如何在 CentOS 7 上生成 SSL 證書為 Nginx 加密

来源:https://www.cnblogs.com/kaifazhinan/archive/2019/02/24/secure-nginx-with-let-s-encrypt-on-centos-7.html
-Advertisement-
Play Games

Let’s Encrypt 是由 Internet Security Research Group (ISRG) 開發的一個自由、自動化和開放的證書頒發機構。目前幾乎所有的現代瀏覽器都信任由 Let’s Encrypt 頒發的證書。 這個教程，將會一步一步的教你如何在 CentOS 7 上通過 C... ...


本文首發：開髮指南：如何在 CentOS 7 上安裝 Nginx

 

Let’s Encrypt 是由 Internet Security Research Group (ISRG) 開發的一個自由、自動化和開放的證書頒發機構。目前幾乎所有的現代瀏覽器都信任由 Let’s Encrypt 頒發的證書。

這個教程，將會一步一步的教你如何在 CentOS 7 上通過 Certbot 來生成 SSL 安全證書，並配置到 Nginx 上。

開始前的準備

在繼續此教程之前，請確保你已經滿足了以下兩個條件：

  • 請確保你已經擁有了一個屬於你的功能變數名稱，並且已經解析到了你的伺服器 IP 上，在接下來的教程中，我將會用 kaifazhinan.com 作為本教程的功能變數名稱。
  • 請確保你已經啟用了 EPEL 倉庫，並且已經安裝了 Nginx，如果你還沒有安裝 Nginx，你可以先閱讀 如何在 CentOS 7 上安裝 Nginx 這篇文章來安裝 Nginx。

安裝 Certbot

Certbot 是一個非常簡單方便的工具，它可以幫助我們生成 SSL 證書，自動更新 SSL 證書，並且將證書配置到 Web 服務上。

可以運行以下命令，從 EPEL 倉庫中安裝 Certbot：

sudo yum install certbot

生成 Dh (Diffie-Hellman) 組

Diffie–Hellman 密匙交換是一種可以在不安全的通信通道上安全交換密鑰的方法。

現在運行以下命令，可以來生成一個新的 2048 位的 DH 參數：

sudo openssl dhparam -out /etc/ssl/certs/dhparam.pem 2048

2048 位，生成時間大概 3-5 分鐘左右。當然，如果您願意也可以將大小改為 4096 位，但是這樣的話，可能生成的時間至少需要花費 30 分鐘，此操作具體時長取決於系統熵。

生成 SSL 證書

要生成功能變數名稱的 SSL 證書，我們將使用 Webroot 插件在 ${webroot-path}/.well-known/acme-challenge 目錄中創建臨時文件來驗證請求的功能變數名稱。Let's Encrypt 伺服器會向臨時文件發出 HTTP 請求，以驗證請求的功能變數名稱是否被正確的解析到了正在運行 Certbot 的伺服器。

為了簡便，我們將把所有訪問 .well-known/acme-challenge 的 HTTP 請求都映射到 /var/lib/letsencrypt 這個目錄中。

下麵的命令將會創建這個目錄，並且使 Nginx 對它擁有讀寫的許可權。

sudo mkdir -p /var/lib/letsencrypt/.well-known
sudo chgrp nginx /var/lib/letsencrypt
sudo chmod g+s /var/lib/letsencrypt

創建代碼片段

為了避免 Nginx 配置文件中存在重覆的代碼，請創建以下兩個代碼片段（裡面是 Nginx 的配置代碼），我們將在相關的 Nginx 配置文件中包含這些片段：

1、首先，創建一個目錄，用於存放 Nginx 配置的代碼片段文件：

sudo mkdir /etc/nginx/snippets

2、創建第一個片段文件， letsencrypt.conf，其全路徑為： /etc/nginx/snippets/letsencrypt.conf

location ^~ /.well-known/acme-challenge/ {
  allow all;
  root /var/lib/letsencrypt/;
  default_type "text/plain";
  try_files $uri =404;
}

3、創建第二個片段文件，ssl.conf，其全路徑為： /etc/nginx/snippets/ssl.conf

ssl_dhparam /etc/ssl/certs/dhparam.pem;

ssl_session_timeout 1d;
ssl_session_cache shared:SSL:50m;
ssl_session_tickets off;

ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_ciphers 'ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA:ECDHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA256:DHE-RSA-AES256-SHA:ECDHE-ECDSA-DES-CBC3-SHA:ECDHE-RSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:DES-CBC3-SHA:!DSS';
ssl_prefer_server_ciphers on;

ssl_stapling on;
ssl_stapling_verify on;
resolver 8.8.8.8 8.8.4.4 valid=300s;
resolver_timeout 30s;

add_header Strict-Transport-Security "max-age=15768000; includeSubdomains; preload";
add_header X-Frame-Options SAMEORIGIN;
add_header X-Content-Type-Options nosniff;

