nginx双向认证

最新推荐文章于 2024-06-21 02:44:26 发布
最新推荐文章于 2024-06-21 02:44:26 发布
阅读量1.3k 收藏 2
点赞数
分类专栏： java 文章标签： nginx
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_37657914/article/details/125646563
版权

        使用自建CA配置nginx双向认证遇到的坑

一、安装部署nginx

  1. 总体说明

在安装nginx前首先要确认系统中安装了gcc、pcre-devel、zlib-devel、openssl-devel。如果未安装以上程序，在安装nginx过程中会出现对应错误提示，可单独再安装对应依赖程序。

  • 出现 ./configure: error: C compiler cc is not found错误，安装gcc-c++
  • 出现 ./configure: error: the HTTP rewrite module requires the PCRE library错误，安装pcre-devel
  • 出现 ./configure: error: the HTTP gzip module requires the zlib library错误，安装zlib
  • 出现./configure: error: SSL modules require the OpenSSL library错误，安装OpenSSL-devel
    1. 在线一键安装依赖环境

以上依赖环境在线一键安装

yum -y install gcc pcre-devel zlib-devel openssl openssl-devel

    1. 安装gcc-c++
      1. 在线安装

# yum install gcc-c++

      1. 离线安装

1、拷贝/ gcc 文件到liunx服务器的/usr目录下

2、安装

# cd /gcc

# rpm -ivh* --force --nodeps

    1. 安装 pcre-devel
      1. 在线安装

# yum install -y pcre pcre-devel

下载位置：https://ftp.pcre.org/pub/pcre/pcre-8.37.tar.gz

      1. 离线安装

1、拷贝/ pcre-8.40.tar.gz 文件到liunx服务器的/usr目录下

2、解压pcre-8.40.tar.gz

# cd /usr

# tar -xvf pcre-8.40.tar.gz

3、编码

# cd pcre-8.40

# ./configure && make && make install

    1. 安装zlib
      1. 在线安装

# yum install -y zlib zlib-devel

      1. 离线安装

1、拷贝/ zlib-1.2.11.tar.gz 文件到liunx服务器的/usr目录下

2、解压zlib-1.2.11.tar.gz

# cd /usr

# tar -xvf zlib-1.2.11.tar.gz

3、编码

# cd zlib-1.2.11

# ./configure && make && make install

    1. 安装OpenSSL-devel
      1. 在线安装

# yum install -y openssl openssl-devel

      1. 安装OpenSSL（离线安装）
        1.  安装perl（安装前通过perl -v查看系统是否安装）

PS：已安装可以跳过此步骤

  1. 拷贝\Product\12.服务器备货专用软件\Nginx\目录下的perl-5.28.0.tar.gz文件到linux服务器的/usr目录下；
  2. 解压perl，进入/usr目录下，解压perl-5.28.0.tar.gz

# tar -zxvf perl-5.28.0.tar.gz   

  1. 进入解压目录

# cd perl-5.28.0

  1. 自定义安装目录

# ./Configure -des -Dusethreads -Dprefix=/usr/local/perl

  1. 编译和安装，依次执行以下命令

#make

#make test

#make intall

  1. 安装完成，查看版本

#perl -v

        1.  安装openssl

安装前确认perl已经安装，若没有请查看1.5.2.1步骤进行安装

  1. 拷贝\Product\12.服务器备货专用软件\Nginx目录下的openssl-1.0.2j.tar.gz文件到linux服务器/usr目录；
  2. 进入/usr目录，解压openssl-1.0.2j.tar.gz；

