1.概要

在nginx進(jìn)行https代理的時(shí)候是需要配置證書的寸宏，通過CA機(jī)構(gòu)獲取的證書是收費(fèi)的歧蒋，出于研究測試的話可以通過openssl自己制作證書土砂，使用openssl制作證書如下：
(1)生成CA根證書
(2)生成服務(wù)器證書請求
(3)通過CA根證書和服務(wù)器證書請求生成服務(wù)器證書
服務(wù)器證書生成后，便可以在nginx進(jìn)行配置

2.openssl介紹

linux上的openssl是一個(gè)用于生成密鑰谜洽、公鑰萝映，證書，以及進(jìn)行證書簽名的工具阐虚。

3.生成CA根證書

3.1配置openssl

在使用openssl前序臂，首先需要對openssl進(jìn)行配置，設(shè)置好證書的存放目錄，序列ID等的存放位置奥秆，基本上默認(rèn)的設(shè)置都已經(jīng)做好了逊彭，只需要更改一下dir的值就好

vim /etc/ssl/openssl.cnf

image.png

然后針對于上圖的所示的文件結(jié)構(gòu)，創(chuàng)建對應(yīng)的文件目錄和文件

mkdir -pv /etc/pki/CA/{certs,crl,newcerts,private}
touch /etc/pki/CA/{serial,index.txt}

使用tree 命令查看目錄結(jié)構(gòu)如下所示:

woder@woder-pc:/etc$ tree /etc/pki
/etc/pki
├── CA
│   ├── certs          (已頒發(fā)的證書保存目錄)
│   ├── crl              (證書撤銷列表存放目錄)
│   ├── index.txt     (數(shù)據(jù)庫索引文件构订，記錄著一些已簽署的證書信息)
│   ├── newcerts    (新簽署證書的保存目錄)
│   ├── private        (存放CA私鑰的目錄)
│   └── serial        （當(dāng)前證書序列號）

3.2指定證書編號

根證書是用來生成服務(wù)器證書的侮叮，證書之間是存在鏈?zhǔn)疥P(guān)系，當(dāng)信任根證書時(shí)悼瘾，由其衍生出來的證書都會(huì)被信任囊榜。
從根證書開始每一個(gè)證書都有一個(gè)對應(yīng)的編號，是通過serial的值來進(jìn)行維護(hù)的亥宿，首先指明證書的開始編號

echo 01 >> serial

3.3生成CA私鑰

使用umask 077使得之后生成文件的默認(rèn)權(quán)限為077卸勺，使用openssl工具生成 4096位的rsa秘鑰，該秘鑰存放在/etc/pki/CA/private/cakey.pem 中

umask 077; openssl genrsa -out /etc/pki/CA/private/cakey.pem 4096

image.png

3.4生成CA證書

使用剛生成的私鑰生成CA證書
req: 這是一個(gè)大命令烫扼，提供生成證書請求文件孔庭，驗(yàn)證證書，和創(chuàng)建根CA
-new: 表示新生成一個(gè)證書請求
-x509: 直接輸出證書
-key: 生成證書請求時(shí)用到的私鑰文件
-out：輸出文件

openssl req -new -x509 -key /etc/pki/CA/private/cakey.pem -out /etc/pki/CA/cacert.pem -days 3650

中間會(huì)要求輸入地址材蛛，郵箱圆到，公司等名字，由于是自頒發(fā)卑吭，隨便輸入即可芽淡。

image.png

這個(gè)生成CA證書的命令會(huì)讓人迷惑，因?yàn)樯勺C書其實(shí)一般需要經(jīng)過三個(gè)步驟
1.生成秘鑰 xxx.pem
2.通過秘鑰 xxx.pem 生成證書請求文件 xxx.csr
3.通過證書請求文件 xxx.csr 生成最終的證書 xxx.crt
但是以下的命令將2和3雜糅在了一起

openssl req -new -x509 -key /etc/pki/CA/private/cakey.pem -out /etc/pki/CA/cacert.pem -days 3650

