nginx配置https

最新推荐文章于 2024-04-25 16:44:33 发布
最新推荐文章于 2024-04-25 16:44:33 发布
阅读量214 收藏 1
点赞数
文章标签： nginx https http CA
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_41870677/article/details/102676205
版权
  • 超文本传输协议http协议被用于在Web浏览器和网站服务器之间传递信息，http协议以明文方式发送内容，不提供任何方式的数据加密，安全性低。
  • 安全套接字层超文本传输协议https，基于HTTP协议，通过SSL或TLS提供加密处理数据、验证对方身份以及数据完整性保护。
  • https协议需要到CA申请证书，阿里云也提供了相应的服务，今天我们就手工生成证书来测试，当然浏览器通过https访问，会提示“不安全”，因为这个证书不是CA系统签发的，以后有项目需求，可以去阿里云购买SLL证书。

1、生成CA证书

（1）查看openssl是否安装

openssl version -a

在这里插入图片描述

  • OPENSSLDIR: “/etc/pki/tls”，这个是openssl的安装位置

（2）搭建ca服务器：

  • 根据配置文件信息，到CA根目录，若没有则自己创建
cd /etc/pki/CA
mkdir -pv {certs,crl,newcerts,private}
touch {serial,index.txt}

在这里插入图片描述

  • 证书开始编号
echo 01 >> serial
  • ca生成自己的私钥
(umask 077; openssl genrsa -out private/cakey.pem 2048)

在这里插入图片描述

  • 生成自签证书
openssl req -new -x509 -key /etc/pki/CA/private/cakey.pem -out cacert.pem -days 365

在这里插入图片描述
（3）颁发证书

  • CA搭好了，我们就可以使用这个来为其他证书签名。
  • 生成私钥（位置随意）
(umask 077; openssl genrsa -out test.key 2048)

在这里插入图片描述

  • 生成证书签署请求
openssl req -new -key test.key -out test.csr -days 365

在这里插入图片描述

  • 此处的CountryName、State、Locality Name、Organization Name、Organizational Unit Name必须和根证书CA的相同，这点注意一下。

（4）在CA服务器上签署证书

  • 将3生成的.csr文件传输给ca服务器，ca服务器使用命令签署该证，当然我们测试，都在同一个服务器上，直接就在当前目录下操作了。
#颁发证书
openssl ca -in /etc/pki/CA/test.csr -out /etc/pki/CA/certs/test.crt -days 365

在这里插入图片描述

#查看证书信息
openssl x509 -in /etc/pki/CA/test.crt -noout -serial -subject

在这里插入图片描述

  • 如何将.crt的ssl证书文件转换成.pem格式
openssl x509 -in test.crt -out test.pem

2、配置Nginx的证书

  • 上面已经生成了CA证书

  • 在nginx目录下新建crt目录，把生成的test.crt、test.key移动过去

cd /etc/nginx
mkdir crt

在这里插入图片描述

  • 下面的比较重要，修改ngxin.conf

user nginx;
pid /var/run/nginx.pid;
worker_processes auto;
worker_rlimit_nofile 65535;

events {
	multi_accept on;
	worker_connections 65535;
}

http {
	charset utf-8;
	sendfile on;
	tcp_nopush on;
	tcp_nodelay on;
	server_tokens off;
	log_not_found off;
	types_hash_max_size 2048;
	client_max_body_size 16M;

	# MIME
	include mime.types;
	default_type application/octet-stream;

	# logging
	access_log /var/log/nginx/access.log;
	error_log /var/log/nginx/error.log warn;

	# SSL
	ssl_session_timeout 1d;
	ssl_session_cache shared:SSL:10m;
	ssl_session_tickets off;

	# Mozilla Intermediate configuration
	ssl_protocols TLSv1.2 TLSv1.3;
	ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384;

	# OCSP Stapling
	ssl_stapling on;
	ssl_stapling_verify on;
	resolver 1.1.1.1 1.0.0.1 8.8.8.8 8.8.4.4 208.67.222.222 208.67.220.220 valid=60s;
	resolver_timeout 2s;