#tar -zxvf openssl-1.0.2j.tar.gz

  1. 进入到解压后的目录

#cd openssl-1.0.2j

  1. 配置

#./config

  1. 编译

#make

  1. 安装

#make install

  1. 安装Nginx
    1. 离线安装

下载安装包：# wget -c https://nginx.org/download/nginx-1.9.9.tar.gz

或

1、拷贝/ nginx-1.18.0.tar.gz 文件到liunx服务器的/usr目录下

2、解压nginx-1.18.0.tar.gz

# cd /usr

# tar -xvf nginx-1.18.0.tar.gz

  1. 配置安装模块

# cd nginx-1.18.0

如果执行了1.5.1在线安装命令，请执行以下命令

# ./configure --prefix=/usr/local/nginx --with-http_stub_status_module --with-http_ssl_module  --with-stream

如果执行了1.5.2已安装openssl，请使用以下命令进行模块安装

# ./configure --prefix=/usr/local/nginx --with-http_stub_status_module --with-http_ssl_module  --with-stream --with-openssl=/usr/openssl-1.0.2j/

4、编码安装

# make

#make install

  1. Nginx配置
    1. 注册Nginx服务

问题现象：-bash: nginx: command not found

解决办法：把nginx路径 配置到环境变量里

1：进入 vim /etc/profile 文件在文件最后添加一个 PATH

export PATH=$PATH:/usr/local/nginx/sbin

2：source命令使用配置立即生效

    1. nginx 自启动配置

再rc.local 文件中增加启动命令

# vim /etc/rc.local

增加一行：# /usr/local/nginx/sbin/nginx

执行权限： # chmod 777 /etc/rc.local

    1. 启动nginx

默认/nginx/conf/nginx.conf

# /usr/local/nginx/sbin/nginx

配置文件方式启动

# /usr/local/nginx/sbin/nginx -c /usr/local/nginx/conf/nginx.conf

  1. Nginx 命令汇总
    1. 停止nginx

# /usr/local/nginx/sbin/nginx -s stop 

    1. 重启nginx

# /usr/local/nginx/sbin/nginx -s reload

    1. 验证配置是否成功

# /usr/local/nginx/sbin/nginx -t 

    1. 查看nginx进程

# ps -ef | grep nginx 

    1. 验证是否安装SSL模块

# /usr/local/nginx/sbin/nginx -V

    1. P12证书转成crt和key

使用openssl命令导出.crt

openssl pkcs12 -in Sign.p12 -nokeys -out server.crt

使用openssl命令导出.key

openssl pkcs12 -in Sign.p12 -nocerts -nodes -out server.key

使用openssl命令导出.csr

openssl pkcs12 -in keystore.p12 -nokeys -out my_key_store.csr

    1. 生成自签证书
  2. 创建证书密钥文件

openssl genrsa -out server.key 2048

  1. 利用密钥生成证书请求文件，按提示输入证书信息（密码为空）

openssl req -new -key server.key -out server.csr

  1. 利用证书请求文件自成自签证书

openssl x509 -req -days 3650 -in server.csr -signkey server.key -out server.crt

二、配置nginx

    ssl_certificate /usr/local/nginx/ssl_cert/server.crt;  // ssl证书 证书名称需要跟 域名一致
    ssl_certificate_key /usr/local/nginx/ssl_cert/server.key; //ssl证书私钥

    ssl_client_certificate /usr/local/nginx/ssl_cert/cacert.pem; //客户端证书链
    ssl_verify_client on; //双向认证
    ssl_verify_depth 3; //就这个配置被坑了，着重记录，自签CA使用3级CA作为客户端证书的证书链

  • ssl_verify_depth  这个参数是使用受信证书能成功进行客户端验证的关键，注意它的值是 3。

因为当 ssl_verify_depth 设置为 1（ Nginx 的默认值）的时候，服务端只会接受直接被 CA 签发的客户端证书或自签名的证书。也就是说，直接尝试使用中级 CA 来验证客户端是无法通过的，OpenSSL 会自动的去找中级 CA 的签发者并一层层验证上去，直到找到根证书。

