https 安全协议相关介绍

Rewrite中的flag

redirect：返回302临时重定向，浏览器地址栏会显示跳转后的URL，但浏览器不会更新URL排名

permanent：返回301永久重定向，浏览器地址栏会显示跳转后的URL，浏览器也会更新　新URL排名。

last:	#本条规则匹配完成继续向下匹配新的location URL规则
break：	#本条规则匹配完成即终止，不再向下匹配任何规则

Https

1.什么是https

HTTPS（全称：Hyper Text Transfer Protocol over Secure Socket Layer 或 Hypertext Transfer Protocol Secure，超文本传输安全协议），是以安全为目标的HTTP通道，简单讲是HTTP的安全版。即HTTP下加入SSL层，HTTPS的安全基础是SSL，因此加密的详细内容就需要SSL。 它是一个URI scheme（抽象标识符体系），句法类同http:体系。用于安全的HTTP数据传输。https:URL表明它使用了HTTP，但HTTPS存在不同于HTTP的默认端口及一个加密/身份验证层（在HTTP与TCP之间）。这个系统的最初研发由网景公司(Netscape)进行，并内置于其浏览器Netscape Navigator中，提供了身份验证与加密通讯方法。现在它被广泛用于万维网上安全敏感的通讯，例如交易支付方面。

2.为什么要使用https

因为HTTP 不安全，当我们使用HTTP网站时，会遭到劫持和篡改，如果采用https协议，那么数据再传输的过程中是加密的，所以黑客无法窃取或者篡改数据报文信息，同时也能避免网站传输时信息泄露。

3. 手动篡改hosts劫持案例

[root@web01 ~]# vim /etc/nginx/conf.d/s.oldyang.com.conf

server {
	listen 80;
	server_name s.oldyang.com;
	root /code;
	
	location / {
		index index.html
	}
}

[root@web01 ~]# vim /code/index.html

<h1>http <h1>

在负载均衡上配置

[root@wlb01 ~]# vim /etc/nginx/conf.d/proxy_s.oldyang.com.conf

server {
	listen 80;
	server_name s.oldyang.com;
	
	location / {
		proxy_pass http://10.0.0.7;
		sub_filter '<h1>' 'test123'		#替换
		include proxy_params;
	}
}

4.https通讯是如何确定双方身份的

数据在进行加密与解密的过程中，如何确认双方身份？

权威机构来验证双方身份--------CA机构

简单来说：我们需要实现Https协议，需要上CA机构申请证书，如下图

5.Https证书都有哪些类型

如图，SSL 证书按大类一般可分为 DV SSL 、OV SSL 、EV SSL 证书。有的也会叫做域名型、企业型、增强型证书，不同的厂商叫法可能有所不同，但差别不大。

1）域名型SSL证书（DV SSL）

即证书颁布机构只对域名的所有者进行在线检查，通常是验证域名下某个指定文件的内容，或者验证与域名相关的某条 TXT 记录；

比如访问 [http|https]://http://www.domain.com/…/test.txt，文件内容： 2016082xxxxx39w7b20nelfa；

或在与域名相关的DNS服务器上添加一条 TXT 记录：http://www.domain.com –> TXT –> 20170xxxxxqmkiby43hpvy8

2）企业型SSL证书（OV SSL）

是要购买者提交组织机构资料和单位授权信等在官方注册的凭证，证书颁发机构在签发 SSL 证书前不仅仅要检验域名所有权，还必须对这些资料的真实合法性进行多方查验，只有通过验证的才能颁发 SSL 证书。

3）增强型SSL证书（EV SSL）

与其他 SSL 证书一样，都是基于 SSL/TLS 安全协议，但是验证流程更加具体详细，验证步骤更多，这样一来证书所绑定的网站就更加的可靠、可信。它跟普通 SSL 证书的区别也是明显的，安全浏览器的地址栏变绿，如果是不受信的 SSL 证书则拒绝显示，如果是钓鱼网站，地址栏则会变成红色，以警示用户。
————————————————
版权声明：本文为CSDN博主「guoxiaojie_415」的原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接及本声明。
原文链接：https://blog.csdn.net/guoxiaojie_415/article/details/80031902

6.模拟证书

#创建存放ssl证书的路径
[root@Nginx ~]# mkdir -p /etc/nginx/ssl_key
[root@Nginx ~]# cd /etc/nginx/ssl_key

