首页 / NGINX / 如何在 CentOS 7 上生成 SSL 证书为 Nginx 加密

如何在 CentOS 7 上生成 SSL 证书为 Nginx 加密

内容导读

互联网集市收集整理的这篇技术教程文章主要介绍了如何在 CentOS 7 上生成 SSL 证书为 Nginx 加密，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含7616字，纯文字阅读大概需要11分钟。

内容图文

本文首发：开发指南：如何在 CentOS 7 上安装 Nginx

Let’s Encrypt 是由 Internet Security Research Group (ISRG) 开发的一个自由、自动化和开放的证书颁发机构。目前几乎所有的现代浏览器都信任由 Let’s Encrypt 颁发的证书。

这个教程，将会一步一步的教你如何在 CentOS 7 上通过 Certbot 来生成 SSL 安全证书，并配置到 Nginx 上。

开始前的准备

在继续此教程之前，请确保你已经满足了以下两个条件：

请确保你已经拥有了一个属于你的域名，并且已经解析到了你的服务器 IP 上，在接下来的教程中，我将会用 kaifazhinan.com 作为本教程的域名。
请确保你已经启用了 EPEL 仓库，并且已经安装了 Nginx，如果你还没有安装 Nginx，你可以先阅读如何在 CentOS 7 上安装 Nginx 这篇文章来安装 Nginx。

安装 Certbot

Certbot 是一个非常简单方便的工具，它可以帮助我们生成 SSL 证书，自动更新 SSL 证书，并且将证书配置到 Web 服务上。

可以运行以下命令，从 EPEL 仓库中安装 Certbot：

sudo yum install certbot

生成 Dh (Diffie-Hellman) 组

Diffie–Hellman 密匙交换是一种可以在不安全的通信信道上安全交换密钥的方法。

现在运行以下命令，可以来生成一个新的 2048 位的 DH 参数：

sudo openssl dhparam -out /etc/ssl/certs/dhparam.pem 2048

2048 位，生成时间大概 3-5 分钟左右。当然，如果您愿意也可以将大小改为 4096 位，但是这样的话，可能生成的时间至少需要花费 30 分钟，此操作具体时长取决于系统熵。

生成 SSL 证书

要生成域名的 SSL 证书，我们将使用 Webroot 插件在 ${webroot-path}/.well-known/acme-challenge 目录中创建临时文件来验证请求的域名。Let's Encrypt 服务器会向临时文件发出 HTTP 请求，以验证请求的域名是否被正确的解析到了正在运行 Certbot 的服务器。

为了简便，我们将把所有访问 .well-known/acme-challenge 的 HTTP 请求都映射到 /var/lib/letsencrypt 这个目录中。

下面的命令将会创建这个目录，并且使 Nginx 对它拥有读写的权限。

sudo mkdir -p /var/lib/letsencrypt/.well-known
sudo chgrp nginx /var/lib/letsencrypt
sudo chmod g+s /var/lib/letsencrypt

创建代码片段

为了避免 Nginx 配置文件中存在重复的代码，请创建以下两个代码片段（里面是 Nginx 的配置代码），我们将在相关的 Nginx 配置文件中包含这些片段：

1、首先，创建一个目录，用于存放 Nginx 配置的代码片段文件：

sudo mkdir /etc/nginx/snippets

2、创建第一个片段文件， letsencrypt.conf，其全路径为： /etc/nginx/snippets/letsencrypt.conf

location ^~ /.well-known/acme-challenge/ {
  allow all;
  root /var/lib/letsencrypt/;
  default_type "text/plain";
  try_files $uri =404;
}

3、创建第二个片段文件，ssl.conf，其全路径为： /etc/nginx/snippets/ssl.conf

ssl_dhparam /etc/ssl/certs/dhparam.pem;

ssl_session_timeout 1d;
ssl_session_cache shared:SSL:50m;
ssl_session_tickets off;

ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_ciphers 'ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA:ECDHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA256:DHE-RSA-AES256-SHA:ECDHE-ECDSA-DES-CBC3-SHA:ECDHE-RSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:DES-CBC3-SHA:!DSS';
ssl_prefer_server_ciphers on;

ssl_stapling on;
ssl_stapling_verify on;
resolver 8.8.8.8 8.8.4.4 valid=300s;
resolver_timeout 30s;

add_header Strict-Transport-Security "max-age=15768000; includeSubdomains; preload";
add_header X-Frame-Options SAMEORIGIN;
add_header X-Content-Type-Options nosniff;

