介绍
TLS,即传输层安全性,及其前身SSL,即安全套接字层,是用于将普通流量包装在受保护的加密包装中的网络协议。
使用这项技术,服务器可以在服务器和客户端之间安全地发送流量,而不必担心消息会被外部方拦截和阅读。证书系统还帮助用户验证他们正在连接的站点的身份。
在本指南中,我们将向您展示如何为 Ubuntu 14.04 服务器上的 Nginx Web 服务器设置自签名 SSL 证书。自签名证书将不会为您的用户验证服务器的身份,因为它没有由其 Web 浏览器信任的证书颁发机构签名,但它将允许您与 Web 客户端加密通信。
先决条件
要开始本指南,您需要在服务器上设置一些基本内容。
您应该有一个具有sudo
权限的非根用户。您可以按照我们的 Ubuntu 14.04 初始服务器设置中的步骤 1-4 来了解如何设置此类用户帐户。
之后,您还需要安装 Nginx Web 服务器。如果您想在服务器上安装完整的 LEMP(Linux、Nginx、MySQL、PHP)堆栈,可以按照我们的 Ubuntu 14.04 上设置 LEMP 的指南进行操作。
如果您只想要 Nginx Web 服务器,您可以输入以下命令:
sudo apt-get updatesudo apt-get install nginx
步骤一 — 创建 SSL 证书
我们可以开始创建一个目录,用于保存所有 SSL 信息。我们应该在 Nginx 配置目录下创建此目录:
sudo mkdir /etc/nginx/ssl
现在我们有了一个放置文件的位置,我们可以通过输入以下命令一次性创建 SSL 密钥和证书文件:
sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/nginx/ssl/nginx.key -out /etc/nginx/ssl/nginx.crt
您将被要求回答一系列问题。在我们讨论这些问题之前,让我们看看我们正在发出的命令中发生了什么:
openssl:这是用于创建和管理 OpenSSL 证书、密钥和其他文件的基本命令行工具。req:此子命令指定我们要使用 X.509 证书签名请求(CSR)管理。“X.509” 是 SSL 和 TLS 遵循的用于其密钥和证书管理的公钥基础设施标准。我们要创建一个新的 X.509 证书,因此我们正在使用此子命令。-x509:这通过告诉实用程序我们要创建自签名证书,而不是生成证书签名请求,进一步修改了前一个子命令。-nodes:这告诉 OpenSSL 跳过使用密码短语保护我们的证书的选项。我们需要 Nginx 能够在服务器启动时读取文件,而无需用户干预。密码短语会阻止这种情况发生,因为我们每次重新启动后都需要输入密码。-days 365:此选项设置证书被视为有效的时间长度。我们在这里设置为一年。-newkey rsa:2048:这指定我们要同时生成新证书和新密钥。我们没有在之前的步骤中创建用于签署证书的密钥,因此我们需要同时创建它和证书。rsa:2048
部分告诉它生成一个长度为 2048 位的 RSA 密钥。-keyout:此行告诉 OpenSSL 在哪里放置我们正在创建的生成私钥文件。-out:这告诉 OpenSSL 在哪里放置我们正在创建的证书。 正如我们上面所述,这些选项将创建一个密钥文件和一个证书。为了正确嵌入信息到证书中,我们将被要求关于我们服务器的一些问题。
适当填写提示。最重要的一行是要求“通用名称(例如服务器 FQDN 或您的名称)”。您需要输入要与您的服务器关联的域名。如果您没有域名,也可以输入公共 IP 地址。
提示的全部内容将如下所示:
Country Name (2 letter code) [AU]:USState or Province Name (full name) [Some-State]:New YorkLocality Name (eg, city) []:New York CityOrganization Name (eg, company) [Internet Widgits Pty Ltd]:Bouncy Castles, Inc.Organizational Unit Name (eg, section) []:Ministry of Water SlidesCommon Name (e.g. server FQDN or YOUR name) []:your_domain.comEmail Address []:admin@your_domain.com
您创建的两个文件将放置在/etc/nginx/ssl
目录中。
第二步 — 配置 Nginx 使用 SSL
我们已经在 Nginx 配置目录下创建了密钥和证书文件。现在我们只需要修改 Nginx 配置以利用这些文件,通过调整服务器块文件来实现。您可以在这篇文章中了解更多关于 Nginx 服务器块的信息。
Nginx 0.7.14 及以上版本(Ubuntu 14.04 默认安装的是 1.4.6 版本)可以在同一个服务器块中启用 SSL 和常规 HTTP 流量。这使我们能够以更简洁的方式配置对同一站点的访问。
您的服务器块可能如下所示:
server { listen 80 default_server; listen [::]:80 default_server ipv6only=on; root /usr/share/nginx/html; index index.html index.htm; server_name your_domain.com; location / { try_files $uri $uri/ =404; }}
要在同一个服务器块上使 SSL 工作,并仍允许常规 HTTP 连接,我们只需要添加以下几行:
server { listen 80 default_server; listen [::]:80 default_server ipv6only=on; <span class="highlight">listen 443 ssl;</span> root /usr/share/nginx/html; index index.html index.htm; server_name <span class="highlight">your_domain.com</span>; <span class="highlight">ssl_certificate /etc/nginx/ssl/nginx.crt;</span> <span class="highlight">ssl_certificate_key /etc/nginx/ssl/nginx.key;</span> location / { try_files $uri $uri/ =404; }}
完成后,保存并关闭文件。
现在,您只需要重新启动 Nginx 以使用新的设置:
sudo service nginx restart
这将重新加载您的站点配置,现在可以响应 HTTP 和 HTTPS(SSL)请求。
第三步 — 测试您的设置
您的站点现在应该具有 SSL 功能,但我们应该进行测试以确保其正常工作。
首先,让我们测试一下是否仍然可以使用常规 HTTP 访问站点。在您的网络浏览器中,输入服务器的域名或 IP 地址:
<span class="highlight">http</span>://<span class="highlight">server_domain_or_IP</span>
您应该看到您的常规网站。在我的例子中,我只是提供默认的 Nginx 页面:
!Nginx non-SSL
如果您看到这个页面,那么您的服务器仍然可以正确处理 HTTP 请求。
现在,我们可以检查我们的服务器是否可以使用 SSL 进行通信。通过指定 https
协议而不是 http
协议来进行测试:
<span class="highlight">https</span>://<span class="highlight">server_domain_or_IP</span>
您可能会在网络浏览器中收到一个警告,类似于这样:
!Nginx SSL warning
这是正常的。它告诉您它无法验证您尝试连接的服务器的身份,因为它没有由浏览器配置为信任的证书颁发机构签署。由于我们创建了自签名证书,这是合理的。
点击“仍然继续”、“继续”或类似的选项。您应该再次看到您的站点:
!Nginx SSL
您的浏览器可能会在地址栏中将“https”划掉,或者显示一个破折号或划掉的“锁”图标。如果您点击锁图标,您可以查看有关连接的更多信息:
!Nginx SSL information
正如您所看到的,问题仅在于浏览器无法验证服务器的身份,因为它没有由其配置为信任的证书颁发机构签署。然而,中间部分显示连接是加密的,所以我们已经实现了这个目标。
结论
您已经配置了 Nginx 服务器来处理 HTTP 和 SSL 请求。这将帮助您安全地与客户进行通信,并避免外部方能够读取您的流量。
如果您计划在公共网站上使用 SSL,您可能应该从受信任的证书颁发机构购买 SSL 证书,以防止每个访问者都看到令人恐慌的警告。