nginx 配置https_Linux专题—nginx配置https服务

最新推荐文章于 2024-04-23 06:17:32 发布

weixin_39548805

最新推荐文章于 2024-04-23 06:17:32 发布

阅读量122

点赞数

文章标签： nginx 配置https nginx配置https

一、申请https证书

1.使用Let's Encrypt申请通配符证书

(1)官方介绍cerbot 0.22.0版本支持新的协议升级

#yum install letsencrypt 
#certbot-2 --version 
certbot 0.39.0

在了解该协议之前有几个注意点：

1）客户在申请 Let’s Encrypt 证书的时候，需要校验域名的所有权，证明操作者有权利为该域名申请证书，目前支持三种验证方式：

dns-01：给域名添加一个 DNS TXT 记录。
http-01：在域名对应的 Web 服务器下放置一个 HTTP well-known URL 资源文件。
tls-sni-01：在域名对应的 Web 服务器下放置一个 HTTPS well-known URL 资源文件。

而申请通配符证书，只能使用 dns-01 的方式

2）ACME v2 和 v1 协议是互相不兼容的，为了使用 v2 版本，客户端需要创建另外一个账户（代表客户端操作者），以 Certbot 客户端为例，大家可以查看：

# tree /etc/letsencrypt/accounts  -L 1 
/etc/letsencrypt/accounts 
└── acme-v02.api.letsencrypt.org

3）Enumerable Orders 和限制

为了实现通配符证书，Let's Encrypt 在申请者身份校验上做了很大的改变。

有了订单 ID 的概念，主要是为了追踪通配符域名。

申请限制，在 V1 版本，Let's Encrypt 为了避免滥操作，对申请证书有一些限制（很难学习，但是正常使用不会遇到该限制）。而 v2 版本，对于通配符证书，多了一个限制，New Orders per Account（每个证书订单数限制）。

(2)实践

certbot-2 certonly  -d *.geovis.cloud  --manual --preferred-challenges dns --server https://acme-v02.api.letsencrypt.org/directory

介绍下相关参数：

certonly，表示安装模式，Certbot 有安装模式和验证模式两种类型的插件。
--manual 表示手动安装插件，Certbot 有很多插件，不同的插件都可以申请证书，用户可以根据需要自行选择
-d 为那些主机申请证书，如果是通配符，输入 *.geovis.cloud（可以替换为自己的域名）
--preferred-challenges dns，使用 DNS 方式校验域名所有权
--server，Let's Encrypt ACME v2 版本使用的服务器不同于 v1 版本，需要显示指定。

接下来命令输出：

上述有两个交互式的提示：

是否同意 Let's Encrypt 协议要求
询问是否对域名和机器（IP）进行绑定

确认同意才能继续。

继续查看命令行的输出，非常关键：

要求配置 DNS TXT 记录，从而校验域名所有权，也就是判断证书申请者是否有域名的所有权。

上面输出要求给 _acme-challenge.geovis.cloud 配置一条 TXT 记录，在没有确认 TXT 记录生效之前不要回车执行。

我使用的是阿里云的域名服务器，登录控制台操作如下图：

注：上图，由于操作界面已经不存在，所以截取网友的操作界面图片

然后输入下列命令确认 TXT 记录是否生效：

# dig  -t txt  _acme-challenge.geovis.cloud @8.8.8.8  ;

 <<>> DiG 9.9.4-RedHat-9.9.4-73.el7_6 <<>> -t txt _acme-challenge.geovis.cloud @8.8.8.8 
;; global options: +cmd 
;; Got answer: 
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 40875 
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1  
;; OPT PSEUDOSECTION: ; EDNS: version: 0, flags:; udp: 512 
;; QUESTION SECTION: ;_acme-challenge.geovis.cloud.	IN	TXT 
 ;; ANSWER SECTION: _acme-challenge.geovis.cloud. 599 IN	TXT	"btB7u3FLkbbPDYIWVjBXRjnNPWPzCaZzJLm5tLog4BE" 
 ;; Query time: 79 msec
 ;; SERVER: 8.8.8.8#53(8.8.8.8) 
;; WHEN: Fri Nov 29 16:22:05 CST 2019 
;; MSG SIZE  rcvd: 113

确认生效后，回车执行，输出如下：

恭喜您，证书申请成功，证书和密钥保存在下列目录：

# tree /etc/letsencrypt/archive/geovis.cloud/
/etc/letsencrypt/archive/geovis.cloud/
├── cert1.pem
├── chain1.pem
├── fullchain1.pem
└── privkey1.pem

0 directories, 4 files

然后校验证书信息，输入如下命令：

# openssl x509 -in /etc/letsencrypt/archive/geovis.cloud/cert1.pem -noout -text

关键输出如下：

二、配置nginx

#yum install epel-release
#vim /etc/nginx/conf.d/https.conf
server{
    listen 443 ssl;
    server_name test.geovis.cloud;

    ssl_certificate /etc/letsencrypt/archive/geovis.cloud/fullchain1.pem;
    ssl_certificate_key /etc/letsencrypt/archive/geovis.cloud/privkey1.pem;

    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;

    location / {
                root /home/zhangjx/frontend/;
                try_files $uri $uri/ /index.html;
                index  index.html index.htm;
        }
}