新网创想网站建设,新征程启航
为企业提供网站建设、域名注册、服务器等服务
一、为nginx配置https并自签名证书
1、制作CA证书
ca.key CA私钥:
openssl genrsa -des3 -out ca.key 2048
制作解密后的CA私钥(一般无此必要):
openssl rsa -in ca.key -out ca_decrypted.key
ca.crt CA根证书(公钥):
openssl req -new -x509 -days 7305 -key ca.key -out ca.crt
2、制作生成网站的证书并用CA签名认证
在这里,假设网站域名为blog.creke.net
生成blog.creke.net证书私钥:
openssl genrsa -des3 -out blog.creke.net.pem 2048
制作解密后的blog.creke.net证书私钥(注意:nginx配置中,nginx支持的是解密后的格式):
openssl rsa -in blog.creke.net.pem -out blog.creke.net.key
生成签名请求:
openssl req -new -key blog.creke.net.pem -out blog.creke.net.csr
在common name中填入网站域名,如blog.creke.net即可生成该站点的证书,同时*也可以使用泛域名如.creke.net来生成所有二级域名可用的网站证书。
用CA进行签名:
openssl ca -policy policy_anything -days 1460 -cert ca.crt -keyfile ca.key -in blog.creke.net.csr -out blog.creke.net.crt
其中,policy参数允许签名的CA和网站证书可以有不同的国家、地名等信息,days参数则是签名时限。
如果在执行签名命令时,出现“I am unable to access the ../../CA/newcerts directory”
修改/etc/pki/tls/openssl.cnf中“dir = ./CA”
然后:
mkdir -p CA/newcerts
touch CA/index.txt
touch CA/serial
echo "01" > CA/serial
再重新执行签名命令。
最后,把ca.crt的内容粘贴到blog.creke.net.crt后面。这个比较重要!**因为不这样做,可能会有某些浏览器不支持。
好了,现在https需要用到的网站私钥blog.creke.net.key和网站证书blog.creke.net.crt都准备完毕。接下来开始配置服务端。
创新互联服务项目包括忻城网站建设、忻城网站制作、忻城网页制作以及忻城网络营销策划等。多年来,我们专注于互联网行业,利用自身积累的技术优势、行业经验、深度合作伙伴关系等,向广大中小型企业、政府机构等提供互联网行业的解决方案,忻城网站推广取得了明显的社会效益与经济效益。目前,我们服务的客户以成都为中心已经辐射到忻城省份的部分城市,未来相信会继续扩大服务区域并继续获得客户的支持与信任!
二、配置nginx
server {
listen 443 ssl;
server_name blog.creke.net;
keepalive_timeout 70;
ssl_certificate blog.creke.net.crt; //网站证书存放的路径
ssl_certificate_key blog.creke.net.key; //网站私钥存放的路径
ssl_session_cache shared:SSL:10m;
ssl_session_timeout 5m;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2 TLSv1.3;
ssl_ciphers HIGH:!aNULL:!MD5;
ssl_prefer_server_ciphers on;
...
}
三、检测配置和重新加载nginx配置
检测配置:
nginx -t
重新加载:
nginx -s reload
四、QA
有时候,会发现,在phpMyAdmin等程序登入后会错误地跳转http的问题。解决方法是定位至“location ~ .*.(php|php5)?${}”在include fcgi.conf;或者在fastcgi_param配置后面加上:
fastcgi_param HTTPS on;
fastcgi_param HTTP_SCHEME https;
在这里是nginx官方的关于https的文档,可以作为参考。