所以，就算将中级 CA 和根 CA 都放在信任证书列表中，由于最终 ssl_verify_depth 为 2 的缘故，验证还是通不过的。

因此，在实际使用的时候，需要注意以下两点：

  • CA 文件中必须同时存在 中级 CA 和根 CA，必须构成完整证书链，不能少任何一个；

  • 默认的验证深度 ssl_verify_depth 是 1，中级 CA 签发的客户端证书一律无法通过认证，需要增大该值，所以我们上面配置中 ssl_verify_depth 值为 3 。

    ssl_session_timeout  5m;
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
    ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4;
    ssl_prefer_server_ciphers  on;

qq_37657914
关注
专栏目录
详解Nginx SSL快速双向认证配置(脚本)
09-30
主要介绍了详解Nginx SSL快速双向认证配置(脚本),小编觉得挺不错的，现在分享给大家，也给大家做个参考。一起跟随小编过来看看吧
nginx实现双向认证
qq_41937509的博客
09-20 4939
如果手里面只有通过正规途径申请下来的证书(而不是上面自签证做法), 得到的证书如下面所示, 这里只有服务端证书而没有服务端和根证书, 所以仍需要我们以自签证的方式生成根证书以及客户端证书。配置的主要内容是配置了服务器端证书的公钥私钥以及根证书的公钥, 并且ssl_verify_client 参数设置为 on。如果客户端证书不是由根证书直接颁发的，配置中还需要加一个配置：ssl_verify_depth 1;server.crt：有效期十年的服务器端公钥证书，使用根证书和服务器端私钥文件一起生成。
nginx 配置用户认证_nginx 用户信任
最新发布
m0_61408947的博客
06-21 243
因为要代理prometheus面板，加上nginx认证会更加安全。
nginx 配置 https的双向认证
CheerTan is here
10-11 2087
注意事项 配置双向认证，这里的common name需要都配置成不同 nginx 配置 https的双向认证 1.准备工作 linux环境安装openssl 2.生成证书步骤 1.新建一个文件夹 mkdir /root/keys 2.生成CA私钥 ca.key openssl genrsa -out ca.key 4096 3.生成ca的数字证书 ca.crt openssl req -new -x509 -days 3650 -key ca.key -out ca.crt Co
Nginx的双向认证
weixin_44480960的博客
01-25 6761
Nginx的双向认证 一、前言 参考链接 OPENSSL加密DSA,RSA介绍 客户端默认是相信权威CA机构的，操作系统内置了CA证书。 说白了就是操作系统默认就有了CA证书的公钥，比如我们能访问https://www.baidu.com（百度）就是因为我们本身的操作系统中CA认证机构中有百度。 centos操作系统中被信任的证书一般在此文件中 cat /etc/pki/tls/certs/ca-bundle.crt 我们可以查看一下访问百度的一个通信过程 curl -v https://www.b
nginx配置双向认证
weixin_33841722的博客
01-22 224
实现的功能：外网访问nginx有证书才能打开页面，无证书打不开页面一、在192.168.13.45安装nginxapt-get install nginx二、配置生成ca的参数mkdir-pv/etc/nginx/ca cd/etc/nginx/ca mkdir-pvmkdirnewcertsprivateconfserver cdconf vimop...
docker构建nginx双向认证https服务器
06-18
docker构建nginx双向认证https服务器。 openssl命令生成双向认证自签名证书。 nginx配置https（tls）服务。 浏览器访问服务器需要导入客户端证书到浏览器中。
linux nginx双向认证服务搭建
02-13
### Linux Nginx 双向认证服务搭建与Tomcat SSL步骤详解 #### 一、前言 在现代网络环境中，安全成为了不可忽视的关键因素。为了确保数据传输的安全性，使用HTTPS协议来保护通信内容变得至关重要。本文将详细介绍...
Nginx开启TLS双向认证流程及配置
ChinaCpp666的博客
05-28 2383
是一种可选的优化方案，可以减少握手的长度。它通常用于客户端和服务器之间已经建立了信任的情况下。是客户端和服务器共同协商生成的一个用于加密通信数据的对称密钥。是临时性的，只在会话期间存在，不会存储在客户端或服务器上。的长度通常为256位，但这取决于所使用的密码套件。被泄露，攻击者可能会窃听或篡改通信数据。是否会存储在客户端或服务器上？被泄露，会有什么后果？在TLS握手过程中，