	# load configs
	include /etc/nginx/conf.d/*.conf;

server {
        listen 10061;
        location /nginx_status {
        stub_status on;
        access_log off;
    #    allow 127.0.0.1;
    #    deny all;
        }
    }
}
  • include /etc/nginx/conf.d/*.conf;
  • 这只是全局的配置，对于每个域名的配置，以及安全策略、代理之类的配置在/conf.cinclude配置
  • Nginx 开启status用以监控状态信息，看下面的配置：
server {
        listen 10061;
        location /nginx_status {
        stub_status on;
        access_log off;
    #    allow 127.0.0.1;
    #    deny all;
        }
    }
  • 访问http://47.101.201.179:10061/nginx_status
    在这里插入图片描述
  • Active connections: 4 表示Nginx正在处理的活动连接数4个。
  • server 13 表示Nginx启动到现在共处理了13个连接
  • accepts 13 表示Nginx启动到现在共成功创建13次握手
  • handled requests 14 表示总共处理了 14 次请求
  • Reading:Nginx 读取到客户端的 Header 信息数
  • Writing:Nginx 返回给客户端 Header 信息数
  • Waiting:Nginx 已经处理完正在等候下一次请求指令的驻留链接（开启keep-alive的情况下，这个值等于Active-(Reading+Writing)）
cd /etc/nginx/conf.d

在这里插入图片描述

  • 新增****.conf，如图命名规则，可以清晰看出访问方式以及域名
  • https.www.flighting.top.conf
# HTTP redirect
server {
	# SSL开启方式
	listen 443 ssl;
	server_name www.flighting.top;

	# SSL
	ssl_certificate /etc/nginx/crt/test.crt;
	ssl_certificate_key /etc/nginx/crt/test.key;

	# security
	#include conf.d/include/security.conf;

	# logging
	access_log /var/log/nginx/access.log;
	error_log /var/log/nginx/error.log warn;

	# reverse proxy
	#location / {
	#	proxy_pass http://mps;
	#	include conf.d/include/proxy.conf;
	#}
   location / {
        root   /usr/share/nginx/html;
        index  index.html index.htm;
    }
    
	# additional config
	#include conf.d/include/general.conf;
}
  • http.www.flighting.top.conf
# HTTP redirect
server {
	listen 80;
	server_name www.flighting.top;

	location / {
        root   /usr/share/nginx/html;
        index  index.html index.htm;
    }
}

  • ssl_certificate 、ssl_certificate_key 就是crt下面的crt、key文件

  • 下面来看include下面的几个文件
    在这里插入图片描述

  • general.conf

# favicon.ico
location = /favicon.ico {
	log_not_found off;
	access_log off;
}

# robots.txt
location = /robots.txt {
	log_not_found off;
	access_log off;
}

# gzip
gzip on;
gzip_vary on;
gzip_proxied any;
gzip_comp_level 6;
gzip_types text/plain text/css text/xml application/json application/javascript application/rss+xml application/atom+xml image/svg+xml;
  • proxy.conf
# favicon.ico
location = /favicon.ico {
	log_not_found off;
	access_log off;
}

# robots.txt
location = /robots.txt {
	log_not_found off;
	access_log off;
}

# gzip
gzip on;
gzip_vary on;
gzip_proxied any;
gzip_comp_level 6;
gzip_types text/plain text/css text/xml application/json application/javascript application/rss+xml application/atom+xml image/svg+xml;
[root@iZuf6byxu1xm380ts8qmfcZ include]# cat proxy.conf 
proxy_http_version	1.1;
proxy_cache_bypass	$http_upgrade;

proxy_set_header Upgrade			$http_upgrade;
proxy_set_header Connection 		"upgrade";
proxy_set_header Host				$host;
proxy_set_header X-Real-IP			$remote_addr;
proxy_set_header X-Forwarded-For	$proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto	$scheme;
proxy_set_header X-Forwarded-Host	$host;
proxy_set_header X-Forwarded-Port	$server_port;
  • security.conf
# security headers
#add_header X-Frame-Options "SAMEORIGIN" always;
#add_header X-XSS-Protection "1; mode=block" always;
#add_header X-Content-Type-Options "nosniff" always;
add_header Referrer-Policy "no-referrer-when-downgrade" always;
#add_header Content-Security-Policy "default-src 'self' http: https: data: blob: 'unsafe-inline'" always;
#add_header Content-Security-Policy "default-src 'self' http: https: data: blob: 'unsafe-inline' 'unsafe-eval'" always;
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;


