使用OpenSSL自建CA + Nginx配置HTTPS

Ubuntu 16.04（ECS），OpenSSL 1.0.2g  1 Mar 2016，Nginx 1.10.3 (Ubuntu)，

浏览器：Chrome 67，Firefox 61，Edge 40，IE 11

序言

孤之前从来没有建立过HTTPS网站，感觉很高级、很难，虽然也读过不少博文、资料，十年前在大学时，也使用过OpenSSL操作过建立证书，但后来都忘记了。

前同事说建立HTTPS网站很容易的，当时自己是不信的，并发生了一些争论，在此表示歉意。

由于自己搭建了网站，提供了注册、登录功能，因此，有安全方面的考虑。前两日研究了前端加密、Base64编码等方案（crypto-js），但都无法很好地保证用户数据安全。

最付出不少精时后，最终决定将网站升级为HTTPS网站，本文记录了试验过程中的关键步骤——两步：

1.自建CA并签名Server证书

2.配置Nginx服务器

自建CA并并签名Server证书

本步骤完全参考了自建CA并签名server证书实现https by Andy____Li，只是对一些文件名、配置参数进行了修改。

注意：在执行此步骤之前，请确保Linux操作系统上安装了OpenSSL。

可以分为下面的小步骤（拷贝了参考链接中的命令）：

1.自建CA

生成CA私匙
openssl genrsa -out icatchtek.key 2048

执行结果：提示创建成功，可又提示unable to什么的，为什么？还需要dig，

Generating RSA private key, 2048 bit long modulus
................+++
...........................................................................................+++
unable to write ‘random state‘
e is 65537 (0x10001)

生成CA证书请求
openssl req -new -key icatchtek.key -out icatchtek.csr
PS:证书请求是对签名的请求，需要使用私钥进行签名

此命令输入后，需要填写信息。

生成CA根证书
openssl x509 -req -in icatchtek.csr -extensions v3_ca -signkey icatchtek.key -out icatchtek.crt
PS:证书是自签名或CA签名过的凭据，用来进行身份认证

执行结果：

Signature ok
subject=/C=CN/ST=Guangdong/L=Shenzhen/OU=.../CN=.../emailAddress=[email protected]
Getting Private key
unable to write ‘random state‘

2.自建server端证书

生成server私匙
openssl genrsa -out smarthome_server.key 2048

结果同上。

生成server证书请求
openssl req -new -key smarthome_server.key -out smarthome_server.csr

结果同上，需输入参数。

生成server证书：下面命令的紫色部分就是上面建立的一系列文件，不用弄错了。
生成server证书，需要一份配置文件，可参阅：vi openssl.cnf
openssl x509 -days 365 -req -in smarthome_server.csr -extensions v3_req -CAkey icatchtek.key -CA icatchtek.crt -CAcreateserial -out smarthome_server.crt -extfile openssl.cnf

关于生产Server证书这一步，孤是直接拷贝了参考链接中的内容，并进行了修改。关于此文件怎么写，孤是不太熟悉的，还需要看更多资料，比如参考链接中的OpenSSL主配置文件openssl.cnf。

下面是自己的open.cnf（私密信息没有）（在参考链接中，[req]下面的几个section是有缩进的，不知道为什么）：

[req]
distinguished_name = req_distinguished_name
req_extensions = v3_req

[req_distinguished_name]
countryName = Country Name (2 letter code)
countryName_default = CN
stateOrProvinceName = Guangdong
stateOrProvinceName_default = Guangdong
localityName = Shenzhen
localityName_default = Shenzhen
organizationalUnitName  = ...
organizationalUnitName_default  = ...
commonName = ...
commonName_max  = 64

[ v3_req ]
# Extensions to add to a certificate request
basicConstraints = CA:FALSE
keyUsage = nonRepudiation, digitalSignature, keyEncipherment
subjectAltName = @alt_names

[alt_names]
IP.1 = xxx.xxx.xxx.xxx
DNS.1 = www.example.com

说明，上面的每一步都会在 执行命令的 当前目录下 建立相应的文件！下面是孤试验过程中建立的：

$ ls
ben_server.crt ben_server.key icatchtek.csr icatchtek.srl
ben_server.csr icatchtek.crt icatchtek.key openssl.cnf

配置Nginx服务器

按照参考链接的说法，是在server 块内 listen 端口后添加下面的语句：

ssl on;
ssl_certificate /home/ubuntu/webvideo/nginx/conf/smarthome_server.crt;
ssl_certificate_key /home/ubuntu/webvideo/nginx/conf/smarthome_server.key;

