配置http和tcp支持ssl

Posted 2023-03-17

参考技术A

最近由于apple ATS的关系，公司的所有后台都需要采用安全连接；后台对外的接口主要包括两种形式：

对外服务都是通过nginx进行访问，目前采用的是客户端单向认证服务端，因此只要在nginx进行配置即可：

另外为了提高nginx ssl的性能，可以增加额外的配置项，例如 ssl_session_cache ；

证书和私钥都是PEM格式(文本)，如果是自签名的，可以通过如下方式产生：

由于客户端需要验证服务端，因此需要将证书分发给客户端：

注:ios需要二进制格式的证书，因此需要转换下

注:ios需要BKS格式的证书，和java端的JKS类似，因此需要转换下

tcp是通过haproxy进行配置：

可以通过如下方式产生：

注：server.pem格式为PEM,由证书和私钥组成，服务器发送客户端只会发送证书；实际上nginx也可以把证书和私钥放在一个文件

安装配置好之后,可以通过nmap提供的工具查看服务端的证书和协议版本，算法套装等信息，下图以百度为例:

**注意:nmap提高的脚本，对端口进行了限制，因此如果你的应用的访问端口不是443,需要修改脚本，通常情况下，脚本位于 /usr/share/nmap/scripts ,

Java对SSL,TLS的支持情况，可以参考这篇 文章 ,为避免出现类似情况，需要通过 ssl_ciphers 指令进行相关配置；
另外由于openssl会用到随机数，可以参考这篇 文章 进行配置;

1. 配置https服务器
2. haproxy ssl配置
3. Setting up SSL termination for a TCP upstream
4. Netty ssl
5. ios9之适配ATS