day15.3

nginx实现HTTPS

nginx实现HTTPS

# HTTPS作用
数据加密传输
OSI七层模拟:表示层加密/解密

证书申请流程

1、浏览器发起往服务器的443端口发起请求，请求携带了浏览器支持的加密算法和哈希算法。

2、服务器收到请求，选择浏览器支持的加密算法和哈希算法。

3、服务器下将数字证书返回给浏览器，这里的数字证书可以是向某个可靠机构申请的，也可以是自制的。

4、浏览器进入数字证书认证环节，这一部分是浏览器内置的TLS完成的：

4.1 首先浏览器会从内置的证书列表中索引，找到服务器下发证书对应的机构，如果没有找到，此时就会提示用户该证书是不是由权威机构颁发，是不可信任的。如果查到了对应的机构，则取出该机构颁发的公钥。

4.2 用机构的证书公钥解密得到证书的内容和证书签名，内容包括网站的网址、网站的公钥、证书的有效期等。浏览器会先验证证书签名的合法性（验证过程类似上面Bob和Susan的通信）。签名通过后，浏览器验证证书记录的网址是否和当前网址是一致的，不一致会提示用户。如果网址一致会检查证书有效期，证书过期了也会提示用户。这些都通过认证时，浏览器就可以安全使用证书中的网站公钥了。

4.3 浏览器生成一个随机数R，并使用网站公钥对R进行加密。

5、浏览器将加密的R传送给服务器。

6、服务器用自己的私钥解密得到R。

7、服务器以R为密钥使用了对称加密算法加密网页内容并传输给浏览器。

8、浏览器以R为密钥使用之前约定好的解密算法获取网页内容。

证书类型介绍

对比	域名型DV	企业型OV	增强型EV
地址栏	锁标记+绿色https	锁标记+绿色https	锁标记+绿色https+企业名称
用途	个人网站	电子商务网站，中小型企业	大型金融平台，大公司，政府机构
审核内容	域名所有权验证	全面的企业身份验证；域名所有权验证	最高等级的企业身份验证；域名所有权验证
颁发时长	不到十分钟	3-5个工作日	5-7个工作日
首次申请/年限	1年	1-2年	1-2年
赔付保障金	--	125-175 dollar	150-175 dollar

证书购买

# 单域名
只能单个域名使用   www.wc.com

# 混合域名
多个域名可以使用该证书 www.wc.com www.wcw.com

# 泛域名
通配符域名证书  www.wc.com blog.wc.com

HTTPS注意事项

1.证书过期，无法续费
2.三级域名无法使用https
3.注意证书颜色:
	1.绿色:全站的URL都是https加密的
	2.红色:假证书或者证书过期
	3.黄色:并非全站URL都是https加密的

单台nginx实现https

# 编辑nginx配置文件
[root@web01 ~]# vim /etc/nginx/conf.d/test.wc.com.conf
  
server{
        listen 80;
        server_name test.wc.com;
        root /code/test;
        index index.html;
}

# 重启nginx
[root@web01 ~]# nginx -t
nginx: the configuration file /etc/nginx/nginx.conf syntax is ok
nginx: configuration file /etc/nginx/nginx.conf test is successful
[root@web01 ~]# systemctl reload nginx

# 创建站点目录
[root@web01 ~]# mkdir /code/test/

# 部署代码
[root@web01 ~]# echo 'test https' > /code/test/index.html

# 域名解析
10.0.0.7 test.zls.com

跟CA机构申请证书

# CA机构创建证书
[root@web01 ~]# openssl genrsa -idea -out server.key 2048
Generating RSA private key, 2048 bit long modulus
...............+++
...........+++
e is 65537 (0x10001)
Enter pass phrase for server.key: 1234
Verifying - Enter pass phrase for server.key: 1234

