So implementieren Sie https mit Nginx und OpenSSL

[root@ns3 ~]# systemctl stoppe Firewall
[root@ns3 ~]# iptables -F
[root@ns3 ~]# setenforce 0
[root@ns3 ~]# yum -y installiere pcre zlib pcre-devel zlib-devel
[root@ns3 ~]# tar xf nginx-1.16.0.tar.gz -C /usr/src/
[root@ns3 ~]#cd /usr/src/nginx-1.16.0
[root@ns3 ~]#./configure --prefix=/usr/local/nginx --user=nginx --group=nginx --with-http_stub_status_module --with-http_ssl_module --with-http_flv_module --with-http_gzip_static_module&&make && make install #Installieren Sie die später benötigten Module auf einmal

[root@ns3 ~]# rpm -qa openssl 2 openssl-1.0.1e-42.el7.x86_64

[root@ns3 ~]# yum -y installiere openssl openssl-devel

[root@ns3 ~]# cd zhengshu/
[root@ns3 zhengshu]# openssl genrsa -out local.key 2048
Generieren eines privaten RSA-Schlüssels, 2048 Bit langer Modul
.................................................................................................................................................................................................................................................+++
............................................................................................................................................................................................................+++
e ist 65537 (0x10001)
[root@ns3 zhengshu]# ls
lokaler Schlüssel

[root@ns3 zhengshu]# openssl req -new -key local.key -out local.csr
Sie werden nun aufgefordert, Informationen einzugeben, die
in Ihre Zertifikatsanforderung.
Was Sie jetzt eingeben, ist ein sogenannter Distinguished Name oder DN.
Es gibt eine ganze Reihe von Feldern, aber Sie können einige leer lassen
Für einige Felder gibt es einen Standardwert.
Wenn Sie „.“ eingeben, bleibt das Feld leer.
-----
Ländername (2-Buchstaben-Code) [XX]:CN #Staats- oder Provinzname (vollständiger Name) []:BJ #Ortsname (z. B. Stadt) [Standard Stadt]:BJ #Organisationsname (z. B. Firma) [Standard Firma Ltd]:
Name der Organisationseinheit (z. B. Abteilung) []:test #AbteilungAllgemeiner Name (z. B. Ihr Name oder der Hostname Ihres Servers) []:test #HostnameE-Mail-Adresse []:[email protected] #E-MailBitte geben Sie die folgenden „zusätzlichen“ Attribute ein
wird mit Ihrem Zertifikatsantrag mitgeschickt
Ein Challenge-Passwort []:wuminyan #Passwort Ein optionaler Firmenname []:wuminyan #Name [root@ns3 zhengshu]# ls
lokale.csr lokale.schlüssel

req: Dies ist ein umfangreicher Befehl, der die Generierung von Zertifikatsanforderungsdateien, die Überprüfung von Zertifikaten und die Erstellung von Stammzertifizierungsstellen ermöglicht.
 -new: bedeutet, eine neue Zertifikatsanforderung zu generieren -x509: gibt das Zertifikat direkt aus -key: die private Schlüsseldatei, die beim Generieren der Zertifikatsanforderung verwendet wurde -out: Ausgabedatei

Dieser Befehl zum Generieren eines CA-Zertifikats ist verwirrend. 1. Generieren Sie eine Zertifikatsanforderungsdatei mit einem geheimen Schlüssel. 2. Generieren Sie das endgültige Zertifikat mit einer Zertifikatsanforderungsdatei. -in Generieren Sie ein Zertifikat mit einer Zertifikatsanforderungsdatei. -signkey gibt den privaten Schlüssel an. Dies ist ein Parameter, den ich noch nicht verstehe. [root@ns3 zhengshu]# openssl x509 -req -in local.csr -extensions v3_ca -signkey local.key -out local.crt
Unterschrift ok
Betreff=/C=CN/ST=BJ/L=BJ/O=Default Company Ltd/OU=Test/CN=Test/[email protected]
Privaten Schlüssel abrufen

[root@ns3 zhengshu]# openssl genrsa -out my_server.key 2048
Generieren eines privaten RSA-Schlüssels, 2048 Bit langes Modul
.................................+++
...........................................+++
e ist 65537 (0x10001)
[root@ns3 zhengshu]# ls
local.crt local.csr local.key mein_server.key

[root@ns3 zhengshu]# openssl x509 -req -in local.csr -extensions v3_ca -signkey local.key -out local.crt
Unterschrift ok
Betreff=/C=CN/ST=BJ/L=BJ/O=Default Company Ltd/OU=Test/CN=Test/[email protected]
Privaten Schlüssel abrufen
[root@ns3 zhengshu]# openssl genrsa -out my_server.key 2048
Generieren eines privaten RSA-Schlüssels, 2048 Bit langes Modul
.................................+++
...........................................+++
e ist 65537 (0x10001)
[root@ns3 zhengshu]# openssl req -new -key mein_server.key -out mein_server.csr
Sie werden nun aufgefordert, Informationen einzugeben, die
in Ihre Zertifikatsanforderung.
Was Sie jetzt eingeben, ist ein sogenannter Distinguished Name oder DN.
Es gibt eine ganze Reihe von Feldern, aber Sie können einige leer lassen
Für einige Felder gibt es einen Standardwert.
Wenn Sie „.“ eingeben, bleibt das Feld leer.
-----
Ländername (2-Buchstaben-Code) [XX]:CN
Name des Staates oder der Provinz (vollständiger Name) []: BJ
Ortsname (z. B. Stadt) [Standardstadt]: BJ
Name der Organisation (z. B. Firma) [Standard Company Ltd]:
Name der Organisationseinheit (z. B. Abschnitt) []:test
Allgemeiner Name (z. B. Ihr Name oder der Hostname Ihres Servers) []:test
E-Mail-Adresse []:[email protected]

Bitte geben Sie die folgenden 'zusätzlichen' Attribute ein
wird mit Ihrem Zertifikatsantrag mitgeschickt
Ein Challenge-Passwort []:wuminyan
Ein optionaler Firmenname []:wuminyan
[root@ns3 zhengshu]# ls
local.crt local.csr local.key mein_server.csr mein_server.key

[root@ns3 zhengshu]# openssl x509 -days 365 -req -in my_server.csr -extensions v3_req -CAkey local.key -CA local.crt -CAcreateserial -out my_server.crt
 Unterschrift ok
 Betreff=/C=CN/ST=BJ/L=BJ/O=Default Company Ltd/OU=Test/CN=Test/[email protected]
 Abrufen des privaten CA-Schlüssels

[root@ns3 ~]# vim /etc/nginx.cof #Hier wird ein Softlink gesetzt: lln -s /usr/local/nginx/sbin/nginx /usr/local/sbin/
Server {
        hören Sie 80;
        listen 443 default ssl; #Auf Port 433 lauschen keepalive_timeout 100; #Keepalive einschalten Keepalive-Langverbindung aktivieren, um die Zahl der Client-Anfragen zu reduzieren ssl_certificate /root/zhengshu/local.crt; #Speicherort des Server-Zertifikats ssl_certificate_key /root/zhengshu/local.key; #Speicherort des privaten Server-Schlüssels ssl_session_cache shared:SSL:10m; #Sitzung zwischenspeichern ssl_session_timeout 10m; #Sitzung läuft in 10 Minuten ab ssl_ciphers HIGH:!aNULL:!MD5;
                   ssl_prefer_server_ciphers ein;

        Servername test.com;
        Zeichensatz UTF-8;

        Standort / {
            Stamm-HTML;
            Index Index.html Index.htm;
        }

    }
}