注意，*.crt、*.key文件的路径需要更改，孤是将它们放在/etc/nginx/conf.d/ca里面的。

作为Nginx新手，孤的Nginx配置文件中只有一个Server的，端口是80。可HTTPS网站的默认端口不是443吗？

修改前的Nginx配置文件：

server {
	listen 80 default_server;
	listen [::]:80 default_server;

	# SSL configuration
	#
	# listen 443 ssl default_server;
	# listen [::]:443 ssl default_server;
	#
	# Note: You should disable gzip for SSL traffic.
	# See: https://bugs.debian.org/773332
	#
	# Read up on ssl_ciphers to ensure a secure configuration.
	# See: https://bugs.debian.org/765782
	#
	# Self signed certs generated by the ssl-cert package
	# Don‘t use them in a production server!
	#
	# include snippets/snakeoil.conf;

修改后的配置文件：

server {
	listen 80 default_server;
	listen [::]:80 default_server;

	# SSL configuration
	#
	listen 443 ssl default_server;
	listen [::]:443 ssl default_server;

	ssl on；
	ssl_certificate      /etc/nginx/conf.d/ca/smarthome_server.crt;
	ssl_certificate_key  /etc/nginx/conf.d/ca/smarthome_server.key;

	#
	# Note: You should disable gzip for SSL traffic.
	# See: https://bugs.debian.org/773332

分别访问http、https对应的网页，http的访问失败了、但https访问成功：原因是，只有一个服务器，可自己监听了两个端口，还需要结合nginx的rewrite技术，将http请求转到对应的https请求。

最后，建立了两个Server：一个sever监听80端口、一个监听443端口，前者http链接被rewrite到后者的链接，配置文件如下：

80端口后面没有default_server了——不知道自己为何如此配置；在只有一个server时，其server_name为_，现在有两个了，怎么配置呢？能否相同？

server {
        listen 80;
        listen [::]:80;

        rewrite ^(.*)$ https://$host$1 permanent;
}

server {
        # SSL configuration
        #
        listen 443 ssl default_server;
        listen [::]:443 ssl default_server;

        ssl on;
        ssl_certificate /etc/nginx/conf.d/ca/ben_server.crt;
        ssl_certificate_key /etc/nginx/conf.d/ca/ben_server.key;

上面的配置完毕后，就可以通过http、https访问网站了，不过，http的是转向了https，所以，页面最后看到的是https。

但是，因为浏览器有证书安全校验的机制，因此，不是所有浏览器都可以成功打开页面，测试结果是，只有Firefox在设置后可以打开页面，其它几种浏览器都失败了。

-Chrome浏览器

-Firefox浏览器：最终访问成功。

IE浏览器：

网页不能访问，原因是浏览器认为 颁发证书的CA 不安全。参考链接说把自己的CA根证书加入到浏览器。

在尝试过后，发现问题并没有解决——Chrome、IE都试了试，不行啊！怀疑和自己建立证书的过程有关系，也可能和最新版本的浏览器的安全机制升级有关系，更可能的是前者。

而且，如上面所讲，自己在建立key是出现了unable to write ‘random state‘错误！后面可以解决此问题后再做尝试，继续dig。

怎么导入呢？Chrome的设置-搜索“证书”，IE、Edge的Internet选项：其实两者配置的是一个东西，其属于操作系统。

后记

总算知道怎么让自己的网站变为HTTPS的了，自建的证书既然无法正常使用，那么，去申请证书吧——知道一个免费申请的机构，当然，付费的就很多了。

Nginx配置不熟悉；

虽然本文用OpenSSL做了一些操作，可是，为何这么做呢？官方文档在哪里呢？配置文件怎么写呢？现在只能踩着先行者的脚步往前走，感谢！

路漫漫啊，

参考链接

自建CA并签名server证书实现https by Andy____Li

https SSL 自建证书的制作 by Erice_e

OpenSSL主配置文件openssl.cnf by 园友 我为什么坚持写博客

nginx 将http请求转发到https请求

原文地址：https://www.cnblogs.com/luo630/p/9534734.html

时间： 2024-10-25 18:27:09

使用OpenSSL自建CA + Nginx配置HTTPS的相关文章

nginx 配置https并自签名证书

2016-10-28 转载请注明出处:http://daodaoliang.com/ 作者: daodaoliang 版本: V1.0.1 邮箱: [email protected] 参考链接: 这里 和 这里 和 官方文档 1. 制作服务器证书 服务器CA私钥: openssl genrsa -des3 -out ca.key 2048 制作解密后的CA私钥(一般无此必要): openssl rsa -in ca.key -out ca_decrypted.key ca.crt CA根证书(公