# 当前所在目录会生成证书
[root@web01 ~]# ll
-rw-r--r-- 1 root root 1739 Jun 22 19:03 server.key

# 跟CA机构填写个人信息，签发证书
[root@web01 ~]# openssl req -days 36500 -x509 -sha256 -nodes -newkey rsa:2048 -keyout
server.key -out server.crt
Generating a 2048 bit RSA private key
....+++
..................................................+++
writing new private key to 'server.key'
-----
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
## 国家代码 简写，2个字符
Country Name (2 letter code) [XX]:CN
## 所在省
State or Province Name (full name) []:USA
## 城市名字
Locality Name (eg, city) [Default City]:小日本
## 公司名字
Organization Name (eg, company) [Default Company Ltd]:oldboy
## 公司名字
Organizational Unit Name (eg, section) []:oldboy
## 域名
Common Name (eg, your name or your server's hostname) []:test.zls.com
## 邮箱
Email Address []:123@qq.com

# 查看证书文件
[root@web01 ~]# ll
-rw-r--r-- 1 root root 1411 Jun 22 19:10 server.crt
-rw-r--r-- 1 root root 1708 Jun 22 19:10 server.key

配置ssl证书语法

# 启动ssl功能
Syntax: ssl on | off;
Default: ssl off;
Context: http,server

# 证书文件
Syntax: ssl_certificate file;
Default: -
Context: http,server

# 私钥文件
Syntax: ssl_certificate_key file;
Default: -
Context: http,server

修改nginx配置文件

# 创建证书存放目录
[root@web01 ~]# mkdir /etc/nginx/ssl
[root@web01 test]# mv server.* /etc/nginx/ssl/

# 配置证书语法
[root@web01 conf.d]# cat test.wc.conf 
server{
	listen 443 ssl;
        server_name test.wc.com;
        root /code/test;
        index index.html;
	ssl_certificate ssl/server.crt;
        ssl_certificate_key ssl/server.key;
}

# 检测语法，重启nginx
[root@web01 conf.d]# nginx -t
[root@web01 test]# systemctl reload nginx.service

使用rewrite协议跳转

# 80强转443端口
[root@web01 conf.d]# cat test.wc.conf 
server{
	listen 80;
	server_name test.wc.com;
	rewrite (.*) https://test.wc.com redirect;
}

server{
	listen 443 ssl;
        server_name test.wc.com;
        root /code/test;
        index index.html;
	ssl_certificate ssl/server.crt;
        ssl_certificate_key ssl/server.key;
}

给wordpress博客加证书

# 生成证书
[root@web03 ~]# openssl genrsa -idea -out 20220622_blog.zls.com.key 2048

[root@web03 ~]# openssl req -days 36500 -x509 -sha256 -nodes -newkey rsa:2048 -keyout
20220622_blog.zls.com.key -out 20220622_blog.zls.com.pem

# 创建证书存放位置
[root@web03 ~]# mkdir /etc/nginx/ssl
[root@web03 ~]# mv 20220622_blog.zls.com.* /etc/nginx/ssl/

多台nginx配置ssl证书

# 负载均衡配置证书
upstream test.wc {
        server 172.16.1.7;
        server 172.16.1.8;
}

server {
        listen 80;
        server_name test.wc.com;
        rewrite (.*) https://test.wc.com redirect;
}

server {
        listen 443 ssl;
        server_name test.wc.com;
        ssl_certifiate ssl/server.crt;
        ssl_certifiate ssl/server.key;

        location /{
                proxy_pass http://test.wc;
                include proxy_params;
}
}

# 重启nginx
[root@web01 ~]# nginx -t
nginx: the configuration file /etc/nginx/nginx.conf syntax is ok
nginx: configuration file /etc/nginx/nginx.conf test is successful
[root@web01 ~]# systemctl reload nginx

# 访问浏览器 test.wc.com

SSL优化参数

# ssl优化参数    
 ssl_session_cache shared:SSL:10m; #在建立完ssl握手后如果断开连接，在session_timeout时间内再次连接，是不需要再次获取公钥建立握手的，可以服用之前的连接
 ssl_session_timeout 1440m;  #ssl连接断开后的超时时间
 ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4;  #配置加密套接协议
 ssl_protocols TLSv1 TLSv1.1 TLSv1.2;  #使用TLS版本协议
 ssl_prefer_server_ciphers on;  #nginx决定使用哪些协议与浏览器通信