上面的代碼中包含 Mozilla 的推薦部分。 支持 OCSP Stapling，HTTP 嚴格傳輸安全（HSTS）並強制執行幾個以安全為中心的 HTTP 頭。

載入 letsencrypt.conf

代碼片段創建完成之後，就可以打開 Nginx 的功能變數名稱獨立配置文件，將 letsencrypt.conf 文件引入。

在這裡，我們的功能變數名稱是 kaifazhinan.com ，所以我們的配置文件為 kaifazhinan.com.conf， 文件的全路徑為 /etc/nginx/conf.d/kaifazhinan.com.conf。

server {
  listen 80;
  server_name kaifazhinan.com www.kaifazhinan.com;

  include snippets/letsencrypt.conf;
}

註意： 我們建議針對不同的功能變數名稱，創建不同的獨立配置文件。這樣會比較清晰，便於管理和查找對應的配置。

Nginx 的主配置文件中有一行代碼是 include /etc/nginx/conf.d/*.conf，這行代碼的意思就是載入 /etc/nginx/conf.d/ 目錄下所有以 .conf 結尾的配置文件，所以我們直接將獨立的配置文件保存在 /etc/nginx/conf.d/ 目錄下就會自動引入。

生成證書

重新載入 Nginx 配置使更改生效：

sudo systemctl reload nginx

你現在可以運行 Certbot 使用 Webroot 插件，為你的功能變數名稱生成 SSL 證書：

sudo certbot certonly --agree-tos --email [email protected] --webroot -w /var/lib/letsencrypt/ -d kaifazhinan.com -d www.kaifazhinan.com

註意： 記得將 [email protected] 換成你自己的郵箱，還有 kaifazhinan.com 和 www.kaifazhinan.com 換成你的功能變數名稱。

如果成功的生成了 SSL 證書，那麼 Certbot 將列印類似以下的內容：

IMPORTANT NOTES:
 - Congratulations! Your certificate and chain have been saved at:
   /etc/letsencrypt/live/kaifazhinan.com/fullchain.pem
   Your key file has been saved at:
   /etc/letsencrypt/live/kaifazhinan.com/privkey.pem
   Your cert will expire on 2019-02-11. To obtain a new or tweaked
   version of this certificate in the future, simply run certbot
   again. To non-interactively renew *all* of your certificates, run
   "certbot renew"
 - If you like Certbot, please consider supporting our work by:

   Donating to ISRG / Let's Encrypt:   https://letsencrypt.org/donate
   Donating to EFF:                    https://eff.org/donate-le

配置 Nginx

現在你已經成功生成了 SSL 證書，現在可以修改 Nginx 的功能變數名稱配置了，這裡我們的功能變數名稱是配置文件是 kaifazhinan.com.conf，文件的全路徑是 /etc/nginx/conf.d/kaifazhinan.com.conf：

server {
    listen 80;
    server_name www.kaifazhinan.com kaifazhinan.com;

    include snippets/letsencrypt.conf;
    return 301 https://$host$request_uri;
}

server {
    listen 443 ssl http2;
    server_name www.kaifazhinan.com;

    ssl_certificate /etc/letsencrypt/live/kaifazhinan.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/kaifazhinan.com/privkey.pem;
    ssl_trusted_certificate /etc/letsencrypt/live/kaifazhinan.com/chain.pem;
    include snippets/ssl.conf;
    include snippets/letsencrypt.conf;

    return 301 https://kaifazhinan.com$request_uri;
}

server {
    listen 443 ssl http2;
    server_name kaifazhinan.com;

    ssl_certificate /etc/letsencrypt/live/kaifazhinan.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/kaifazhinan.com/privkey.pem;
    ssl_trusted_certificate /etc/letsencrypt/live/kaifazhinan.com/chain.pem;
    include snippets/ssl.conf;
    include snippets/letsencrypt.conf;

    # 如果有補充的配置，可以寫在這裡
}

上面的代碼，我們將 HTTP 的請求重定向到了 HTTPS，將 www.kaifazhinan.com 重定向到了 kaifazhinan.com 上。

最後，通過下麵的命令，重新載入 Nginx，使上面的配置生效：

sudo systemctl reload nginx

自動更新 Let’s Encrypt SSL 證書

Let’s Encrypt 頒發的 SSL 證書有效時間是 90 天。我們需要在證書過期之前自動續訂證書，這裡將創建一個每天運行兩次的定時任務 ，併在證書到期前 30 天自動續訂。

