Kā nodrošināt vietni ar Nginx, izmantojot SSL un drošos šifrus

Ievads

SSL (apzīmē Secure Sockets Layer ) un tā pēctecis TLS ( Transport Layer Security ) ir kriptogrāfijas protokoli drošai saziņai internetā. To var izmantot, lai izveidotu drošu savienojumu ar vietni.

Ievads

Pārliecinieties, vai jūsu serverī ir instalēti Nginx un OpenSSL. Šajā rakstā mēs parādīsim procesu, ģenerējot pašparakstītu SSL sertifikātu.

1. darbība. Izveidojiet direktoriju sertifikātam un privātajai atslēgai

Mēs izveidosim direktoriju (un ievadīsim to) mapē /etc/nginx (pieņemot, ka direktorijs ir Nginx konfigurācijas direktorijs), veicot:

sudo mkdir /etc/nginx/ssl
cd /etc/nginx/ssl # we'll perform our next few steps in this dir

2. darbība. Izveidojiet privāto atslēgu un CSR

Sāksim ar vietnes privātās atslēgas izveidi. Šajā piemērā mēs izmantosim 4096 bitu atslēgu, lai nodrošinātu lielāku drošību. Ņemiet vērā, ka arī 2048 bitu sistēma ir droša, taču NELIETOJIET 1024 BIT PRIVĀTO ATSLĒGU!

sudo openssl genrsa -out example.com.key 4096

Tagad izveidojiet sertifikāta parakstīšanas pieprasījumu (CSR) sertifikāta parakstīšanai. Mēs izmantosim 512 bitu SHA-2. Ievērojiet -sha512opciju.

sudo openssl req -new -key example.com.key -out example.com.csr -sha512

Tas parādīs aizpildāmo lauku sarakstus. Pārliecinieties, vai Common Nameir iestatīts jūsu domēna nosaukums! Arī atstājiet A challenge passwordun An optional company nametukšu.

You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:US
State or Province Name (full name) [Some-State]:CA
Locality Name (eg, city) []:LosAngeles
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Example Inc
Organizational Unit Name (eg, section) []:Security
Common Name (e.g. server FQDN or YOUR name) []:*.example.com
Email Address []:webmaster@example.com

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

3. darbība: parakstiet sertifikātu

Gandrīz pabeigts! Tagad mums tas tikai jāparaksta. Neaizmirstiet nomainīt 365 (derīguma termiņš beidzas pēc 365 dienām) ar vēlamo dienu skaitu.

sudo openssl x509 -req -days 365 -in example.com.csr -signkey example.com.key -out example.com.crt -sha512

Tagad mēs esam pabeiguši pašparakstīta sertifikāta izveidi.

4. darbība: iestatiet

Atveriet Nginx parauga SSL konfigurācijas failu:

sudo nano /etc/nginx/conf.d/example_ssl.conf

Atceliet komentāru sadaļā zem rindas HTTPS serveris . Match savu config tālāk informāciju, kas aizstāj example.comšajā server_namelīnijā ar jūsu domēna nosaukumu vai IP adresi. Iestatiet arī saknes direktoriju.

# HTTPS server

server {
    listen       443 ssl;
    server_name example.com;

    ssl_certificate /etc/nginx/ssl/example.com.crt;
    ssl_certificate_key /etc/nginx/ssl/example.com.key;
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
    ssl_prefer_server_ciphers on;
    ssl_ecdh_curve secp384r1;
    ssl_ciphers ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384:DHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA256:ECDHE-RSA-AES256-SHA:!aNULL:!eNULL:!EXPORT:!DES:!3DES:!MD5:!PSK:!RC4; # no RC4 and known insecure cipher
location / {
  root   /usr/share/nginx/html;
  index  index.html index.htm;
 }
}

Pēc tam restartējiet Nginx.

service nginx restart

Tagad apmeklējiet savu vietni ar httpsadresi ( https://your.address.tld). Jūsu tīmekļa pārlūkprogramma rādīs drošu savienojumu, izmantojot jūsu pašparakstīto sertifikātu.