SSL证书 - 基于Nginx配置HTTPS

前言

---

前段时间买了一台服务器,搞了一个博客系统,但是苦于没有SSL证书,导致访问的过程一直是没有安全证书的情况下,对于一些不搞程序的童鞋一看到访问不安全链接,立马就是提示劝退(PS:流下菜鸡的眼泪). 所以就去网上瞅了瞅,发现SSL证书贼几儿贵,对于我服务器小白来说,SSL证书的需求比重不算太高,只是想把 HTTP → HTTPS, 找来找去,发现阿里云有免费证书可以白嫖,正所谓不(qiong)嫖(de)白(dou)不(diao)嫖(zha).所以这是就使用免费的阿里云SSL证书.

具体的环境如下所示.

· 阿里云ECS
· centos 8.0
· nginx 1.14.0

申请证书

---

• 我们先来说一下如何免费申请证书.只要你是阿里云实名主体个人/企业，一个自然年内可以领取一次数量为20的免费证书资源包.具体的领取传送门如下所示.

阿里云SSL证书领取传送门

• 领取形式如下图所示.

• 然后我们进入阿里云控制台的SSL证书模块.然后选择云盾SSL证书,如下图所示.

• 然后选择证书申请,这里我已经申请了两个了,所以就只剩下18次了.如下图所示.

• 如下图,点击单域名模式,然后点击确定即可.

• 然后下面列表就会出现一条你申请的证书记录,点击证书记录后面的"证书申请"即可.

• 接下来就是配置一些基本信息,如下图所示.这里证书绑定域名就选择你需要绑定的域名即可. 例如我想让 www.coder-dong.com 生成证书,填写 www.coder-dong.com 即可. CSR生成方法关闭手动填写即可,让阿里云直接自动生成即可,最后点击下一步.

• 然后需要去你的域名那添加一条解析记录,并且进行验证.解析信息都在这个页面上了,如果你的域名在当前阿里云账号上,那么它会帮你自动添加解析记录,然后点击验证即可.

image

• 对于阿里云当前账号则不需要手动添加,如果是其他账号或者是别的运营方申请的域名则需要手动自己添加.假设记录值数据如下所示.那么添加解析记录的时候就如图所示即可.

记录值 : TXT
主机记录 : XXXXXX
记录值 : YYYYYY

• 添加完成之后,验证成功状态如下图所示.

• 签发完成之后我们点击SSL证书列表当前证书记录后面的 "下载" 按钮来下载证书和秘钥. 如下图所示.

• 然后选择Nginx下载即可,具体如下图所示.

• 下载好了,解压文件就得到一个.pem证书文件,一个.key秘钥文件,具体如下所示.这两个文件我们都需要上传到我们的服务器中,上传过程就不过多叙述了,我使用的是rz命令进行文件的上传.

• ❗️❗️❗️证书正好了之后,我们需要开启服务器的 443 端口.这一步非常重要,这里我们需要去安全组中进行配置.

image

Nginx配置

---

• 首先我们先把.pem证书文件和.key秘钥文件上传到服务器上去.由于网上教程的原因,我也在配置文件目录下创建的了 cert 的文件夹,并且把证书我恩建和秘钥文件上传到该文件夹下了.

• 然后我们需要在Nginx的配置文件nginx.conf配置证书信息.假设我们申请的证书单域名为 www.coder-dong.com, 那么需要在http这个下添加一个443端口的serve模块.配置如下所示.

    server {
        listen       443;
        server_name  www.coder-dong.com;
        ssl on;# 打开SSL

        ssl_certificate cert/www.coder-dong.com.pem; # 证书路径
        ssl_certificate_key cert/www.coder-dong.com.key; # 秘钥路径

        ssl_session_timeout 5m;
        ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4;#表示使用的加密套件的类型。
        ssl_protocols TLSv1 TLSv1.1 TLSv1.2; #表示使用的TLS协议的类型。
        ssl_prefer_server_ciphers on;
        #charset koi8-r;

        #access_log  logs/host.access.log  main;

        location / {
           root   html;
           index  index.html index.htm;
           proxy_pass http://127.0.0.1:8000; # 443端口指向本地的8000端口
        }
    }

• 如上配置完成之后我们就重启Nginx就可以使用 https://www.coder-dong.com 来访问我们的本地8000端口了,但是我们平常访问哪里会加 https 的前缀,都是直接访问域名,所以这里我们还需要把常用的 80 端口的访问重定向到 443 端口,假设我们想只输入 www.coder-dong.com 就能访问 443端口,那么我们还需要在Nginx中http模块添加 server 模块,具体配置如下所示.

    # 关于模块中 rewrite 的具体使用,请自行百度.或者直接照葫芦画瓢抄袭即可.
    server {
         listen 80;
         server_name www.coder-dong.com; #需要将yourdomain.com替换成证书绑定的域名。
         rewrite ^/(.*) https://www.coder-dong.com/$1 permanent;  #将所有HTTP请求通过rewrite指令重定向到HTTPS。
    }

• 再例如,我想把 coder-dong.com 也映射到 443 端口,配置和上面类似.

   server {
         listen 80;
         server_name coder-dong.com; #需要将yourdomain.com替换成证书绑定的域名。
         rewrite ^/(.*) https://www.coder-dong.com/$1 permanent;  #将所有HTTP请求通过rewrite指令重定向到HTTPS。
    }

• OK,这样就算完成了,最后保存退出,然后重启Nginx即可.我们就配置完成了.

• 当然了,这里我们上面所有的配置罗列出来,供大家参考.

http {
    include       mime.types;
    default_type  application/octet-stream;
    sendfile        on;
    keepalive_timeout  65;

    server {
         listen 80;
         server_name www.coder-dong.com; #需要将yourdomain.com替换成证书绑定的域名。
         rewrite ^/(.*) https://www.coder-dong.com/$1 permanent;  #将所有HTTP请求通过rewrite指令重定向到HTTPS。
    }

    server {
         listen 80;
         server_name coder-dong.com; #需要将yourdomain.com替换成证书绑定的域名。
         rewrite ^/(.*) https://www.coder-dong.com/$1 permanent;  #将所有HTTP请求通过rewrite指令重定向到HTTPS。
    }

    server {
        listen       443;
        server_name  www.coder-dong.com;
        ssl on;

        ssl_certificate cert/coderdong.pem;
        ssl_certificate_key cert/coderdong.key;

        ssl_session_timeout 5m;
        ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4;#表示使用的加密套件的类型。
        ssl_protocols TLSv1 TLSv1.1 TLSv1.2; #表示使用的TLS协议的类型。
        ssl_prefer_server_ciphers on;

        location / {
           root   html;
           index  index.html index.htm;
           proxy_pass http://127.0.0.1:8000;
        }
    }
}

结语

---

SSL证书的配置整体来说还是比较简单的,如果喜欢骚栋,欢迎点赞关注,如果有任何问题,可以评论留言.感谢各位大佬的阅读了.

image