Nginx 配置 SSL 及 HTTPS 协议通信过程

一、前言

基础知识

1.1 公钥密码体制(public-key cryptography)

公钥密码体制分为三个部分,公钥、私钥、加密解密算法,它的加密解密过程如下:

加密:通过加密算法和公钥对内容(或者说明文)进行加密,得到密文。加密过程需要用到公钥。

解密:通过解密算法和私钥对密文进行解密,得到明文。解密过程需要用到解密算法和私钥。注意,由公钥加密的内容,只能由私钥进行解密,也就是说,由公钥加密的内容,如果不知道私钥,是无法解密的。

公钥密码体制的公钥和算法都是公开的(这是为什么叫公钥密码体制的原因),私钥是保密的。大家都以使用公钥进行加密,但是只有私钥的持有者才能解密。在实际的使用中,有需要的人会生成一对公钥和私钥,把公钥发布出去给别人使用,自己保留私钥。

1.2 对称加密算法(symmetric key algorithms)

在对称加密算法中,加密使用的密钥和解密使用的密钥是相同的。也就是说,加密和解密都是使用的同一个密钥。因此对称加密算法要保证安全性的话,密钥要做好保密,只能让使用的人知道,不能对外公开。这个和上面的公钥密码体制有所不同,公钥密码体制中加密是用公钥,解密使用私钥,而对称加密算法中,加密和解密都是使用同一个密钥,不区分公钥和私钥。密钥,一般就是一个字符串或数字,在加密或者解密时传递给加密/解密算法。前面在公钥密码体制中说到的公钥、私钥就是密钥,公钥是加密使用的密钥,私钥是解密使用的密钥。

1.3 非对称加密算法(asymmetric key algorithms)

在非对称加密算法中,加密使用的密钥和解密使用的密钥是不相同的。前面所说的公钥密码体制就是一种非对称加密算法,他的公钥和是私钥是不能相同的,也就是说加密使用的密钥和解密使用的密钥不同,因此它是一个非对称加密算法。

1.4 RSA简介

RSA 是一种公钥密码体制,现在使用得很广泛。如果对 RSA 本身有兴趣的,可以查询 RSA 相关的具体介绍。

RSA 密码体制是一种公钥密码体制,公钥公开,私钥保密,它的加密解密算法是公开的。由公钥加密的内容可以并且只能由私钥进行解密,并且由私钥加密的内容可以并且只能由公钥进行解密。也就是说,RSA 的这一对公钥、私钥都可以用来加密和解密,并且一方加密的内容可以由并且只能由对方进行解密。

1.5 签名和加密

我们说加密,是指对某个内容加密,加密后的内容还可以通过解密进行还原。 比如我们把一封邮件进行加密,加密后的内容在网络上进行传输,接收者在收到后,通过解密可以还原邮件的真实内容。

这里主要解释一下签名,签名就是在信息的后面再加上一段内容,可以证明信息没有被修改过,怎么样可以达到这个效果呢?一般是对信息做一个 hash 计算得到一个hash值,注意,这个过程是不可逆的,也就是说无法通过 hash 值得出原来的信息内容。在把信息发送出去时,把这个 hash 值加密后做为一个签名和信息一起发出去。 接收方在收到信息后,会重新计算信息的 hash 值,并和信息所附带的hash值(解密后)进行对比,如果一致,就说明信息的内容没有被修改过,因为这里 hash 计算可以保证不同的内容一定会得到不同的 hash 值,所以只要内容一被修改,根据信息内容计算的 hash 值就会变化。当然,不怀好意的人也可以修改信息内容的同时也修改hash值,从而让它们可以相匹配,为了防止这种情况,hash 值一般都会加密后(也就是签名)再和信息一起发送,以保证这个 hash 值不被修改。

HTTPS 的通信过程

HTTPS 是 HTTP 的安全版本,它可以通过 SSL / TLS 连接保护在线传输的任何通信。简而言之,HTTPS=HTTP+SSL。如果想要建立 HTTPS 连接,则首先必须从受信任的证书颁发机构(CA)Gworg 机构注册 SSL证书。安装 SSL 证书后,网站地址栏 HTTP 后面就会多一个 "S",还有绿色安全锁标志。

