JDK生成证书,在Nginx中配置HTTP+SSL

填写资料的时候第一个填写服务域名.以下操作都是在windows中搞的

nginx添加自建证书的流程和tomcat基本一致.

1.使用jdk的工具生成证书:

服务端证书库
keytool -genkey -v -alias nginx -keyalg RSA -validity 3650 -keystore F:\HTTP+SSL\NginxSSL\nginx.keystore

客户端证书
keytool -genkey -alias client -keypass 123123 -keyalg RSA -storetype PKCS12 -keypass 123123 -storepass 123123 -validity 3650 -keystore F:\HTTP+SSL\NginxSSL\client.p12

2.将客户端证书添加到服务端证书库

1.将客户端证书添加到服务端证书库,先转换为cer文件,p12无法直接导入到证书库

将客户端证书导出为cre文件,名字需要一致
keytool -export -alias client -keystore F:\HTTP+SSL\NginxSSL\client.p12 -storetype PKCS12 -keypass 123123 -file F:\HTTP+SSL\NginxSSL\client.cer

2.将客户端证书导入到服务器的证书库，添加为一个信任证书

keytool -import -v -file F:\HTTP+SSL\NginxSSL\client.cer -keystore F:\HTTP+SSL\NginxSSL\nginx.keystore

查看服务器的证书库，可以看到两个证书，一个是服务器证书，一个是受信任的客户端证书
keytool -list -v -keystore F:\HTTP+SSL\NginxSSL\nginx.keystore

3.将证书添加到客户端信任列表

1.将服务器证书库导出为证书,证书才可以导入到客户端

由于不能直接将keystore格式的证书库导入，必须先把服务器证书导出为一个单独的CER文件，使用如下命令：
keytool -keystore F:\HTTP+SSL\NginxSSL\nginx.keystore -export -alias nginx -file F:\HTTP+SSL\NginxSSL\server.cer

2.运行server.cer,将此服务器证书添加到受信任的根证书颁发机构
3.运行client.p12,将客户端证书导入到个人证书

4.转换证书

常用证书格式：JKS(.keystore)，微软(.pfx)，OPSSL之PEM(.key + .crt)，其中tomcat使用JKS格式，nginx使用PEM格式。

由于生成的证书是jks格式，nginx不能直接用，需要要转成PEM格式，这要用到jks2pfx工具进行转换。

JKS2PFX.bat F:\HTTP+SSL\NginxSSL\nginx.keystore 123123 nginx nginx
生成三个文件:nginx.key、nginx.crt、nginx.pfx；

5.配置Nginx

1.将nginx.key、nginx.crt复制到nginx的conf目录，并将nginx.crt重命名为nginx.pem

2.配置nginx.conf

server {
    listen       80;
    server_name  domain.com;
    #将http请求自动跳转到https上
    return 301 https://$server_name$request_uri;
}

server {
    #监听443端口
    listen       443 ssl;
    server_name  domain.com;

    #证书路径。从conf开始找
    ssl_certificate      exportfile.pem;
    ssl_certificate_key  exportfile.key;

    ssl_session_cache    shared:SSL:1m;
    ssl_session_timeout  5m;

    ssl_ciphers  HIGH:!aNULL:!MD5;
    ssl_prefer_server_ciphers  on;

    location / {
        #反向代理http://127.0.0.1:8080
        proxy_pass http://127.0.0.1:8080;
    }
}

3.重启nginx,使用nginx -t 报错:

提示了:nginx: [emerg] the "ssl" parameter requires ngx_http_ssl_module in /usr/local/nginx/conf/nginx.conf:37

这是因为没有ssl模块,安装了ssl模块

4.处理没有ssl模块的问题

切换到源码包：
cd /usr/local/src/nginx-1.12.2

查看nginx原有的模块
/usr/local/nginx/sbin/nginx -V

在configure arguments:后面显示的原有的configure参数如下：
--prefix=/usr/local/nginx --with-http_stub_status_module

那么我们的新配置信息就应该这样写：
./configure --prefix=/usr/local/nginx --with-http_stub_status_module --with-http_ssl_module

配置完成后，运行命令
make

然后备份原有已安装好的nginx
cp /usr/local/nginx/sbin/nginx /usr/local/nginx/sbin/nginx.bak

然后将刚刚编译好的nginx覆盖掉原有的nginx（这个时候nginx要停止状态）
cp ./objs/nginx /usr/local/nginx/sbin/

然后启动nginx，仍可以通过命令查看是否已经加入成功
/usr/local/nginx/sbin/nginx -V

./nginx -t:ok

启动后https配置成功.