前言
在nginx進行https代理的時候是需要配置證書的，通過CA機構獲取的證書是收費的，出於研究測試的話可以通過openssl自己制作證書，使用openssl制作證書如下：
(1)生成CA根證書
(2)生成服務器證書請求
(3)通過CA根證書和服務器證書請求生成服務器證書
服務器證書生成后，便可以在nginx進行配置
openssl介紹
linux上的openssl是一個用於生成密鑰、公鑰，證書，以及進行證書簽名的工具。
生成CA根證書
配置openssl
在使用openssl前，首先需要對openssl進行配置，設置好證書的存放目錄，序列ID等的存放位置，基本上默認的設置都已經做好了，只需要更改一下dir的值就好
vim /etc/ssl/openssl.cnf
然后針對於上圖的所示的文件結構，創建對應的文件目錄和文件
mkdir -pv /etc/pki/CA/{certs,crl,newcerts,private}
touch /etc/pki/CA/{serial,index.txt}
使用tree 命令查看目錄結構如下所示:
woder@woder-pc:/etc$ tree /etc/pki
/etc/pki
├── CA
│ ├── certs (已頒發的證書保存目錄)
│ ├── crl (證書撤銷列表存放目錄)
│ ├── index.txt (數據庫索引文件，記錄着一些已簽署的證書信息)
│ ├── newcerts (新簽署證書的保存目錄)
│ ├── private (存放CA私鑰的目錄)
│ └── serial （當前證書序列號）
指定證書編號
根證書是用來生成服務器證書的，證書之間是存在鏈式關系，當信任根證書時，由其衍生出來的證書都會被信任。
從根證書開始每一個證書都有一個對應的編號，是通過serial的值來進行維護的，首先指明證書的開始編號
echo 01 >> serial
生成CA私鑰
使用umask 077使得之后生成文件的默認權限為077，使用openssl工具生成 4096位的rsa秘鑰，該秘鑰存放在/etc/pki/CA/private/cakey.pem 中
umask 077; openssl genrsa -out /etc/pki/CA/private/cakey.pem 4096
生成CA證書
使用剛生成的私鑰生成CA證書
req: 這是一個大命令，提供生成證書請求文件，驗證證書，和創建根CA
-new: 表示新生成一個證書請求
-x509: 直接輸出證書
-key: 生成證書請求時用到的私鑰文件
-out：輸出文件
openssl req -new -x509 -key /etc/pki/CA/private/cakey.pem -out /etc/pki/CA/cacert.pem -days 3650
中間會要求輸入地址，郵箱，公司等名字，由於是自頒發，隨便輸入即可。
這個生成CA證書的命令會讓人迷惑，因為生成證書其實一般需要經過三個步驟
1.生成秘鑰 xxx.pem
2.通過秘鑰 xxx.pem 生成證書請求文件 xxx.csr
3.通過證書請求文件 xxx.csr 生成最終的證書 xxx.crt
但是以下的命令將2和3雜糅在了一起
openssl req -new -x509 -key /etc/pki/CA/private/cakey.pem -out /etc/pki/CA/cacert.pem -days 3650
其實等價於
//生成證書請求文件
openssl req -new -out /etc/pki/CA/req.csr -key /etc/pki/CA/private/cakey.pem
// -in 使用證書請求文件生成證書，-signkey 指定私鑰，這是一個還沒搞懂的參數
openssl x509 -req - in /etc/pki/CA/req.csr -out /etc/pki/CA/cacert.pem -signkey /etc/pki/CA/private/cakey.pem -days 3650
4.生成服務端證書
生成服務端私鑰
首先我創建並進入了~/https目錄，然后生成服務端的私鑰
openssl genrsa -out https.pem 4096
生成服務端證書請求
openssl req -new -key https.pem -out https.csr -days 365 -subj "/C=CN/ST=asdf/L=asdf/O=asdf/CN=domainName.com/emailAddress=xxx@foxmail.com"
這里使用-subj 可以預先完成證書請求者信息的填寫，但要注意，填入的信息中C和ST和L和Ｏ一定要與簽署的根證書一樣，如果忘記了根證書亂填了什么，可以通過如下指令進行查詢
openssl x509 -in 根證書的路徑+名字 -noout -subject
生成服務端證書
執行以下命令之后就能得到證書文件https.cert，這就是用於發送給客戶端的證書
openssl ca -in https.csr -out https.crt -days 365
nginx的配置
由於https默認采用443端口，所以此處配置443端口
下載安裝配置nginx
wget http://nginx.org/download/nginx-1.11.3.tar.gz
tar -zfxv nginx-1.11.3.tar,gzpeizhi
cd nginx-1.11.3
./configure --prefix=/usr/local/nginx --with-http_stub_status_module --with-http_ssl_module
make install
進入到配置文件nginx.conf，主要是修改ssl_certificate 和ssl_certificat_key，這兩個就分別放證書和私鑰就好了
使用配置文件啟動nginx后
sudo /usr/sbin/nginx -c /home/woder/download/nginx-1.13.6/conf/nginx.conf
最后在瀏覽器中使用https訪問 localhost，會提示不安全，是因為沒有信任根證書，但說明已經收到了根證書，點擊繼續瀏覽，可以看到nginx的歡迎頁；也可以把根證書通過chrome加以安裝信任
其它
除了服務端證書和CA根證書之外，還有一種類型叫做客戶端證書，這個的作用是用來驗證客戶的身份，在極少數的情況下會用到，比如說網銀限制客戶在某台機器上進行登陸，很久之前銀行提供的u盾的作用就是為了提供客戶端證書而存在的。總之，證書的作用就是用來驗證身份。
參考
使用 openssl 生成證書（含openssl詳解）：https://blog.csdn.net/gengxiaoming7/article/details/78505107
理解服務器證書CA&& SSL: https://blog.csdn.net/weixin_41830501/article/details/81128968
使用openssl生成證書(詳細): https://blog.csdn.net/gengxiaoming7/article/details/78505107
證書的簽發和通信過程: https://www.cnblogs.com/handsomeBoys/p/6556336.html
自簽名根證書和客戶端證書的制作: https://blog.csdn.net/ilytl/article/details/52450334
openssl指令說明： https://www.cnblogs.com/gordon0918/p/5409286.html