HTTPS自签CA证书 && nginx配置https服务

Posted 2020-11-19 K.Takanashi

　　首先，搭建https服务肯定需要一个https证书。这个证书可以看做是一个应用层面的证书。之所以这么说是因为https证书是基于CA证书生成的。对于正式的网站，CA证书需要到有资质的第三方证书颁发机构去申请获取。对于我们自建的一些小项目，可以使用自己的服务器自签CA证书。这类证书构建出来的HTTPS服务在访问的时候浏览器会发出不可信任的警告，对于自身项目无视即可。

　　参考文：【https://blog.csdn.net/xizaihui/article/details/53178897】

■　　自签CA证书

　　以下命令（包括自签CA证书以及HTTPS证书签名的所有命令）都可在同一个目录下完成。

　　1. 生成CA私钥

　　# openssl genrsa -des3 -out ca.key 2048

　　此命令应该会要求你输入一个ca.key对应的加密密码。输入后密码需要记下来后面还要用。

　　2. 生成不加密的CA私钥（可不做）

　　# openssl genrsa -out ca_decrypted.key 2048

　　3. 生成CA公钥即CA根证书

　　# openssl req -new -x509 -days 3650 -key ca.key -out ca.crt

　　输入命令后应该会需要你输入一些证书相关的周边信息。比如证书颁发机构所在地址，机构名称等等。这里可以都直接回车不填，唯一需要注意的是Common Name那一栏。为了后面操作顺利，按照我现有的实践将这里填写主机名或者主机IP。

 

■　　生成HTTPS证书并且用CA证书签名

　　在生成HTTPS证书的时候需要明确主机名或者主机IP，也就是上面生成CA根证书时输入的那玩意儿。

　　1. 生成HTTPS证书私钥

　　# openssl genrsa -des3 -out xxxx.pem 1024

　　这里的xxxx指的就是上面说的主机名或者主机IP。下面类似不重复说明了

　　2. 生成不加密的https主机证书私钥（可不做）

　　# openssl rsa -in xxxx.pem -out xxxx.key

　　3. 生成签名请求

　　# openssl req -new -key xxxx.pem -out xxxx.csr

　　4. 用CA进行签名

　　# openssl ca -policy policy_anything -days 3650 -cert ca.crt -keyfile ca.key -in xxxx.csr -out xxxx.crt

　　其中，policy参数允许签名的CA和网站证书可以有不同的国家、地名等信息，days参数则是签名时限。

 

　　在签名的时候很可能会碰到

　　I am unable to access the /etc/pki/CA/newcerts directory
　　/etc/pki/CA/newcerts: Permission denied

　　的错误。这主要是因为当前执行签名的用户不是root而openssl默认需要将CA相关的一些信息文件放到/etc/pki/CA这个root权限的目录下。要解决这个问题，可以用root用户修改/etc/pki/tls/openssl.cnf文件中的dir配置项。这个配置默认值是/etc/pki/CA，只要改成./CA即可。

　　然后还要回到之前在生成https证书的目录下，进行如下操作

　　# mkdir -p CA/newcerts

　　# touch CA/index.txt

　　# echo ‘01‘ > CA/serial

 

　　之后再次运行刚才CA签名的命令。

 

■　　配置nginx

　　在nginx的server配置块中（或者新建一个server配置块）修改或新增如下：

listen 443;
ssl on;
ssl_certificate /path/to/xxxx.crt;
ssl_certificate_key /path/to/xxxx.key;
keepalive_timeout 70;

 

　　最后一项据说是优化项，可加可不加。

　　还有两个优化项可以加入到http{}配置块中：

ssl_session_cache shared:SSL:10m;
ssl_session_timeout 10m;

 

　　修改完成之后可以使用nginx -t命令检查配置文件格式是否正确。

 

　　如果报错说unknown directive ssl什么的话，主要是因为nginx当时编译安装的时候没有将ssl部分的模块编译装进去。解决的办法是找到当时nginx源码包的目录（或者新下载一个也行）

　　进入后./configure --with-http_ssl_module重新编译，然后make。注意不要make install,，此时如果make install会把当前nginx以及相关配置文件都覆盖掉！

　　然后将源码包目录下的objs/nginx可执行文件替换系统中目前的nginx可执行文件。（注意备份）

　　之后在nginx -t应该就可以了。