Openssl自簽證書|Nginx配置全站HTTPS，包括WSS（websocket）

一.生成自簽證書
如果有購買證書的，可忽略此步驟。

生成方法一：

openssl genrsa -des3 -out ca.key 1024
openssl rsa -in ca.key -out ca.key.nopass
openssl req -new -key ca.key.nopass -out server.csr
openssl x509 -req -days 365 -in server.csr -signkey ca.key.nopass -out server.crt

生成方法二：

1. 建立CA密鑰
   創建密鑰

openssl genrsa -des3 -out ca.key 1024

2.利用CA密鑰自簽署CA證書

openssl req -new -x509 -days 3650 -key ca.key -out ca.crt

3.生成(eg服務器端的)私鑰(key文件)

openssl genrsa -des3 -out server.key 1024

4.用server.key生成一個證書

 openssl req -new -key server.key -out server.csr

5.用CA的證書為生成的server.csr文件簽名

openssl ca -in server.csr -out server.crt -cert ca.crt -keyfile ca.key

6.證書撤銷
不需要吊銷證書的，可不必執行此步驟。

openssl ca -keyfile ca.key -cert ca.crt -revoke server.crt

這時數據庫被更新證書被標記上撤銷的標志，需要生成新的證書撤銷列表：

openssl ca -gencrl -keyfile ca.key -cert ca.crt -out test.crl

查看證書撤銷列表：

openssl crl -noout -text -in crl/test.crl

二.配置HTTPS
/mnt/cert/xxx 為證書 存放路徑，自行更正。

listen       80;
listen       443 ssl;
ssl_certificate /mnt/cert/xxx/server.crt;#你的證書位置
ssl_certificate_key /mnt/cert/xxx/ca.key;
ssl_session_timeout 5m;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:HIGH:!aNULL:!MD5:!RC4:!DHE;
ssl_prefer_server_ciphers on;

三.強制http跳轉https
強制http請求跳轉到https上，可以配置兩個server，然后進行301跳轉。這里通過判斷域名的方式，更直接簡單。

if ($scheme = 'http') {
	return 301 https://$host$request_uri;
}

四.配置wss（websocket）
給websocket長連接請求增加上tls保護，使其原本的ws變成wss。

這里和http請求配置tls基本一致，需要在其基礎上增加http協議頭參數，如下：

location /wsapp/ {
    proxy_pass http://wsbackend;
    proxy_http_version 1.1;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection "Upgrade";
}

如果不增加如上參數，反向代理時原本的websocket請求就當做http請求反饋給后端，導致無法定位到具體資源。從而致使前端收到響應404.