Nginx ssl证书部署-白红宇

Nginx ssl证书部署

阅读量：6942 次

发布时间：2019-06-27

本文共 2375 字，大约阅读时间需要 7 分钟。

查看当前安装的OpenSSL版本所支持的密码列表，可以使用下列命令：openssl ciphers

苹果ATS检测：https://www.qcloud.com/product/ssl 刚开始"PFS（完全正向保密）"这一项未成功通过，升级Nginx版本后才通过了

具体配置方法：https://www.qcloud.com/document/product/400/6973

Nginx 证书加密套件配置：

更新Nginx根目录下 conf/nginx.conf 文件如下：

server {    ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4;    ssl_protocols TLSv1 TLSv1.1 TLSv1.2; }

--------------------------------------------------------------------------------------------------------

Nginx 配置支持HTTPS

vim nginx.conf

server {    listen 80;    listen 443 ssl;    server_name  *.*.com    ...     #ssl on;  #在同一个server{}里配置同时开启http和https时，不需要开启此项！    ssl_certificate     /data/mysite/htdocs/server.pem;    ssl_certificate_key /data/mysite/htdocs/server.key;    ...    }

http 与https并存

nginx配置https的官网链接：http://nginx.org/en/docs/http/configuring_https_servers.html

--------------------------------------------------------------------------------------------------------

Nginx证书部署

一、获取pem格式的证书公私钥

1.使用mpki方式申请证书的。

首先登录mpki系统：https://mpki.trustasia.com。然后下载证书

订单密码：下订单时候设置的密码

证书密码：解压密码（下载下来的是证书的zip的压缩文件）

证书格式：pem for nginx

解压后会获得两个文件：cer后缀的是证书公钥(此文件可以改名为server.pem)，key后缀的是私钥(可以改名为server.key)

2.非mpki方式

这种方式私钥key是自行生成的(可以改名为server.key)。

证书公钥可以这样提取：

收到证书颁发邮件，邮件里有证书和证书链两部分。把代码部分（包含-----BEGIN CERITIFICATE-----到-----END CERITIFICATE-----）一起复制保存到一个新的文本文档中，顺序是证书代码在前面，证书链代码在后面，这样新的文本文档里有两段甚至多段证书代码。新的文本文档名可以叫做server.pem

二、在nginx里部署证书及优化配置ssl

到nginx的conf目录，找到nginx.conf文件，修改或者配置这样一段

server {

listen 443;

server_name www.trustasia.com #你们的域名，如www.abc.com;

ssl on;

ssl_certificate /xxx/xxx/server.pem;

ssl_certificate_key /xxx/xxx/server.key;

ssl_session_timeout 5m;

ssl_protocols TLSv1 TLSv1.1 TLSv1.2; #按照这个协议配

ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4;#按照这个加密套件配

location / {