全站HTTPS簡單實踐

第一個里程碑：創建https證書

[root@web01 backup]#  openssl req -new -x509 -nodes -out server.crt -keyout server.key

Generating a 2048 bit RSA private key
......................................................+++
...................................+++

writing new private key to 'server.key'
-----
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [XX]:CH        #國家名稱  
State or Province Name (full name) []:bj       #省  
Locality Name (eg, city) [Default City]:bj     #市   
Organization Name (eg, company) [Default Company Ltd]:ZNIX   #組織名稱
Organizational Unit Name (eg, section) []:ZNIX   #組織名稱
Common Name (eg, your name or your server's hostname) []:ZNIX  #服務器名稱
Email Address []:[e-mail]    #郵箱

查看產生的證書

[root@web01 backup]# ls
server.crt  server.key

生成的密鑰文件
[root@web01 backup]# ll
total 8
-rw-r--r-- 1 root root 1375 Nov  6 14:07 server.crt
-rw-r--r-- 1 root root 1704 Nov  6 14:07 server.key

openssl參數說明

參數	參數說明
req	PKCS#10 X.509 Certificate Signing Request (CSR)Management. PKCS＃10 X.509證書簽名請求（CSR）管理。
x509	X.509 Certificate Data Management.  X.509證書數據管理。

第二個里程碑：修改nginx配置文件

[root@web01 ~]# cat  /application/nginx/conf/extra/www.conf
server {
    listen       443 ssl;
    server_name  www.nmtui.com;
    ssl_certificate      /application/nginx/key/server.crt;
    ssl_certificate_key  /application/nginx/key/server.key;
    ssl_session_cache    shared:SSL:1m;
    ssl_session_timeout  5m;
    ssl_ciphers  HIGH:!aNULL:!MD5;
    ssl_prefer_server_ciphers  on;    

    location / {
        root   html/www;
        index  index.php ;
    }
    location ~* .*\.(php|php5)?$ {
                root html/www;
                fastcgi_pass  127.0.0.1:9000;
                fastcgi_index index.php;
                include fastcgi.conf;
    }
    access_log  logs/access_www.log  main;
}

模塊參數說明

模塊名稱	說明
ssl_prefer_server_ciphers	指定在使用SSLv3和TLS協議時，服務器密碼應優先於客戶端密碼。
ssl_ciphers	指定啟用的密碼。密碼以OpenSSL庫理解的格式指定
ssl_session_timeout	指定客戶端可以重新使用會話參數的時間。
ssl_session_cache	設置存儲會話參數的高速緩存的類型和大小。
ssl_certificate	指定file具有給定虛擬服務器的PEM格式的證書。如果除了主要證書之外還應該指定中間證書，則應該按照以下順序在同一個文件中指定它們：主要證書首先是中間證書，然后是中間證書。PEM格式的密鑰可以放在同一個文件中。
ssl_certificate_key	指定file給定虛擬服務器的PEM格式的秘密密鑰。

1.1.2 客戶端訪問

1)瀏覽器訪問https://www.nmtui.com 

 2）選擇高級，繼續前往www.nmtui.com（不安全）   由於ssl證書是自己生產的，會有這樣的一個問題。

 3)網站訪問正常。

   這種小綠鎖的ssl，需要購買ssl證書。