centos 6.5 httpd 自建CA 认证 实现 https 服务

httpd 自建CA 认证 实现 https 服务 需要的软件: httpd mod_ssl openssl [[email protected] CA]# httpd -v #httpd版本 Server version: Apache/2.2.15 (Unix) Server built:   Jul 23 2014 14:15:00 [[email protected] CA]# uname -r #内核版本 2.6.32-431.el6.i686 [[email protected] C

[Linux] centos 6.5 httpd 自建CA 认证 实现 https 服务

httpd 自建CA 认证 实现 https 服务 需要的软件: httpd mod_ssl openssl 本文将CA证书服务器和 httpd服务器放到一台物理机器上实现的, 可以作为学习的参考. 本文测试主机IP192.168.1.100/24 [[email protected] CA]# httpd -v #httpd版本 Server version: Apache/2.2.15 (Unix) Server built: Jul 23 2014 14:15:00 [[email pro

nginx配置https及Android客户端访问自签名证书

前一篇随笔通过keytool生成keystore并为tomcat配置https,这篇随笔记录如何给nginx配置https.如果nginx已配置https,则tomcat就不需要再配置https了.通过以下三步生成自签名证书# 生成一个key,你的私钥,openssl会提示你输入一个密码,可以输入,也可以不输,# 输入的话,以后每次使用这个key的时候都要输入密码,安全起见,还是应该有一个密码保护> openssl genrsa -des3 -out selfsign.key 4096 # 使用

【转】Linux下nginx配置https协议访问的方法

一.配置nginx支持https协议访问,需要在编译安装nginx的时候添加相应的模块--with-http_ssl_module 查看nginx编译参数:/usr/local/nginx/sbin/nginx -V 如下所示: configure arguments: --prefix=/usr/local/nginx --with-google_perftools_module --without-http_memcached_module --user=www --group=www --

自建CA证书搭建https服务器

1.理论知识 https简介 HTTPS(全称:Hyper Text Transfer Protocol over Secure Socket Layer),是以安全为目标的HTTP通道,简单讲是HTTP的安全版.即HTTP下加入SSL层,HTTPS的安全基础是SSL,因此加密的详细内容就需要SSL. 超文本传输协议HTTP协议被用于在Web浏览器和网站服务器之间传递信息.HTTP协议以明文方式发送内容,不提供任何方式的数据加密,如果攻击者截取了Web浏览器和网站服务器之间的传输报文,就可以直接

使用OpenSSL 自建CA 以及颁发证书

OpenSSL是套开放源代码的软件库包,实现了SSL与TLS协议.其主要库是以C语言所写成,实现了基本的加密功能. OpenSSL可以运行在绝大多数类Unix操作系统上(包括Solaris,Linux,Mac OS X与各种版本的开放源代码BSD操作系统),OpenVMS与 Microsoft Windows.它也提供了一个移植版本,可以在IBM i(OS/400)上运作. 此软件是以Eric Young以及Tim Hudson两人所写的SSLeay为基础所发展的,SSLeay随着两人前往RSA

加密、解密原理和openssl自建CA过程详解

一.加密和解密相关知识简介 1.信息安全标准 NIST(National Institute of Standards and Technology)美国国家标准与技术研究院,制定了网络信息安全与保密的三个要素: 保密性(confidentiality):信息不泄露给非授权用户.实体或过程,或供其利用的特性.(一般包括数据保密性.隐私性.) 完整性(Integrity):数据未经授权不能进行改变的特性.即信息在存储或传输过程中保持不被修改.不被破坏和丢失的特性.(一般包括数据完整性.系统完整性.

Window7 64位下Nginx配置https

一.安装Nginx 官方下载地址:http://nginx.org/en/download.html 直接下载1.7.1.zip的链接:http://nginx.org/download/nginx-1.7.1.zip 二.安装Openssl 官方下载的没弄明白怎么用,不过还是留下链接以备之后使用:http://www.openssl.org/source/ 感觉比较好用的:链接:http://pan.baidu.com/s/1kT9OcPT 密码:zg6p 三.生成密钥 安装完成Openssl