SSL(Secure Sockets Layer,安全套接字层)协议,及其继任者 TLS(Transport Layer Security,传输层安全)协议,是为网络通信提供安全及数据完整性的一种安全协议。

1)浏览器发送一个 HTTPS 的请求给服务器;

2)服务器要有一套数字证书,可以自己制作,也可以向组织申请,区别就是自己颁发的证书需要客户端验证通过,才可以继续访问,而使用受信任的公司申请的证书则不会弹出提示页面,这套证书其实就是一对公钥和私钥;

3)服务器会把公钥传输给客户端;

4)客户端(浏览器)收到公钥后,会验证其是否合法有效,无效会有警告提醒,有效则会生成一串随机数,并用收到的公钥加密;

5)客户端把加密后的随机字符串传输给服务器;

6)服务器收到加密随机字符串后,先用私钥解密(公钥加密,私钥解密),获取到这一串随机数后,再用这串随机字符串加密传输的数据(该加密为对称加密,所谓对称加密,就是将数据和私钥也就是这个随机字符串通过某种算法混合在一起,这样除非知道私钥,否则无法获取数据内容);

7)服务器把加密后的数据传输给客户端;

8)客户端收到数据后,再用自己的私钥也就是那个随机字符串解密;

9)客户机和服务器都知道了对称密钥,并用它来加密会话期间的最终用户。(流程图如下所示)

https的理解并结合nginx实际部署1

2.1 client访问url,

一种是 https://www.domain.com/…访问直接走443端口到server;

另一种是http://www.domain.com/….访问走80端口到server被nginx的rewrite成https://www.domain.com/…重新走443到server;

server部署了nginx监听了80和443端口,80的全部重新转换到443,这一步多了个重定向;

二、自己生成 SSL 证书

如果准备给 Nginx 安装 SSL 证书,默认情况下,SSL 模块是不被编译的,需要在编译 Nginx 时使用 –with-http_ssl_module 参数,而该编译模块需要 OpenSSL 库文件,一般需要安装 openssl 与 openssl-devel 软件。

# cd /usr/local/src/nginx-1.12.2

# ./configure –prefix=/usr/local/nginx –with-http_ssl_module

# make

# make install

2.1 生成带密码私钥 key

进入到 nginx.conf 所在的目录,源码安装后,该文件目录为 /usr/local/nginx/conf,如果是 yum安装,该文件目录为 /etc/nginx,进入目录后,创建 ssl_cert 目录,在该目录中生成相应的密钥,如下:

复制代码

[root@masternode /]# cd /etc/nginx [root@masternode nginx]# mkdir ssl_cert [root@masternode nginx]# cd ssl_cert [root@masternode ssl_cert]# pwd /etc/nginx/ssl_cert [root@masternode ssl_cert]# openssl genrsa -des3 -out tmp.key 2048 Generating RSA private key, 2048 bit long modulus ..............+++ ............................................................+++ e is 65537 (0x10001) Enter pass phrase for tmp.key: Verifying - Enter pass phrase for tmp.key: [root@masternode ssl_cert]# ls -l total 4 -rw-r--r-- 1 root root 1751 Sep 21 23:45 tmp.key

复制代码

生成私钥文件时需要输入密码,每次用浏览器访问 HTTPS 都需要输入密钥是不现实的,需要转换私钥,取消密码,如下步骤。

2.2 转换成无密码私钥 key

复制代码

[root@masternode ssl_cert]# openssl rsa -in tmp.key -out moonxy.key Enter pass phrase for tmp.key: writing RSA key [root@masternode ssl_cert]# ls -l total 8 -rw-r--r-- 1 root root 1679 Sep 21 23:46 moonxy.key -rw-r--r-- 1 root root 1751 Sep 21 23:45 tmp.key [root@masternode ssl_cert]# rm -f tmp.key [root@masternode ssl_cert]# ls -l total 4 -rw-r--r-- 1 root root 1679 Sep 21 23:46 moonxy.key