通過運行 crontab 命令，來創建一個定時任務：

sudo crontab -e

上面的命令，會自動創建一個文件，並自動進入編輯狀態，所以直接複製下麵的內容粘貼到裡面即可：

0 */12 * * * root test -x /usr/bin/certbot -a \! -d /run/systemd/system && perl -e 'sleep int(rand(3600))' && certbot -q renew --renew-hook "systemctl reload nginx"

保存並關閉文件。

如果要測試是否能夠正常更新證書，你可以在 certbot 命令後面添加 --dry-run 這個參數來主動觸發更新命令。

sudo certbot renew --dry-run

如果沒有輸出錯誤，則表示 SSL 證書更新成功。

總結

通過此教程，你學會了：

  • 如何使用 Let’s Encrypt 客戶端 Certbot 為你的功能變數名稱創建了 SSL 證書；
  • 也通過創建 Nginx 的代碼片段，來避免 Nginx 配置文件中的代碼冗餘，並且將 SSL 證書配置到了 Nginx 服務中；
  • 最後，你還創建了一個定時任務，來自動更新你的 SSL 證書，保證它不會過期。

如果你想瞭解 Certbot 的更多信息，可以參考它的官方文檔。

期待下次與你相見 : )

本文首發：開髮指南：如何在 CentOS 7 上安裝 Nginx


您的分享是我們最大的動力!