Nginx SSL 双向认证
嗜鞋瘾君子
03-11 1026
一、安装Nginx和OpenSSL yum install nginx openssl -y 二、SSL 服务器 / 客户端双向验证证书的生成 创建一个新的 CA 根证书，在 nginx 安装目录下新建 ca 文件夹，进入 ca，创建几个子文件夹 mkdir ca && cd ca mkdir newcerts private conf server # newcer...
nginx双向认证配置proxy_ssl_verify_depth详解
01-08
当待验证的客户端证书是由intermediate-CA签发，而非有root-CA签发时，需要在proxy_ssl_trusted_certificate中配置intermediate-CA和root-CA组成的证书链文件 也就是说，直接尝试使用中级 CA 来验证客户端是无法通过的，openssl 会自动的去找中级 CA 的签发者一层层验证上去，直到找到根。 因此，在实际使用的时候，需要注意一下两点： CA 文件中必须同时存在 中级 CA 和 根 CA，必须构成完整证书链，不能少任何一个； 默认的验证深度 SslVerifyDepth ssl_verify_depth 是 1，也就是说只要是中级
nginx 代理服务器配置双向证书验证的方法
01-10
生成证书链 用脚本生成一个根证书, 一个中间证书(intermediate), 三个客户端证书. 脚本来源于(有修改) https://stackoverflow.com/questions/26759550/how-to-create-own-self-signed-root-certificate-and-intermediate-ca-to-be-importe 中间证书的域名为 localhost. #!/bin/bash -x set -e for C in `echo root-ca intermediate`; do mkdir $C cd $C mkdir certs
Nginx配置https双向认证
CyborgLin的博客
09-01 4367
https双向认证原理： 网上查询很多文章，按照他们的步骤下来到最后都是失败的，然后摸索了3天终于搞定，记录下来，希望帮助到其他小伙伴。 一.生成自签名根证书 创建根证书私钥： openssl genrsa -out root.key 1024 创建根证书请求文件： openssl req -new -out root.csr -key root.key ############注意############## 根证书的Common Name填写root就可以，根证书的这个字段和.
自建CA实战之 《0x02 Nginx 配置 https双向认证》
一条老萌新
11-26 927
上一章节我们已经实现了Nginx上配置https单向认证，主要场景为客户端验证服务端的身份，但是服务端不验证客户端的身份。本章节我们将实现Nginx上配置https双向认证，主要场景为客户端验证服务端的身份，同时服务端也验证客户端的身份，简称双向认证。双向认证的使用场景很多，比如我们在使用网银的U盾登录的时候，就是使用的双向认证，客户端验证服务端的身份，同时服务端也验证客户端的身份。
SSL双向认证-Nginx配置
localhost
09-14 938
3.浏览器添加证书，在浏览器设置里找到SSL证书，导入client.p12证书，再次访问后选择证书即可访问。Nginx配置适用于前端项目或前后端都通过Nginx转发的时候（此时可不配置后端启用双向认证）SSL双向认证需要CA证书，开发过程可以利用自签CA证书进行调试验证。
nginx SSL双向认证
zhangyunpengchang的专栏
07-05 1056
一.建立证书授权中心 1.检查是否已经安装openssl #which openssl /usr/bin/openssl 2.创建CA目录 #mkdir /usr/local/nginx/conf/ssl 3.生成私钥 #cd /usr/local/nginx/conf/ssl #echo 01 | tee ca.srl #openssl genrsa -des3 -out ca-
https单双向认证，SSL加密方式
菜小菜吃菜的博客
11-07 542
模拟搭建https单、双向认证
nginx 双向认证
07-28
下面是实现Nginx双向认证的一般步骤： 1. 生成服务器证书和私钥：首先需要生成服务器的证书和私钥。可以使用OpenSSL命令来生成自签名证书或者通过证书机构获得有效的证书。 2. 配置Nginx服务器：在Nginx的配置文件...
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值