上面的代码中包含 Mozilla 的推荐部分。支持 OCSP Stapling，HTTP 严格传输安全（HSTS）并强制执行几个以安全为中心的 HTTP 头。

加载 letsencrypt.conf

代码片段创建完成之后，就可以打开 Nginx 的域名独立配置文件，将 letsencrypt.conf 文件引入。

在这里，我们的域名是 kaifazhinan.com ，所以我们的配置文件为 kaifazhinan.com.conf，文件的全路径为 /etc/nginx/conf.d/kaifazhinan.com.conf。

server {
  listen 80;
  server_name kaifazhinan.com www.kaifazhinan.com;

  include snippets/letsencrypt.conf;
}

注意： 我们建议针对不同的域名，创建不同的独立配置文件。这样会比较清晰，便于管理和查找对应的配置。

Nginx 的主配置文件中有一行代码是 include /etc/nginx/conf.d/*.conf，这行代码的意思就是加载 /etc/nginx/conf.d/ 目录下所有以 .conf 结尾的配置文件，所以我们直接将独立的配置文件保存在 /etc/nginx/conf.d/ 目录下就会自动引入。

生成证书

重新加载 Nginx 配置使更改生效：

sudo systemctl reload nginx

你现在可以运行 Certbot 使用 Webroot 插件，为你的域名生成 SSL 证书：

sudo certbot certonly --agree-tos --email admin@kaifazhinan.com --webroot -w /var/lib/letsencrypt/ -d kaifazhinan.com -d www.kaifazhinan.com

注意： 记得将 admin@kaifazhinan.com 换成你自己的邮箱，还有 kaifazhinan.com 和 www.kaifazhinan.com 换成你的域名。

如果成功的生成了 SSL 证书，那么 Certbot 将打印类似以下的内容：

IMPORTANT NOTES:
 - Congratulations! Your certificate and chain have been saved at:
   /etc/letsencrypt/live/kaifazhinan.com/fullchain.pem
   Your key file has been saved at:
   /etc/letsencrypt/live/kaifazhinan.com/privkey.pem
   Your cert will expire on 2019-02-11. To obtain a new or tweaked
   version of this certificate in the future, simply run certbot
   again. To non-interactively renew *all* of your certificates, run
   "certbot renew"
 - If you like Certbot, please consider supporting our work by:

   Donating to ISRG / Let's Encrypt:   https://letsencrypt.org/donate
   Donating to EFF:                    https://eff.org/donate-le

配置 Nginx

现在你已经成功生成了 SSL 证书，现在可以修改 Nginx 的域名配置了，这里我们的域名是配置文件是 kaifazhinan.com.conf，文件的全路径是 /etc/nginx/conf.d/kaifazhinan.com.conf：

server {
    listen 80;
    server_name www.kaifazhinan.com kaifazhinan.com;

    include snippets/letsencrypt.conf;
    return 301 https://$host$request_uri;
}

server {
    listen 443 ssl http2;
    server_name www.kaifazhinan.com;

    ssl_certificate /etc/letsencrypt/live/kaifazhinan.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/kaifazhinan.com/privkey.pem;
    ssl_trusted_certificate /etc/letsencrypt/live/kaifazhinan.com/chain.pem;
    include snippets/ssl.conf;
    include snippets/letsencrypt.conf;

    return 301 https://kaifazhinan.com$request_uri;
}

server {
    listen 443 ssl http2;
    server_name kaifazhinan.com;

    ssl_certificate /etc/letsencrypt/live/kaifazhinan.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/kaifazhinan.com/privkey.pem;
    ssl_trusted_certificate /etc/letsencrypt/live/kaifazhinan.com/chain.pem;
    include snippets/ssl.conf;
    include snippets/letsencrypt.conf;

    # 如果有补充的配置，可以写在这里
}

上面的代码，我们将 HTTP 的请求重定向到了 HTTPS，将 www.kaifazhinan.com 重定向到了 kaifazhinan.com 上。

最后，通过下面的命令，重新加载 Nginx，使上面的配置生效：

sudo systemctl reload nginx

自动更新 Let’s Encrypt SSL 证书

Let’s Encrypt 颁发的 SSL 证书有效时间是 90 天。我们需要在证书过期之前自动续订证书，这里将创建一个每天运行两次的定时任务，并在证书到期前 30 天自动续订。