-Advertisement-
Play Games
更多相關文章
  • C#如何根據類的名詞創建類的實例
    這個大概分為兩種情況：1-在同一程式集訪問該類；2-在不同的程式集訪問 A：同一程式集，使用微軟的創建對象的類：System.Activator： 先通過類名，獲取到類型，在使用用於創建本地或遠程對象的Activator類創建類型的實例： B：不同的程式集（同一程式集也可用）：微軟的程式集抽象類提供 ...
  • 在ASP.NET Core中使用EPPlus導入出Excel文件
    這篇文章說明瞭如何使用EPPlus在ASP.NET Core中導入和導出.xls/.xlsx文件（Excel）。在考慮使用.NET處理excel時，我們總是尋找第三方庫或組件。使用Open Office Xml格式（xlsx）讀取和寫入Excel 2007/2010文件的最流行的.net庫之一是EP ...
  • 簡單的C# Socket通信實例
    一、套接字（socket）概念 套接字（socket）是通信的基石，是支持TCP/IP協議的網路通信的基本操作單元。它是網路通信過程中端點的抽象表示，包含進行網路通信必須的五種信息：連接使用的協議，本地主機的IP地址，本地進程的協議埠，遠地主機的IP地址，遠地進程的協議埠。 應用層通過傳輸層進行 ...
  • 單片機爬坑記-04-編譯環境（續）
    （VSCode是最好的編輯器，沒有之一！嗯，就是這樣！） TI的處理器，官方庫是很豐富的，不論官方庫是否混亂、是否難理解，豐富多樣這一點就足夠吸引人，以至於總想著在VSCode里順利地操著官方庫來寫代碼。 前文提過，在VSCode下有兩種擴展插件可以盤弄TI的單片機開發，分別是“PlatformIO ...
  • 訪問System x3650 IMM2的幾種方式
    一、通過web瀏覽器訪問 1、打開瀏覽器，在地址欄上輸入IMM2的IP地址訪問，打開登錄頁面後，輸入用戶名和密碼 登錄 PS：第一次登錄IMM2時，初始的用戶名為USERID，密碼為PASSW0RD(零，不是字母O)。在初始配置期間更改此用戶名和密碼，以增強安全性。 二、通過IPMI 管理工具：IP ...
  • centos 6.5下安裝nmap工具及簡單用法
    Nmap是一款針對大型網路的埠掃描工具,被廣泛應用於黑客領域做漏洞探測以及安全掃描，其主要功能有主機發現（Host Discovery）、 埠掃描（Port Scanning）、 版本偵測（Version Detection） 、操作系統偵測（Operating System Detection ...
  • 使用TensorRT加速yolo3
    一、TensorRT支持的模型： TensorRT 直接支持的model有ONNX、Caffe、TensorFlow，其他常見model建議先轉化成ONNX。總結如下： 1 ONNX(.onnx) 2 Keras(.h5) --> ONNX(.onnx) (https://github.com/on ...
  • zabbix監控配置
    添加主機與主機組 1. 進入web頁面，在 配置 主機群組，新建主機群組 2. 在 配置 主機，新建主機 在可見的名稱中建議填寫為類似 主機類型 主機名 IP或功能變數名稱 的格式，如Web Hyrule001 192.168.233.247 在 群組 中選擇之前新建的群組 agent代理程式的介面 填寫a ...
一周排行
    -Advertisement-
    Play Games
  • 移動開發（一）：使用.NET MAUI開發第一個安卓APP
    移動開發（一）：使用.NET MAUI開發第一個安卓APP 對於工作多年的C#程式員來說，近來想嘗試開發一款安卓APP，考慮了很久最終選擇使用.NET MAUI這個微軟官方的框架來嘗試體驗開發安卓APP，畢竟是使用Visual Studio開發工具，使用起來也比較的順手，結合微軟官方的教程進行了安卓 ...
  • wpf ToggleButton選中效果和一個登錄界面
    前言 QuestPDF 是一個開源 .NET 庫，用於生成 PDF 文檔。使用了C# Fluent API方式可簡化開發、減少錯誤並提高工作效率。利用它可以輕鬆生成 PDF 報告、發票、導出文件等。 項目介紹 QuestPDF 是一個革命性的開源 .NET 庫，它徹底改變了我們生成 PDF 文檔的方 ...
  • 彈幕樹洞項目功能新增篇
    項目地址 項目後端地址： https://github.com/ZyPLJ/ZYTteeHole 項目前端頁面地址： ZyPLJ/TreeHoleVue (github.com) https://github.com/ZyPLJ/TreeHoleVue 目前項目測試訪問地址： http://tree ...
  • 第27篇 sqlserver2022詳細安裝步驟
    話不多說，直接開乾 一.下載 1.官方鏈接下載： https://www.microsoft.com/zh-cn/sql-server/sql-server-downloads 2.在下載目錄中找到下麵這個小的安裝包 SQL2022-SSEI-Dev.exe，運行開始下載SQL server； 二. ...
  • .NET 開源高性能 MQTT 類庫
    前言 隨著物聯網（IoT）技術的迅猛發展，MQTT（消息隊列遙測傳輸）協議憑藉其輕量級和高效性，已成為眾多物聯網應用的首選通信標準。 MQTTnet 作為一個高性能的 .NET 開源庫，為 .NET 平臺上的 MQTT 客戶端與伺服器開發提供了強大的支持。 本文將全面介紹 MQTTnet 的核心功能 ...
  • Serilog文檔翻譯系列（六） - 可用的接收器、增強器、格式化輸出
    Serilog支持多種接收器用於日誌存儲，增強器用於添加屬性，LogContext管理動態屬性，支持多種輸出格式包括純文本、JSON及ExpressionTemplate。還提供了自定義格式化選項，適用於不同需求。 ...
  • 警惕 Visual Studio 屬性求值副作用導致邏輯不符合預期
    目錄簡介獲取 HTML 文檔解析 HTML 文檔測試參考文章 簡介 動態內容網站使用 JavaScript 腳本動態檢索和渲染數據，爬取信息時需要模擬瀏覽器行為，否則獲取到的源碼基本是空的。 本文使用的爬取步驟如下： 使用 Selenium 獲取渲染後的 HTML 文檔 使用 HtmlAgility ...
  • [使用目前最新版]HybridCLR6.9.0+YooAsset2.2.4實現純C# Unity熱更新方案 (一)
    1.前言 什麼是熱更新 游戲或者軟體更新時，無需重新下載客戶端進行安裝，而是在應用程式啟動的情況下，在內部進行資源或者代碼更新 Unity目前常用熱更新解決方案 HybridCLR，Xlua，ILRuntime等 Unity目前常用資源管理解決方案 AssetBundles，Addressable， ...
  • 在 ASP.NET Core Web API 中使用操作篩選器統一處理通用操作
    本文章主要是在C# ASP.NET Core Web API框架實現向手機發送驗證碼簡訊功能。這裡我選擇是一個互億無線簡訊驗證碼平臺，其實像阿裡雲，騰訊雲上面也可以。 首先我們先去 互億無線 https://www.ihuyi.com/api/sms.html 去註冊一個賬號 註冊完成賬號後，它會送 ...
  • 第28篇 如何.net中實現高效可靠數據同步api
    通過以下方式可以高效，並保證數據同步的可靠性 1.API設計 使用RESTful設計，確保API端點明確，並使用適當的HTTP方法（如POST用於創建，PUT用於更新）。 設計清晰的請求和響應模型，以確保客戶端能夠理解預期格式。 2.數據驗證 在伺服器端進行嚴格的數據驗證，確保接收到的數據符合預期格 ...
所有分類