Nginx配置https

前置条件：

在配置https之前请确保下面的步骤已经完成

1. 服务器已经安装nginx并且通过http可以正常访问

   不会安装nginx的可以参考下这篇文章：Linux系统nginx安装说明（在线/离线安装）_小慌慌的博客-CSDN博客_nginx安装linux

2. 拥有ssl证书

SSL证书制作

一、证书作用

SSL证书属于数字证书的一种，类似于驾驶证、护照。遵循SSL协议，由信任的数字证书颁发机构CA在验证服务器身份后颁发；

SSL证书的好处：参考链接https://baijiahao.baidu.com/s?id=1610739873505104305&wfr=spider&for=pc

SSL证书将会带来前所未有的安全加密和更快速的访问体验
1 防止中间人流量劫持
2 Https加密使网站更安全
3 保障用户隐私信息安全
4 帮助用户识别钓鱼网站
5 http将被标记“不安全”
6 提升搜索排名
7 提升公司形象和可信度

二、SSL证书制作

1、SSL证书制作依靠openssl，首先检查OpenSSL：一般centos7上默认装好了

[root@DATASC-WEB-01 card]# openssl version
OpenSSL 1.0.2k-fips  26 Jan 2017

2、生成私钥和自签名的SSL证书：

2.1、生成私钥，参数genrsa：生成RSA私钥；-des3：des3算法；-out server.pass.key：生成的私钥文件名；2048：私钥长度

创建目录  mkdir /root/card 

[root@DATASC-WEB-01 card]# openssl genrsa -des3 -out server.pass.key 2048                
Generating RSA private key, 2048 bit long modulus
.............................................................+++
.......................+++
e is 65537 (0x10001)
Enter pass phrase for server.pass.key:
Verifying - Enter pass phrase for server.pass.key:         #输入一个4位以上的密码

[root@DATASC-WEB-01 card]# ll
-rw-r--r--. 1 root root 1751 Jul 19 16:11 server.pass.key  #有密码的私钥文件

2.2、去除私钥中的密码

[root@DATASC-WEB-01 card]# openssl rsa -in server.pass.key -out server.key
Enter pass phrase for server.pass.key:
writing RSA key

[root@DATASC-WEB-01 card]# ll
-rw-r--r--. 1 root root 1679 Jul 19 16:16 server.key
-rw-r--r--. 1 root root 1751 Jul 19 16:11 server.pass.key

2.3、生成CSR（证书签名请求文件）

[root@DATASC-WEB-01 card]# openssl req -new -key server.key -out server.csr -subj "/C=CN/ST=Fujian/L=Fuzhou/O=xdevops/OU=xdevops/CN=gitlab.xdevops.cn"

参数说明：# req 生成证书签名请求    
                  # -new 新生成             
                  # -key 私钥文件                 
                  # -out 生成的CSR文件               
                  # -subj 生成CSR证书的参数

2.4、生成自签名的SSL证书

[root@DATASC-WEB-01 card]# openssl x509 -req -days 1825 -in server.csr -signkey server.key -out server.crt  #-days：证书有限期(天)
Signature ok
subject=/C=CN/ST=Fujian/L=Fuzhou/O=xdevops/OU=xdevops/CN=gitlab.xdevops.cn
Getting Private key
[root@DATASC-WEB-01 card]# ll
total 16
-rw-r--r--. 1 root root 1224 Jul 19 16:18 server.crt
-rw-r--r--. 1 root root 1013 Jul 19 16:18 server.csr
-rw-r--r--. 1 root root 1679 Jul 19 16:16 server.key
-rw-r--r--. 1 root root 1751 Jul 19 16:11 server.pass.key
[root@DATASC-WEB-01 card]#

另：服务端使用OpenSSL工具，执行如下命令 openssl x509 -in diserver.crt -noout -dates即可看到证书的有效起止时间

[root@DATASC-WEB-01 card]# openssl x509 -in server.crt -noout -dates
#error_log  logs/error.log  info;
notBefore=Jul 19 08:18:25 2021 GMT
notAfter=Jul 18 08:18:25 2026 GMT

如果以上条件都满足了，接下来开始配置https

-------------------配置https-------------------------

第一步：Nginx的ssl模块安装

在配置ssl证书之前，要确保你的nginx已经安装了ssl模块，一般情况下自己安装的nginx都是不存在ssl模块的。

这里先检查下自己是否存在ssl模块：

进入到你的nginx安装目录下面，我的目录是在（/usr/local/nginx），如果你的nginx安装步骤和上面的文章一致的话，那你的目录和我应该是一致的

进入到目录的sbin目录下，输入

#注意这里是大写的V，小写的只显示版本号
./nginx -V  

如果出现 (configure arguments: --with-http_ssl_module), 则已安装（下面的步骤可以跳过）。

一般情况下都是不存在ssl模块的，接下来进入到你的解压缩后的nginx目录，注意这里不是nginx安装目录，是解压缩后的目录，我的是在（/root/nginx），进入目录后，输入

./configure --prefix=/usr/local/nginx --with-http_stub_status_module --with-http_ssl_module

接下来执行

make
#切记不要执行make install，否则会重新安装nginx

上述操作执行完成以后，你的目录下会出现objs文件夹，文件夹内存在nginx文件，如图：

接下来使用新的nginx文件替换掉之前安装目录sbin下的nginx，注意这里的替换的时候可以先将之前的文件备份下，停掉nginx服务

./nginx -s stop #停止nginx服务

#替换之前的nginx
cp /usr/local/nginx-1.17.1/objs /usr/local/nginx/sbin

成功之后，进入到nginx安装目录下，查看ssl时候成功

#注意这里是大写的V，小写的只显示版本号
./nginx -V  


[root@DATASC-WEB-01 sbin]# ./nginx -V
nginx version: nginx/1.17.1
built by gcc 4.8.5 20150623 (Red Hat 4.8.5-36) (GCC)
built with OpenSSL 1.0.2k-fips  26 Jan 2017
TLS SNI support enabled
configure arguments: --prefix=/usr/local/nginx --with-http_stub_status_module --with-http_ssl_module

#可以看到这里出现了configure arguments: --with-http_ssl_module   证明已经安装成功

提示：这里替换后在执行 -V命令如果提示权限不足，先给这个nginx文件提升下权限

chmod 777 nginx

第二步:进行nginx.conf配置

进入nginx.conf文件下

    server {
        listen     443 ssl;  
        server_name localhost;     
        #ssl        on;
        ssl_certificate /root/card/server.crt;      #配置已签名的SSL证书.crt
        ssl_certificate_key /root/card/server.key;  #配置已签名的证书私钥.key
        }

改完保存，并测试是否配置正确

[root@DATASC-WEB-01 conf]# /usr/local/nginx/sbin/nginx -t
nginx: the configuration file /usr/local/nginx/conf/nginx.conf syntax is ok
nginx: configuration file /usr/local/nginx/conf/nginx.conf test is successful

重启nginx

[root@DATASC-WEB-01 conf]# /usr/local/nginx/sbin/nginx -c /usr/local/nginx/conf/nginx.conf

第三步: 验证

直接浏览器打开，IP:端口访问