Jak zabezpečit svůj web se systémem Nginx pomocí SSL a zabezpečených šifer

Úvod

SSL (zkratka pro Secure Sockets Layer ) a jeho nástupce TLS (zkratka pro Transport Layer Security ) jsou kryptografické protokoly pro zabezpečenou komunikaci přes internet. Lze jej použít k vytvoření zabezpečeného připojení k webové stránce.

Intro

Ujistěte se, že jsou na vašem serveru nainstalovány Nginx a OpenSSL. V tomto článku předvedeme proces vygenerováním certifikátu SSL s vlastním podpisem.

Krok 1: Vytvořte adresář pro certifikát a soukromý klíč

Vytvoříme adresář (a zadáme jej) v /etc/nginx (za předpokladu, že tento adresář je konfiguračním adresářem Nginxu), pomocí:

sudo mkdir /etc/nginx/ssl
cd /etc/nginx/ssl # we'll perform our next few steps in this dir

Krok 2: Vytvořte soukromý klíč a CSR

Začněme vytvořením soukromého klíče webu. V tomto příkladu použijeme 4096bitový klíč pro vyšší zabezpečení. Pamatujte, že 2048-bit je také bezpečný, ale NEPOUŽÍVEJTE 1024-BITOVÝ SOUKROMÝ KLÍČ!

sudo openssl genrsa -out example.com.key 4096

Nyní vytvořte žádost o podpis certifikátu (CSR) pro podepsání certifikátu. Použijeme 512bitový SHA-2. Všimněte si -sha512možnosti.

sudo openssl req -new -key example.com.key -out example.com.csr -sha512

Zobrazí se seznam polí, která je třeba vyplnit. Ujistěte se, že Common Nameje nastaveno jméno vaší domény! Také nechte A challenge passworda An optional company nameprázdné.

You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:US
State or Province Name (full name) [Some-State]:CA
Locality Name (eg, city) []:LosAngeles
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Example Inc
Organizational Unit Name (eg, section) []:Security
Common Name (e.g. server FQDN or YOUR name) []:*.example.com
Email Address []:webmaster@example.com

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

Krok 3: Podepište svůj certifikát

Skoro hotovo! Teď to musíme jen podepsat. Nezapomeňte nahradit 365 (vyprší po 365 dnech) na počet dní, který byste preferovali.

sudo openssl x509 -req -days 365 -in example.com.csr -signkey example.com.key -out example.com.crt -sha512

Nyní jsme dokončili vytvoření certifikátu s vlastním podpisem.

Krok 4: Nastavte

Otevřete ukázkový konfigurační soubor SSL Nginx:

sudo nano /etc/nginx/conf.d/example_ssl.conf

Odkomentujte v sekci pod řádkem HTTPS Server . Přizpůsobte svou konfiguraci níže uvedeným informacím a nahraďte znak example.comv server_nameřádku názvem vaší domény nebo IP adresou. Nastavte také svůj kořenový adresář.

# HTTPS server

server {
    listen       443 ssl;
    server_name example.com;

    ssl_certificate /etc/nginx/ssl/example.com.crt;
    ssl_certificate_key /etc/nginx/ssl/example.com.key;
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
    ssl_prefer_server_ciphers on;
    ssl_ecdh_curve secp384r1;
    ssl_ciphers ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384:DHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA256:ECDHE-RSA-AES256-SHA:!aNULL:!eNULL:!EXPORT:!DES:!3DES:!MD5:!PSK:!RC4; # no RC4 and known insecure cipher
location / {
  root   /usr/share/nginx/html;
  index  index.html index.htm;
 }
}

Poté restartujte Nginx.

service nginx restart

Nyní navštivte svůj web s httpsadresou ( https://your.address.tld). Váš webový prohlížeč zobrazí zabezpečené připojení pomocí certifikátu s vlastním podpisem.