通过运行 crontab 命令，来创建一个定时任务：

sudo crontab -e

上面的命令，会自动创建一个文件，并自动进入编辑状态，所以直接复制下面的内容粘贴到里面即可：

0 */12 * * * root test -x /usr/bin/certbot -a \! -d /run/systemd/system && perl -e 'sleep int(rand(3600))' && certbot -q renew --renew-hook "systemctl reload nginx"

保存并关闭文件。

如果要测试是否能够正常更新证书，你可以在 certbot 命令后面添加 --dry-run 这个参数来主动触发更新命令。

sudo certbot renew --dry-run

如果没有输出错误，则表示 SSL 证书更新成功。

总结

通过此教程，你学会了：

如何使用 Let’s Encrypt 客户端 Certbot 为你的域名创建了 SSL 证书；
也通过创建 Nginx 的代码片段，来避免 Nginx 配置文件中的代码冗余，并且将 SSL 证书配置到了 Nginx 服务中；
最后，你还创建了一个定时任务，来自动更新你的 SSL 证书，保证它不会过期。

如果你想了解 Certbot 的更多信息，可以参考它的官方文档。

期待下次与你相见 : )

本文首发：开发指南：如何在 CentOS 7 上安装 Nginx

内容总结

以上是互联网集市为您收集整理的如何在 CentOS 7 上生成 SSL 证书为 Nginx 加密全部内容，希望文章能够帮你解决如何在 CentOS 7 上生成 SSL 证书为 Nginx 加密所遇到的程序开发问题。如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。

内容备注

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容，请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。

内容手机端

扫描二维码推送至手机访问。

本文链接：https://qyyshop.com/info/975046.html

来源：【匿名】

【上一篇】nginx的启动，停止和重启【下一篇】apache伪静态转nginx

更多 ►

【如何在 CentOS 7 上生成 SSL 证书为 Nginx 加密】教程文章相关的互联网学习教程文章

nginx中给目录增加密码保护实现程序

一款nginx中给目录增加密码保护实现程序，可以有效的保护一些目录不被访问，有需要的朋友可参考一下。了防止一些可能出现存在漏洞的后台脚本暴露,使用验证的方式保护这些文件所在的目录使用apache的htpasswd工具生成密码yingouqlj@yingouqlj-laptop:~$ htpasswd -b -c filename username passwdAdding password for user ******nginx可以为网站或目录甚至特定的文件设置密码认证。密码必须是crypt加密的。可以用apache的htpasswd来...

nginx虚拟主机配置，nginxSSL加密，代理负载均衡【代码】【图】

Nginx虚拟主机配置配置文件： nginx.conf 主配置文件 vhost.conf 虚拟主机配置文件nginx的主配置文件分为三个部分：1.基础配置部分events配置部分 http配置部分 http配置部分 ##===========基础配置部分================ ##--配置worker进程运行用户 #user nobody; ##--配置工作进程数目，默认为1，通常为cpu的数量或2倍cpu的数量 worker_processes 1; ##--配置全局错误日志及类型，【debug | info | notice | warn | error | ...

nginx-下面这个PHP是源码加密了吗？请问用的什么技术以及如何部署？【图】

之前在Apache上跑的正常（不是我部署的），现在由我切到nginx上，会直接把下面的乱码输出到页面？请问如何解决？回复内容：之前在Apache上跑的正常（不是我部署的），现在由我切到nginx上，会直接把下面的乱码输出到页面？请问如何解决？对没错混淆了，不过小case，比这个更难的都弄过具体怎么部署是根据实际服务器情况和代码情况都有不同，不在现场都不好帮你，你这个是正版还是盗版？不排除后门哦。或者完整源码你贴出来？是不...

nginx的压缩、https加密实现、rewrite、常见盗链配置【图】

Nginx 压缩功能 ngx_http_gzip_module#ngx_http_gzip_module 用gzip方法压缩响应数据，节约带宽#启用或禁用gzip压缩，默认关闭 gzip on | off;#压缩比由低到高从1到9，默认为1 gzip_comp_level level;#禁用IE6 gzip功能 gzip_disable "MSIE [1-6]\.";#gzip压缩的最小文件，小于设置值的文件将不会压缩 gzip_min_length 1k;#启用压缩功能时，协议的最小版本，默认HTTP/1.1 gzip_http_version 1.0 | 1.1;#指定Nginx服务需要向服务器申...

ssl-如何配置让我们在docker映像中为nginx加密证书？【代码】

我知道如何设置为configure let’s encrypt for nginx.我很难配置让我们在docker映像中使用nginx进行加密.我们来加密证书在etc / letsencrypt / live文件夹中的符号链接,而我无权查看/ etc / letsencrypt / archive中的真实证书文件有人可以建议出路吗？解决方法:如果有人遇到此问题,我已经通过将文件夹安装到docker容器中来解决了. >我已经将etc / letsencrypt和etc / ssl文件夹都安装到docker中> Docker具有-vflag来装载卷.不要...