复制代码

将带密码的 tmp.key 删除,只保留无密码的 moonxy.key 私钥。

2.3 生成证书请求文件

复制代码

[root@masternode ssl_cert]# openssl req -new -key moonxy.key -out moonxy.csr You are about to be asked to enter information that will be incorporated into your certificate request. What you are about to enter is what is called a Distinguished Name or a DN. There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter '.', the field will be left blank. ----- Country Name (2 letter code) [XX]:CN State or Province Name (full name) []:HongKong Locality Name (eg, city) [Default City]:HongKong Organization Name (eg, company) [Default Company Ltd]:moonxy Organizational Unit Name (eg, section) []:Linux Common Name (eg, your name or your server's hostname) []:masternode Email Address []:moonxy@qq.com Please enter the following 'extra' attributes to be sent with your certificate request A challenge password []:20190922 An optional company name []:amxx [root@masternode ssl_cert]# ls -l total 8 -rw-r--r-- 1 root root 1119 Sep 22 15:55 moonxy.csr -rw-r--r-- 1 root root 1679 Sep 21 23:46 moonxy.key

复制代码

生成证书请求文件 moonxy.csr 后,我们将拿它和私钥 moonxy.key 文件一起生成最终的证书文件,也就是公钥。

2.4 生成公钥证书文件

复制代码

[root@masternode ssl_cert]# openssl x509 -req -days 365 -in moonxy.csr -signkey moonxy.key -out moonxy.crt Signature ok subject=/C=CN/ST=HongKong/L=HongKong/O=moonxy/OU=Linux/CN=masternode/emailAddress=moonxy@qq.com Getting Private key [root@masternode ssl_cert]# ls -l total 12 -rw-r--r-- 1 root root 1298 Sep 22 16:02 moonxy.crt -rw-r--r-- 1 root root 1119 Sep 22 15:55 moonxy.csr -rw-r--r-- 1 root root 1679 Sep 21 23:46 moonxy.key

复制代码

这样最终生成了 CRT 证书文件 moonxy.crt,也就是上面提到的公钥。

三、Nginx 配置 SSL

在 /etc/nginx/vhost(如果是编译安装,通常为 /usr/local/nginx/conf/vhost)目录下创建新的配置文件 ssl.conf,并添加如下内容:

复制代码

[root@masternode vhost]# vim /etc/nginx/vhost/ssl.conf server { listen 443; server_name moonxy.com; index index.html index.php; root /data/www/nginx/moonxy; ssl on; ssl_certificate ssl_cert/moonxy.crt; ssl_certificate_key ssl_cert/moonxy.key; ssl_protocols TLSv1 TLSv1.1 TLSv1.2; }

复制代码

然后检查配置文件语法,创建 index.html 并启动 nginx 服务,如下:

复制代码

[root@masternode vhost]# nginx -t nginx: the configuration file /etc/nginx/nginx.conf syntax is ok nginx: configuration file /etc/nginx/nginx.conf test is successful [root@masternode vhost]# mkdir -p /data/www/nginx/moonxy [root@masternode vhost]# vim /data/www/nginx/moonxy/index.html This is SSL test for moonxy.com [root@masternode vhost]# systemctl start nginx [root@masternode vhost]# ps aux |grep nginx root 8810 0.0 0.2 125008 2144 ? Ss 16:31 0:00 nginx: master process /usr/sbin/nginx nginx 8811 0.0 0.3 125404 3192 ? S 16:31 0:00 nginx: worker process root 8813 0.0 0.0 112708 976 pts/0 R+ 16:31 0:00 grep --color=auto nginx

复制代码

然后在本地 hosts 文件中配置域名映射:

C:\Windows\System32\drivers\etc 192.168.150.140 www.moonxy.com moonxy.com

使用 Chrome 浏览器访问 https://moonxy.com。

四、通过阿里云申请证书

可以通过阿里云申请免费的赛门铁克(Sysmantec)SSL 证书,注意右侧显示的购置费用为 0.00,如下

原文链接:https://blog.csdn.net/smilejiasmile/article/details/112530462

© 版权声明
THE END
喜欢就支持一下吧
点赞0 分享