   openssl -req -days 365 -in server.csr -CA ca.crt -CAkey ca.key -set_serial 01 -out server.crt //生成服务器证书server.crt

4. 验证证书有效性
   openssl x509 -text -noout -in server.crt

5. 生成证书后需要安装到nginx服务下应用

自签参考这个博主http://www.manongjc.com/detail/25-npanpduoxasuhjh.html

放到外网的做法还需研究

内网堡垒机使用的话其实只需要把刚刚自签的证书放到/opt/jumpserver/config/nginx/cert/

1. 上传证书
   cd /opt/jumpserver/config/nginx/cert/ //将证书文件上传至该目录下
2. 开启SSL端口
   vim /opt/jumpserver/config/config.txt
   USE_LB=1 //Nginx 配置, USE_LB=1 表示开启, 为 0 的情况下, HTTPS_PORT 定义不生效（一般默认LB置为1）
3. 修改Nginx配置文件

vim /opt/jumpserver/config/nginx/lb_http_server.conf

upstream http_server {
ip_hash;
server web:80; # 这个是可以通过容器访问, 外部访问是 80端口

server HOST2:80; # 另外的要写真实IP

}

server {
listen 80;
server_name jumpserver.opscn.cn; # 取消注释并自行修改成你自己的域名（内网的话就写ip地址即可）
return 301 https://$serve{r}_{n}ame$request_uri;
}

server {
listen 443 ssl;
server_name jumpserver.opscn.cn; # 取消注释并自行修改成你自己的域名（内网的话就写ip地址即可）
server_tokens off;
ssl_certificate cert/server.crt ; # 修改 server.crt 为你的证书, 不要改路径 certs/（我自签的证书就叫server，所以没有改）
ssl_certificate_key cert/server.key; # 修改 server.key 为你的证书, 不要改路径 certs/（我自签的证书就叫server，所以没有改）
ssl_session_timeout 1d;
ssl_session_cache shared:MozSSL:10m;
ssl_session_tickets off;
ssl_protocols TLSv1.1 TLSv1.2;
ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4:!DH:!DHE:!DES:!ECDHE-RSA-DES-CBC3-SHA;
add_header Strict-Transport-Security “max-age=31536000” always;
ssl_prefer_server_ciphers off;

client_max_body_size 5000m;

location / {
proxy_pass http://http_server;
proxy_buffering off;
proxy_request_buffering off;
proxy_http_version 1.1;
proxy_set_header Host $host;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection $http_connection;
proxy_set_header X-Forwarded-For $remote_addr;

proxy_ignore_client_abort on;
proxy_connect_timeout 600;
proxy_send_timeout 600;
proxy_read_timeout 600;
send_timeout 6000;

}
}

4. 重新启动jumpserver
   cd /opt/jumpserver-installer-v2.16.3（就是当初jumpserver的安装包名字目录）
   ./jmsctl.sh restart
5. 最后正常访问即可
   
   参考这个博主https://www.csdn.net/tags/NtzaMgysNDM2MjItYmxvZwO0O0OO0O0O.html