Kako zaščititi svoje spletno mesto, ki ga poganja Nginx, z uporabo SSL in varnih šifr

Uvod

SSL (okrajšava za Secure Sockets Layer ) in njegov naslednik TLS (okrajšava za Transport Layer Security ) sta kriptografska protokola za varno komunikacijo prek interneta. Uporablja se lahko za ustvarjanje varne povezave s spletnim mestom.

Uvod

Prepričajte se, da sta Nginx in OpenSSL nameščena na vašem strežniku. V tem članku bomo prikazali postopek z generiranjem samopodpisanega potrdila SSL.

1. korak: Ustvarite imenik za potrdilo in zasebni ključ

Ustvarili bomo imenik (in ga vnesli) znotraj /etc/nginx (ob predpostavki, da je ta imenik konfiguracijski imenik Nginx), tako da:

sudo mkdir /etc/nginx/ssl
cd /etc/nginx/ssl # we'll perform our next few steps in this dir

2. korak: Ustvarite zasebni ključ in CSR

Začnimo z ustvarjanjem zasebnega ključa spletnega mesta. V tem primeru bomo za večjo varnost uporabili 4096-bitni ključ. Upoštevajte, da je tudi 2048-bitni varen, vendar NE UPORABLJAJTE 1024-BITNEGA ZASEBNEGA KLJUČA!

sudo openssl genrsa -out example.com.key 4096

Zdaj ustvarite zahtevo za podpisovanje potrdil (CSR) za podpis potrdila. Uporabili bomo 512-bitni SHA-2. Upoštevajte -sha512možnost.

sudo openssl req -new -key example.com.key -out example.com.csr -sha512

Pozval bo seznam polj, ki jih je treba izpolniti. Prepričajte Common Namese, da je nastavljeno na ime vaše domene! Prav tako pusti A challenge passwordin An optional company nameprazno.

You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:US
State or Province Name (full name) [Some-State]:CA
Locality Name (eg, city) []:LosAngeles
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Example Inc
Organizational Unit Name (eg, section) []:Security
Common Name (e.g. server FQDN or YOUR name) []:*.example.com
Email Address []:webmaster@example.com

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

3. korak: Podpišite potrdilo

Skoraj končano! Zdaj ga moramo samo še podpisati. Ne pozabite zamenjati 365 (poteka po 365 dneh) na število dni, ki bi jih želeli.

sudo openssl x509 -req -days 365 -in example.com.csr -signkey example.com.key -out example.com.crt -sha512

Zdaj smo končali z izdelavo samopodpisanega potrdila.

4. korak: Nastavite

Odprite Nginxovo vzorčno konfiguracijsko datoteko SSL:

sudo nano /etc/nginx/conf.d/example_ssl.conf

Odpravite komentar v razdelku pod vrstico Strežnik HTTPS . Ujemajo z vašo konfiguracija z informacijami spodaj, zamenjavo example.comv server_nameskladu s svojim imenom domene ali IP naslova. Nastavite tudi svoj korenski imenik.

# HTTPS server

server {
    listen       443 ssl;
    server_name example.com;

    ssl_certificate /etc/nginx/ssl/example.com.crt;
    ssl_certificate_key /etc/nginx/ssl/example.com.key;
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
    ssl_prefer_server_ciphers on;
    ssl_ecdh_curve secp384r1;
    ssl_ciphers ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384:DHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA256:ECDHE-RSA-AES256-SHA:!aNULL:!eNULL:!EXPORT:!DES:!3DES:!MD5:!PSK:!RC4; # no RC4 and known insecure cipher
location / {
  root   /usr/share/nginx/html;
  index  index.html index.htm;
 }
}

Nato znova zaženite Nginx.

service nginx restart

Zdaj obiščite svoje spletno mesto z httpsnaslovom ( https://your.address.tld). Vaš spletni brskalnik bo prikazal varno povezavo z uporabo vašega samopodpisanega potrdila.