# . files
location ~ /\.(?!well-known) {
	deny all;
}
  • 这些只是常用的，具体的看项目需求。

3、测试

  • 由于域名未备案，所以只能访问ip
  • 访问https://47.101.201.179，提示不安全的链接
    在这里插入图片描述
  • 访问http://47.101.201.179
    在这里插入图片描述
    关注公众号"双城人"，搬砖过程遇到的问题，大家一起探讨，资源共享
    在这里插入图片描述
双城人
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
nginx 添加https
qq_42849214的博客
06-29 321
server { listen 443; #SSL协议访问端口号为443。此处如未添加ssl，可能会造成Nginx无法启动。 server_name www.example.com; #将localhost修改为您证书绑定的域名，例如：www.example.com。 root /var/www/html/Applets; 目录 index index.html index.htm; ssl on; ssl_certificate /etc/nginx/cert/tao.cn.pem; #您证书的文件名。
nginx添加https段
Linux_cui的博客
02-03 414
一般在安装完nginx的时候，不直接修改nginx的默认配置文件nginx.conf，而是在nginx.conf的http段里面添加一个include： include /etc/nginx/conf.d/vhost/*.conf; 1. openssl genrsa -out privkey.pem 2048      创建服务器密钥 2. openssl req -new -key
Nginx的https协议添加
wangxu6521的博客
08-24 166
场景：在添加百度大脑的实名认证的时候需要添加https的反向代理 如果nginx没有添加https协议的配置会出现如下报错nginx: [emerg] https protocol requires SSL support 解决方案： 一.卸载nginx 1.先查询所有nginx的文件：find / -name nginx 2.删除所有的nginx：rm -rf /usr/local/epf/nginx 二.1.重新下载nginx： cd /usr/local/epf ...
为Nginx添加https访问
Hustcw Blog
02-01 1447
Nginx添加https访问（ubuntu16.04）——已解决 首先吐一下槽，linux不同发行版的nginx配置竟然不一样，浪费好久时间啊。ubuntu16.04的同学可以看过来了，nginx配置https和http共存,并且重定向 免费证书 按照步骤申请到阿里云免费证书 免费证书申请的时候不需要人工审核，只要绑定到相应的域名即可。阿里云上有教程，一步步跟着走即可。
nginx如何添加https
崎山小鹿的专栏
10-18 701
1：为什么要启用https 数据保密性。保证内容在传输过程中不会被第三方查看到。就像快递员传递包裹时都进行了封装，别人无法知道里面装了什么东西。     数据完整性。及时发现被第三方篡改的传输内容。就像快递员虽然不知道包裹里装了什么东西，但他有可能中途掉包，数据完整性就是指如果被掉包，我们能轻松发现并拒收。     身份校验。保证数据到达用户期望的目的地。就像我们邮寄包裹时，虽然是一个封装好
nginx配置+https
12-10
### Nginx 配置与 HTTPS 实现详解 #### 一、Nginx 简介及配置结构 Nginx 是一个高性能的 HTTP 和反向代理 Web 服务器，同时也提供了 IMAP/POP3/SMTP 服务。它以其稳定性、丰富的功能集、简单的配置文件和较低的...
nginx https 配置
11-23
"nginx https 配置"这个主题涉及到的是如何在Nginx上设置HTTPS服务，以实现网站的安全访问。HTTPS是HTTP协议的安全版本，通过使用SSL/TLS协议来加密数据传输，确保用户与服务器之间的通信不被中间人攻击。 首先，...
记录nginx配置https证书及静态资源配置以及docker环境下的配置
01-07
我用的是centos7宿主机nginx配置，之后会在另一台服务器尝试docker下的的nginx配置。 centos7下安装nginx可以参考这篇文章 ubuntu下安装nginx可以参考这篇文章 通过yum在宿主机安装好nginx并启动后，打开/etc/nginx...