Nginx子域：重定向/.众所周知的加密路径【代码】

我有一个运行有两个子域的Nginx服务器.其中一个使用proxy_pass将所有内容重定向到Meteor应用程序,另一个子域仅使用Laravel,但位于与普通域不同的目录中. 因此,当我启动./letsencrypt-auto时,两个子域都收到以下错误消息：Failed authorization procedure. subdomain.mydomain.com (http-01): urn:acme:error:unauthorized :: The client lacks sufficient authorization :: Invalid response from http://subdomain.mydomain.com/....

nginx-使用certbot应用“加密证书：授权过程失败”【代码】

我正在使用certbot申请“让我们加密”证书,我的服务器是centos 7.2和nginx 1.11.9.下面是什么意思？[root@test ~]# certbot certonly --webroot -w /var/www/www.example.com -d example.com -d www.example.comFailed authorization procedure. example.com (http-01): urn:acme:error:unauthorized :: The client lacks sufficient authorization :: Invalid response from http://example.com/.well-known/acme-ch <head><title...

nginx访问加密权限配置【HttpAuthBasic模块】

官方文档参考：http://www.nginx.cn/doc/standard/httpauthbasic.html 加密的方法：https://www.cnblogs.com/sueyyyy/p/10028092.html htpasswd工具【nodejs版本】:https://github.com/http-auth/htpasswd

nginx配置ssl证书实现https加密请求详解【图】

原文链接：http://www.studyshare.cn/software/details/1175/0 一、加密方式 1、对称加密所谓对称加密即：客户端使用一串固定的秘钥对传输内容进行加密，服务端使用相同的秘钥进行解密。 2、非对称加密 SSL证书（遵守 SSL协议，由受信任的数字证书颁发机构CA，在验证服务器身份后颁发，具有服务器身份验证和数据传输加密功能。是公钥+私钥一对秘钥串）非对称加密即客户端使用公钥对传输内容进行加密，服务端使用私钥对传输内容进...

让’加密 – nginx – OCSP装订【代码】

我想在我的nginx服务器中启用OCSP装订.我正在使用 > nginx版本：nginx / 1.6.2> debian>让我们加密证书我在这件事上真的没有经验,所以这可能是一个微不足道的问题. 这是我的nginx安全配置ssl_protocols TLSv1 TLSv1.1 TLSv1.2;ssl_prefer_server_ciphers on;ssl_session_cache shared:SSL:10m;ssl_dhparam /etc/ssl/private/dhparams_4096.pem;这是我的站点/服务器安全配置：add_header Strict-Transport-Security "max-age=31536...

关于Nginx根据SNI字段匹配对应证书、加密套件支持【图】

背景原因： SSL层其实位于TCP/IP协议层中，应用层和运输层之间，尚未到达HTTP这一层，但是又位于TCP之上。我们知道，Nginx支持在一个IP上服务多个域名，原因就在于，HTTP协议里有一个字段是 Host，通过匹配这个字段的值和 nginx.conf 中各server段的 server_name，Nginx就可以方便的把请求转发到对应的内容服务器上去。但是对于HTTPS却行不通，为什么呢？上面说过，SSL位于HTTP协议和TCP协议之间，也就是说，一个请求到来，在握...

案例：配置apache和nginx的SSL加密传输协议【代码】

一、SSI解释 SSI是一种类似于ASP的基于服务器的网页制作技术。将内容发送到浏览器之前，可以使用“服务器端包含 (SSI）”指令将文本、图形或应用程序信息包含到网页中。例如，可以使用 SSI 包含时间/日期戳、版权声明或供客户填写并返回的表单。对于在多个文件中重复出现的文本或图形，使用包含文件是一种简便的方法。将内容存入一个包含文件中即可，而不必将内容输入所有文件。通过一个非常简单的语句即可调用包含文件，此语句指示...