Nginx国密化

gmssl 相关

#下载gmssl2.5.4版本
wget https://github.com/guanzhi/GmSSL/archive/master.zip
# 解压
unzip master.zip
# 进入目录
cd GmSSL-master
# 配置config指定目录
./config --prefix=/usr/local/gmssl
make
make install
# 查看版本，验证是否安装成功
cd /usr/local/gmssl/
bin/gmssl version

# 报错了，这是由于openssl库的位置不正确造成的
bin/gmssl: error while loading shared libraries: libssl.so.1.1: cannot open shared object file: No such file or directory
# 现在基本都是建立软连接，但是可能都没说清楚就会比较懵。
# 1.首先确认gmssl的安装路径，我的是/usr/local/gmssl
# 2.应该将gmssl目录下的lib下的对应文件建立软连接
# 3.确认以上两点后，执行下面的命令
ln -s /usr/local/gmssl/lib/libssl.so.1.1 /usr/lib64/libssl.so.1.1
ln -s /usr/local/gmssl/lib/libcrypto.so.1.1 /usr/lib64/libcrypto.so.1.1
# 再执行bin/gmssl version，则正常返回版本信息

---

openssl nginx编译

此处使用的为nginx官网最新稳定无漏洞版

wget -c http://nginx.org/download/nginx-1.23.1.tar.gz

tar -zvxf nginx-1.23.1.tar.gz

cd nginx-1.23.1

./configure --prefix=/opt/nginx --with-http_stub_status_module --with-stream --with-http_ssl_module --with-http_gzip_static_module --with-stream_ssl_module --with-openssl="/usr/local/gmssl" --with-cc-opt="-I/usr/local/gmssl/include" --with-ld-opt="-lm"
#编译安装 Nginx
make && make install 

如果编译执行过程中出现 make[1]: *** [/usr/local/wotrus_ssl2.0/.openssl/include/openssl/ssl.h] Error 127 错误。则需要进入 nginx-1.23.1/auto/lib/openssl 目录，编辑 conf 文件。需修改如下内容：

CORE_INCS="$CORE_INCS $OPENSSL/.openssl/include"
CORE_DEPS="$CORE_DEPS $OPENSSL/.openssl/include/openssl/ssl.h"
CORE_LIBS="$CORE_LIBS $OPENSSL/.openssl/lib/libssl.a"
CORE_LIBS="$CORE_LIBS $OPENSSL/.openssl/lib/libcrypto.a"

修改为：

CORE_INCS="$CORE_INCS $OPENSSL/include"
CORE_DEPS="$CORE_DEPS $OPENSSL/include/openssl/ssl.h"
CORE_LIBS="$CORE_LIBS $OPENSSL/lib/libssl.a"
CORE_LIBS="$CORE_LIBS $OPENSSL/lib/libcrypto.a"

保存文件后，需先执行 make clean 清除编译配置，再重新进入 nginx-1.23.1文件夹执行

./configure --prefix=/opt/nginx --with-http_stub_status_module --with-stream --with-http_ssl_module --with-http_gzip_static_module --with-stream_ssl_module --with-openssl="/usr/local/gmssl" --with-cc-opt="-I/usr/local/gmssl/include" --with-ld-opt="-lm"

#编译安装 Nginx
make && make install 

编译成功后进入对应nginx目录

cd /opt/nginx/conf

mkdir sm2 

cd sm2

sh createGmKey.sh
# 1.以下命令在哪个目录执行的就会生成到哪个目录
# 2.openssl.cnf需要放在执行命令的目录下，主要修改了key usage，以便分别生成签名证书和加密证书,文件和脚本在最后
# 3.这里-extfile openssl.cnf -extensions v3_ca既是为了区分前面和加密证书也是为了生成v3版本的证书，如果不加生成的是V1版本的

验证

pwd 

#查看当前目录路径，确保目录在/opt/nginx/conf/sm2下

/usr/local/gmssl/bin/gmssl s_server -port 4430 -key ./server.key -cert ./server.crt  -dkey ./server_en.key -dcert ./server_en.crt -CAfile ./root.crt
#执行gmssl验证证书 端口4430或者443都可

配置nginx配置文件

# vi /opt/nginx/conf/nginx.conf