nginx配置https详细步骤，从安装OpenSSL和Nginx，到生成证书，nginx配置（包括配置http请求转发到https）等
07-31
网络上很难找到非常详细的关于nginx配置https的全流程，大多都是一小段，要么缺A要么缺B。 本文档通过真实的实践经验，从安装OpenSSL和Nginx，到利用openssl生成证书，配置nginx的https（包括配置http请求转发到...
利用Nginx增加https一文解决(包含可能遇到的问题)
Kyrie_H的博客
10-17 1501
离线环境下使用nginx配置https
【基础篇】Nginx安装 SSL模块、配置 HTTPS详细步骤
热门推荐
打怪升级
08-25 1万+
nginx
Nginx配置Https
梦想起飞的地方.........
04-26 151
最近要求Nginx支持Https访问，然后研究了一下，发现配置其实还是很简单的。用的方案就是在之前的配置的server上面再套一层server，然后开启ssl即可。 之前是这个配置 http { include mime.types; default_type application/octet-stream; sendfile on; server { listen 8981; se...
Nginx 配置 SSL（HTTPS）详解
最新发布
小楼一夜听春雨，深巷明朝卖杏花
04-25 7357
Nginx作为一款高性能的HTTP和反向代理，自然支持SSL/TLS加密通信。本文将详细介绍如何在Nginx中配置SSL，实现HTTPS的访问。随着互联网安全性的日益重要，HTTPS协议逐渐成为网站加密通信的标配。Nginx作为一款高性能的HTTP和反向代理服务器，自然支持SSL/TLS加密通信。本文将详细介绍如何在Nginx中配置SSL，实现HTTPS的访问。使用Nginx进行反向代理的时候，对于正常的http；流量使用location块并且配置proxy_pass。
nginx配置ssl支持https的详细步骤
weixin_45501219的博客
03-19 3383
在建站的时候我们通常要让网站通过https进行访问，不然使用http过程中，所有信息都是未加密的，并且用户访问的时候浏览器会屏蔽我们的网站。本文介绍如何通过nginx配置ssl以支持通过https协议访问网站。
通过Nginx部署https
qq_41512902的博客
07-01 2943
通过Nginx部署https
Nginx配置Https（详细、完整）
qq_40229790的博客
10-07 1万+
一般情况下都是不存在ssl模块的，接下来进入到你的解压缩后的nginx目录，注意这里不是nginx安装目录，是解压缩后的目录，我的是在（/root/nginx），进入目录后，输入。接下来使用新的nginx文件替换掉之前安装目录sbin下的nginx，注意这里的替换的时候可以先将之前的文件备份下，停掉nginx服务。在配置ssl证书之前，要确保你的nginx已经安装了ssl模块，一般情况下自己安装的nginx都是不存在ssl模块的。进入到你的nginx安装目录下面，我的目录是在（
https经过ngxin在web服务器收到http请求
好习惯要坚持下去
10-26 1744
在讨论这个问题之前，我们先了解一下nginx代理的概念 一.ngxin正向代理和反向代理： 正向代理的概念 正向代理,也就是传说中的代理,他的工作原理就像一个跳板, 简单的说, 我是一个用户,我访问不了某网站,但是我能访问一个代理服务器 这个代理服务器呢,他能访问那个我不能访问的网站 于是我先连上代理服务器,告诉他我需要那个无法访问网站的内容 代理服务器去取回来,然后返回给我
Nginx如何支持HTTPS？手把手教会你每一步操作都贼简单(1)
m0_61330806的博客
04-11 1004
一个人可以走的很快，但一群人才能走的更远。不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎扫码加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！[外链图片转存中…(img-ReLYC0RF-1712839779462)]一个人可以走的很快，但一群人才能走的更远。不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎扫码加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值