1.生成证书 (密码1234)
[root@Nginx ~]# openssl genrsa -idea -out server.key 2048

2.生成自签证书，同时去掉私钥的密码
openssl req -days 36500 -x509 \
-sha256 -nodes -newkey rsa:2048 -keyout server.key -out server.crt
	

3.单台配置nginx
[root@web01 conf.d]# cat s.oldux.com.conf 
server {
	listen 443 ssl;
	server_name s.oldxu.com;
	root /code;
	ssl_certificate ssl_key/server.crt;
	ssl_certificate_key ssl_key/server.key;

	location / {
		index index.html;
	}
}
server {
	listen 80;
	server_name s.oldxu.com;
	return 302 https://$http_host$request_uri;	
}




思路：
1.先配置好后端的web节点
2.在负载均衡上申请证书(如果之前申请过也可以推送)      <----
3.配置nginx负载均衡--->http协议
4.配置域名劫持
5.配置nginx负载均衡--->转为https协议

负载均衡代理跳转https

[root@lb01 conf.d]# cat proxy_s.oldxu.com.conf 
upstream webs {
	server 172.16.1.7:80;
	server 172.16.1.8:80;
}

server {
	listen 443 ssl;
	ssl_certificate ssl_key/server.crt;
	ssl_certificate_key ssl_key/server.key;

	server_name s.oldxu.com;
	location / {
		proxy_pass http://webs;
		include proxy_params;
	}
}

server {
	listen 80;
	server_name s.oldxu.com;
	return 302 https://$http_host$request_uri;
}

负载均衡跳转https 个人博客

[root@lb01 conf.d]# cat proxy_blog.oldxu.com.conf 
upstream blog {
	server 172.16.1.7:80;
	server 172.16.1.8:80;
}

server {
	listen 443 ssl;
	server_name blog.oldxu.com;
	
	ssl_certificate ssl_key/server.crt;
	ssl_certificate_key ssl_key/server.key;

	location / {
		proxy_pass http://blog;
		proxy_next_upstream error timeout http_500 http_502 http_503;
		include proxy_params;
	}
}

server {
	listen 80;
	server_name blog.oldxu.com;
	return 302 https://$http_host$request_uri;
}

需求: 部分URL走https,部分不走https?

[root@lb01 conf.d]# cat proxy_s.oldxu.com.conf 
upstream webs {
	server 172.16.1.7:80;
	server 172.16.1.8:80;
}

server {
	listen 443 ssl;
	ssl_certificate ssl_key/server.crt;
	ssl_certificate_key ssl_key/server.key;

	server_name s.oldxu.com;
	location / {
		proxy_pass http://webs;
		include proxy_params;
	}
}
server {
	listen 80;
	server_name s.oldxu.com;
	
	if ($request_uri ~* "^/login") {
		return 302 https://$http_host$request_uri;
	}

	location / {
		proxy_pass http://webs;
		include proxy_params;
	}
}

需求: 当用户请求s.oldxu.com/abc时走http,其他的所有都走https?

s.oldxu.com/       ---> https
	s.oldxu.com/abc    ---> http

[root@lb01 conf.d]# cat proxy_s.oldxu.com.conf 
upstream webs {
	server 172.16.1.7:80;
	server 172.16.1.8:80;
}

server {
	listen 443 ssl;
	ssl_certificate ssl_key/server.crt;
	ssl_certificate_key ssl_key/server.key;

	server_name s.oldxu.com;
	location / {
		proxy_pass http://webs;
		include proxy_params;
	}
}
server {
	listen 80;
	server_name s.oldxu.com;
	
	if ($request_uri !~* "^/abc") {
		return 302 https://$http_host$request_uri;
	}

	location / {
		proxy_pass http://webs;
		include proxy_params;
	}
}

7.https优化参数

server {
    listen 443 ssl;
    server_name nginx.bjstack.com;
	
    ssl_certificate ssl_key/1524377920931.pem;
    ssl_certificate_key ssl_key/1524377920931.key;
	ssl_session_cache shared:SSL:10m; 	#在建立完ssl握手后如果断开连接，在session_timeout时间内再次连接，是不需要在次建立握手，可以复用之前的连接
    ssl_session_timeout 1440m;           #ssl连接断开后的超时时间
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2; #使用的TLS版本协议
    ssl_prefer_server_ciphers on;        #Nginx决定使用哪些协议与浏览器进行通讯
    ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4; #配置加密套间

l	ocation / {
        root /soft/code;
        index index.html index.htm;
    }
}
server {
        listen 80;
        server_name nginx.bjstack.com;
        return 302 https://$server_name$request_uri;
}