linux升级tls,为CentOS升级OpenSSL 让Nginx支持TLS 1.2

最近在调试微信小程序时，发现wx.request请求总是无法正确获取服务器端的数据，经过检查发现是因为服务器端https不支持微信要求的TLS 1.2版本。

登录到服务器上，用openssl version -a命令查询，发现版本是0.9.8e，查阅文档得知OpenSSL从1.0.1开始才支持TLS 1.2，那么我们就来对OpenSSL进行个升级。

准备工作：

1.下载新版OpenSSL源码包https://www.openssl.org/source/openssl-1.0.1u.tar.gz

2.开启主机的telnet，以防升级过程中遇到问题，可通过telnet补救。

开启telnet的方法

通过# rpm -qa |grep telnet-server命令查询telnet-server是否已经安装，如果没装可以通过yum install telnet-server安装。

telnet服务需要依赖xinetd启动，可以通过vi /etc/xinetd.d/telnet，将 service telnet{}里面的disable=yes改为disable=no，保存后用service xinetd restart命令重启xinetd服务，就可以登录telnet了，升级完成后别忘记关闭telnet。

telnet开启后，我们开始正式升级OpenSSL

首先用下载的源码包编译安装

tar zxvf openssl-1.0.1u.tar.gz

cd openssl-1.0.1u

./config shared zlib-dynamic

make

make install

1

2

3

4

5

tarzxvfopenssl-1.0.1u.tar.gz

cdopenssl-1.0.1u

./configsharedzlib-dynamic

make

makeinstall

安装完成后，我们可以通过默认的安装路径看一下版本号，如果显示OpenSSL 1.0.1u  22 Sep 2016就对了

/usr/local/ssl/bin/openssl version -a

1

/usr/local/ssl/bin/opensslversion-a

接下来要替换掉旧版

mv /usr/bin/openssl /usr/bin/openssl.old

mv /usr/include/openssl /usr/include/openssl.old

ln -s /usr/local/ssl/bin/openssl /usr/bin/openssl

ln -s /usr/local/ssl/include/openssl/ /usr/include/openssl

echo "/usr/local/ssl/lib" >> /etc/ld.so.conf

ldconfig

1

2

3

4

5

6

mv/usr/bin/openssl/usr/bin/openssl.old

mv/usr/include/openssl/usr/include/openssl.old

ln-s/usr/local/ssl/bin/openssl/usr/bin/openssl

ln-s/usr/local/ssl/include/openssl//usr/include/openssl

echo"/usr/local/ssl/lib">>/etc/ld.so.conf

ldconfig

替换掉旧版后，我们就可以直接用openssl version -a再看一下版本号，如果显示的是新的版本号，就说明安装和替换旧版都成功了

最后我们要看一下Nginx的编译参数

/home/server/nginx/sbin/nginx -V

1

/home/server/nginx/sbin/nginx-V

如果不存在–with-openssl这样的编译参数，就说明Nginx采用的是动态方式编译的SSL，这种情况直接重启Nginx就好了，否则就是静态方式的，需要重新对Nginx进行编译。

相关内容：