其實(shí)等價(jià)于

//生成證書請求文件
openssl req -new -out /etc/pki/CA/req.csr -key /etc/pki/CA/private/cakey.pem
// -in 使用證書請求文件生成證書豆赏，-signkey 指定私鑰挣菲，這是一個(gè)還沒搞懂的參數(shù)
openssl x509 -req - in /etc/pki/CA/req.csr -out /etc/pki/CA/cacert.pem -signkey /etc/pki/CA/private/cakey.pem -days 3650

4.生成服務(wù)端證書

4.1生成服務(wù)端私鑰

首先我創(chuàng)建并進(jìn)入了~/https目錄，然后生成服務(wù)端的私鑰

openssl genrsa -out https.pem 4096

image.png

4.2生成服務(wù)端證書請求

openssl req -new -key https.pem -out https.csr -days 365 -subj "/C=CN/ST=asdf/L=asdf/O=asdf/CN=domainName.com/emailAddress=xxx@foxmail.com"

image.png

這里使用-subj 可以預(yù)先完成證書請求者信息的填寫掷邦，但要注意白胀，填入的信息中C和ST和L和Ｏ一定要與簽署的根證書一樣，如果忘記了根證書亂填了什么抚岗，可以通過如下指令進(jìn)行查詢

openssl x509 -in 根證書的路徑+名字 -noout -subject

4.3生成服務(wù)端證書

執(zhí)行以下命令之后就能得到證書文件https.cert或杠，這就是用于發(fā)送給客戶端的證書

openssl ca -in https.csr -out https.crt -days 365

image.png

5 nginx的配置

由于https默認(rèn)采用443端口，所以此處配置443端口

5.1下載安裝配置nginx

wget http://nginx.org/download/nginx-1.11.3.tar.gz 
tar -zfxv nginx-1.11.3.tar,gzpeizhi
cd nginx-1.11.3
./configure --prefix=/usr/local/nginx --with-http_stub_status_module --with-http_ssl_module
make install

進(jìn)入到配置文件nginx.conf宣蔚，主要是修改ssl_certificate 和ssl_certificat_key向抢，這兩個(gè)就分別放證書和私鑰就好了

image.png

使用配置文件啟動(dòng)nginx后

sudo /usr/sbin/nginx -c /home/woder/download/nginx-1.13.6/conf/nginx.conf 

最后在瀏覽器中使用https訪問 localhost，會(huì)提示不安全胚委，是因?yàn)闆]有信任根證書挟鸠，但說明已經(jīng)收到了根證書，點(diǎn)擊繼續(xù)瀏覽亩冬，可以看到nginx的歡迎頁艘希；也可以把根證書通過chrome加以安裝信任

image.png

其它

除了服務(wù)端證書和CA根證書之外，還有一種類型叫做客戶端證書，這個(gè)的作用是用來驗(yàn)證客戶的身份覆享，在極少數(shù)的情況下會(huì)用到鸠姨，比如說網(wǎng)銀限制客戶在某臺(tái)機(jī)器上進(jìn)行登陸，很久之前銀行提供的u盾的作用就是為了提供客戶端證書而存在的淹真⊙惹ǎ總之，證書的作用就是用來驗(yàn)證身份核蘸。

參考

使用 openssl 生成證書（含openssl詳解）：https://blog.csdn.net/gengxiaoming7/article/details/78505107
理解服務(wù)器證書CA&& SSL: https://blog.csdn.net/weixin_41830501/article/details/81128968
使用openssl生成證書(詳細(xì)): https://blog.csdn.net/gengxiaoming7/article/details/78505107
證書的簽發(fā)和通信過程: https://www.cnblogs.com/handsomeBoys/p/6556336.html
自簽名根證書和客戶端證書的制作: https://blog.csdn.net/ilytl/article/details/52450334
openssl指令說明： https://www.cnblogs.com/gordon0918/p/5409286.html