Kuidas kaitsta oma Nginxi toega veebisaiti SSL-i ja turvaliste šifrite abil

Sissejuhatus

SSL (tähendab sõnast Secure Sockets Layer ) ja selle järglane TLS (tähendab sõnast Transport Layer Security ) on krüptoprotokollid turvaliseks Interneti-suhtluseks. Seda saab kasutada veebisaidiga turvalise ühenduse loomiseks.

Sissejuhatus

Veenduge, et Nginx ja OpenSSL on teie serverisse installitud. Selles artiklis demonstreerime protsessi iseallkirjastatud SSL-sertifikaadi loomisega.

1. samm: looge sertifikaadi ja privaatvõtme jaoks kataloog

Loome kataloogi (ja sisestame selle) kausta /etc/nginx (eeldusel, et kataloog on Nginxi konfiguratsioonikataloog):

sudo mkdir /etc/nginx/ssl
cd /etc/nginx/ssl # we'll perform our next few steps in this dir

2. samm: looge privaatvõti ja CSR

Alustame saidi privaatvõtme loomisega. Selles näites kasutame tugevama turvalisuse tagamiseks 4096-bitist võtit. Pange tähele, et 2048-bitine on samuti turvaline, kuid ÄRGE KASUTAGE 1024- bitist ERAVÕTTI!

sudo openssl genrsa -out example.com.key 4096

Nüüd looge sertifikaadi allkirjastamiseks sertifikaadi allkirjastamise taotlus (CSR). Kasutame 512-bitist SHA-2. Märkige -sha512valik.

sudo openssl req -new -key example.com.key -out example.com.csr -sha512

See kuvab väljade loendi, mis tuleb täita. Veenduge, Common Nameet teie domeeninimi oleks määratud! Samuti jätnud A challenge passwordja An optional company nametühi.

You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:US
State or Province Name (full name) [Some-State]:CA
Locality Name (eg, city) []:LosAngeles
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Example Inc
Organizational Unit Name (eg, section) []:Security
Common Name (e.g. server FQDN or YOUR name) []:*.example.com
Email Address []:webmaster@example.com

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

3. samm: allkirjastage oma sertifikaat

Peaaegu valmis! Nüüd peame sellele lihtsalt alla kirjutama. Ärge unustage asendada 365 (aegub 365 päeva pärast) soovitud arvu päevadega.

sudo openssl x509 -req -days 365 -in example.com.csr -signkey example.com.key -out example.com.crt -sha512

Nüüd oleme ise allkirjastatud sertifikaadi tegemise lõpetanud.

4. samm: seadistage

Avage Nginxi SSL-i konfiguratsioonifaili näide:

sudo nano /etc/nginx/conf.d/example_ssl.conf

Tühista kommentaar jaotises rea HTTPS-server all . Kes vastavad teie config allolevat teavet, asendades example.comselles server_namekooskõlas oma domeeni nimi või IP-aadress. Määrake ka juurkataloog.

# HTTPS server

server {
    listen       443 ssl;
    server_name example.com;

    ssl_certificate /etc/nginx/ssl/example.com.crt;
    ssl_certificate_key /etc/nginx/ssl/example.com.key;
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
    ssl_prefer_server_ciphers on;
    ssl_ecdh_curve secp384r1;
    ssl_ciphers ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384:DHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA256:ECDHE-RSA-AES256-SHA:!aNULL:!eNULL:!EXPORT:!DES:!3DES:!MD5:!PSK:!RC4; # no RC4 and known insecure cipher
location / {
  root   /usr/share/nginx/html;
  index  index.html index.htm;
 }
}

Seejärel taaskäivitage Nginx.

service nginx restart

Nüüd külastage oma veebisaiti httpsaadressiga ( https://your.address.tld). Teie veebibrauser näitab turvalist ühendust, kasutades teie iseallkirjastatud sertifikaati.