Ako zabezpečiť svoju webovú stránku poháňanú Nginx pomocou SSL a zabezpečených šifier

Úvod

SSL (skratka pre Secure Sockets Layer ) a jeho nástupca TLS (skratka pre Transport Layer Security ) sú kryptografické protokoly na zabezpečenú komunikáciu cez internet. Môže sa použiť na vytvorenie zabezpečeného pripojenia k webovej lokalite.

Úvod

Uistite sa, že na vašom serveri sú nainštalované Nginx a OpenSSL. V tomto článku predvedieme proces vygenerovaním certifikátu SSL s vlastným podpisom.

Krok 1: Vytvorte adresár pre certifikát a súkromný kľúč

Vytvoríme adresár (a zadáme ho) v /etc/nginx (za predpokladu, že tento adresár je konfiguračným adresárom Nginxu):

sudo mkdir /etc/nginx/ssl
cd /etc/nginx/ssl # we'll perform our next few steps in this dir

Krok 2: Vytvorte súkromný kľúč a CSR

Začnime vytvorením súkromného kľúča stránky. V tomto príklade použijeme 4096-bitový kľúč na zvýšenie bezpečnosti. Upozorňujeme, že 2048-bit je tiež bezpečný, ale NEPOUŽÍVAJTE 1024-BITOVÝ SÚKROMNÝ KĽÚČ!

sudo openssl genrsa -out example.com.key 4096

Teraz vytvorte žiadosť o podpis certifikátu (CSR) na podpísanie certifikátu. Použijeme 512-bitový SHA-2. Všimnite si -sha512možnosť.

sudo openssl req -new -key example.com.key -out example.com.csr -sha512

Zobrazí sa zoznam polí, ktoré je potrebné vyplniť. Uistite sa, že Common Nameje nastavený názov vašej domény! Tiež nechajte A challenge passworda An optional company nameprázdne.

You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:US
State or Province Name (full name) [Some-State]:CA
Locality Name (eg, city) []:LosAngeles
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Example Inc
Organizational Unit Name (eg, section) []:Security
Common Name (e.g. server FQDN or YOUR name) []:*.example.com
Email Address []:webmaster@example.com

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

Krok 3: Podpíšte svoj certifikát

Skoro hotové! Teraz to musíme len podpísať. Nezabudnite nahradiť 365 (platnosť po 365 dňoch) na počet dní, ktorý by ste uprednostnili.

sudo openssl x509 -req -days 365 -in example.com.csr -signkey example.com.key -out example.com.crt -sha512

Teraz sme dokončili vytvorenie certifikátu s vlastným podpisom.

Krok 4: Nastavte

Otvorte vzorový konfiguračný súbor SSL Nginx:

sudo nano /etc/nginx/conf.d/example_ssl.conf

Odkomentujte v sekcii pod riadkom HTTPS Server . Priraďte svoju konfiguráciu k informáciám uvedeným nižšie a nahraďte znak example.comv server_nameriadku názvom svojej domény alebo IP adresou. Nastavte si aj koreňový adresár.

# HTTPS server

server {
    listen       443 ssl;
    server_name example.com;

    ssl_certificate /etc/nginx/ssl/example.com.crt;
    ssl_certificate_key /etc/nginx/ssl/example.com.key;
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
    ssl_prefer_server_ciphers on;
    ssl_ecdh_curve secp384r1;
    ssl_ciphers ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384:DHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA256:ECDHE-RSA-AES256-SHA:!aNULL:!eNULL:!EXPORT:!DES:!3DES:!MD5:!PSK:!RC4; # no RC4 and known insecure cipher
location / {
  root   /usr/share/nginx/html;
  index  index.html index.htm;
 }
}

Potom reštartujte Nginx.

service nginx restart

Teraz navštívte svoj web s httpsadresou ( https://your.address.tld). Váš webový prehliadač zobrazí zabezpečené pripojenie pomocou certifikátu s vlastným podpisom.