Nginx实现https

作者: IT小池 | 来源:发表于2019-01-15 15:54 被阅读0次

Nginx实现https
Nginx 之实现https
AFNetworking Nginx 实现 HTTPS
Nginx配置https请求，以及Nginx+keepalive
windows下nginx配置ssl
Nginx 单台实现HTTPS
nginx 实现域名 https 协议
docker之nginx容器https访问
Nginx Https服务 + 反向代理+负载均衡
基于Nginx实现文件上传

这里的使用的是Nginx-java环境(tomcat)实现https

1. 配置HTTPS

首先需要买域名与申请ssl证书。颁发证书之后，将其下载下来。
这里我使用的是腾讯的云服务器与域名，颁发证书后，下载下来是一个zip压缩包，解压后，会看到对应服务类型文件夹，我这理使用的是nginx，所以我只将ngxin文件夹下的证书文件（1_yd-ishop.xyz_bundle.crt）与私钥文件（2_yd-ishop.xyz.key）上传到服务器的nginx配置文件夹下（注意必须是nginx配置文件夹目录下，不然会找不到证书文件与私钥文件），而我使用的是宝塔安装的nginx，所以这里nginx配置目录是 www/server/nginx/conf,上传到此nginx主配置目录下，就ok了。
我使用的是宝塔进行搭建环境，安装nginx与tomcat后，在宝塔面板进行添加站点之后，会默认生成一个以站点为名称的配置文件，使用远程登陆工具链接服务器之后，在 www/server/panel/vhost/nginx 目录找到创建站点生成的配置文件（宝塔的默认路径是这个），然后配置文件修改后如下：

# 创建站点生成的
server
{
    listen 80;
   server_name www.yd-ishop.xyz;
   index index.php index.html index.htm default.php default.htm default.html;
   #root /www/wwwroot/www.yd-ishop.xyz;
   rewrite ^(.*) https://$server_name$1 permanent;# 强制跳转https , permanent是永久重定向
    # 或者 rewrite ^(.*) https://$server_name$request_uri permanent;
    
    #SSL-START SSL相关配置，请勿删除或修改下一行带注释的404规则
    #error_page 404/404.html;
    #SSL-END    

    #ERROR-PAGE-START  错误页配置，可以注释、删除或修改
    error_page 404 /404.html;
    error_page 502 /502.html;
    #ERROR-PAGE-END
    
    #PHP-INFO-START  PHP引用配置，可以注释或修改
    include enable-php-56.conf;
    #PHP-INFO-END
    
    #REWRITE-START URL重写规则引用,修改后将导致面板设置的伪静态规则失效
    include /www/server/panel/vhost/rewrite/www.yd-ishop.xyz.conf;
    #REWRITE-END
    
    #禁止访问的文件或目录
    location ~ ^/(\.user.ini|\.htaccess|\.git|\.svn|\.project|LICENSE|README.md)
    {
        return 404;
    }
    
    #一键申请SSL证书验证目录相关设置
    location ~ \.well-known{
        allow all;
    }
    
    location ~ .*\.(gif|jpg|jpeg|png|bmp|swf)$
    {
        expires      30d;
        error_log off;
        access_log off;
    }
    
    #location ~ .*\.(js|css)?$
    #{
    #    expires      12h;
    #    error_log off;
    #    access_log off; 
    #}

    access_log  /www/wwwlogs/www.yd-ishop.xyz.log;
    error_log  /www/wwwlogs/www.yd-ishop.xyz.error.log;
}
# 配置ssl证书新添加的
server
{
    listen 443;
    server_name www.yd-ishop.xyz; #填写绑定证书的域名
    root /www/wwwroot/www.yd-ishop.xyz;
    ssl on;
    ssl_certificate 1_yd-ishop.xyz_bundle.crt;
    ssl_certificate_key 2_yd-ishop.xyz.key;
    ssl_session_timeout 5m;
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;  #按照这个协议配置
    ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:HIGH:!aNULL:!MD5:!RC4:!DHE;#按照这个套件配置
    ssl_prefer_server_ciphers on;
    
    location /
    {
        proxy_pass http://94.191.42.70:8090; #此行必须，且是能访问到的项目地址，且http://必须写上
        proxy_redirect off;  
        proxy_set_header Host $host;  
        proxy_set_header X-Real-IP $remote_addr;  
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;  
        client_max_body_size 10m;  
        client_body_buffer_size 128k;  
        proxy_connect_timeout 90;  
        proxy_send_timeout 90;  
        proxy_read_timeout 90;  
        proxy_buffer_size 4k;  
        proxy_buffers 4 32k;  
        proxy_busy_buffers_size 64k;  
        proxy_temp_file_write_size 64k;  
    }
}

或者 server，注意：nginx 1.15.* 需要把配置 ssl on 改成 listen 443 ssl;

server
{
    listen 443 ssl; # nginx 1.15.* 需要把配置 ssl on 改成  listen 443 ssl;
    server_name www.cybcar.cn cybcar.cn; #填写绑定证书的域名
    ssl_certificate  /www/server/nginx/conf/cert/cybcar.cn.pem;# 指定证书的位置，绝对路径
    ssl_certificate_key /www/server/nginx/conf/cert/cybcar.cn.key;# 指定证书的位置，绝对路径
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2 TLSv1.3;
    ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:HIGH:!aNULL:!MD5:!RC4:!DHE;
    ssl_prefer_server_ciphers on;
    ssl_session_cache shared:SSL:10m;
    ssl_session_timeout 10m;
    
    location /
    {
         root /www/wwwroot/cybcar.cn;
        index index.php index.html index.htm default.php default.htm default.html;
    }
}

2. HTTPS服务优化

1.激活keepalive长链接
2.激活ssl session缓存
优化配置如下：

server
{
    listen 443;
    server_name www.yd-ishop.xyz; #填写绑定证书的域名
    root /www/wwwroot/www.yd-ishop.xyz;

    keepalive_timeout 100;# 长链接（让时间保持更长）

    ssl on;
    ssl_session_cache      shared:SSL:10m;# 共享缓存10M（可以存储大概8000~10000个session会话）
    ssl_session_timeout 5m;
    ssl_certificate 1_yd-ishop.xyz_bundle.crt;
    ssl_certificate_key 2_yd-ishop.xyz.key;
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;  #按照这个协议配置
    ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:HIGH:!aNULL:!MD5:!RC4:!DHE;#按照这个套件配置
    ssl_prefer_server_ciphers on;
    
    location /
    {
        proxy_pass http://94.191.42.70:8090; #此行必须，且是能访问到的项目地址，且http://必须写上
        proxy_redirect off;  
        proxy_set_header Host $host;  
        proxy_set_header X-Real-IP $remote_addr;  
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;  
        client_max_body_size 10m;  
        client_body_buffer_size 128k;  
        proxy_connect_timeout 90;  
        proxy_send_timeout 90;  
        proxy_read_timeout 90;  
        proxy_buffer_size 4k;  
        proxy_buffers 4 32k;  
        proxy_busy_buffers_size 64k;  
        proxy_temp_file_write_size 64k;  
    }
}