Nginx配置https原理及实现过程详解
使用linux实用工具certbot来生成https证书
这个工具是生成Let'sEncrypt证书，
Let'sEncrypt数字证书认证机构,Let'sEncrypt是由互联网安全研究小组（ISRG，一个公益组织）提供的服务
提供免费的SSL/TLS证书
2015年12月3日，该服务进入公测阶段，正式面向公众。
2016年4月12日，该项目正式离开Beta阶段。
到2016年9月9日，Let'sEncrypt已经发放1000万张证书。
因此对于大部分中小型网站来说，是一个值得考虑的选择。
https配置的步骤
1打开https://certbot.eff.org/选择对应操作系统与Web服务器
这里我选择nginx服务器，CentOS7服务器上
2执行命令，并根据需要修改相应域名参数。
certbot要通过yum安装，certbot被打包到epel源中，
所以安装启动epel库，安装epel源查看链接
https://fedoraproject.org/wiki/EPEL#How_can_I_use_these_extra_packages.3F
启动epel源，可以使用手动自己启动epel，也可以借助yum-config-manager命令来启动
安装yum-config-manager
yum-yinstallyum-utils
启动epel
yum-config-manager--enablerhui-REGION-rhel-server-extrasrhui-REGION-rhel-server-optional
3安装certbot
sudoyuminstallcertbotpython2-certbot-nginx
获取证书的两种方式：身份验证器和安装程序
使用webRoot插件进行安装，这个要求你的服务器80端口能够正常被访问到（这个域名是属于你的）
webRoot插件通过certonly和--webroot(或者-w)在命令行上执行命令
certbotcertonly-w/var/www/example-dwww.example.com
certbotcertonly-w可以被http访问到的webroot目录-d要配置https的域名名称
上面的/var/www/example表示的是在nginx配置文件中root根节点所指向的根路径
webroot插件的工作原理是为每个请求的域创建一个临时文件${webroot-path}/.well-known/acme-challenge。
然后，Let的加密验证服务器发出HTTP请求，以验证每个请求的域的DNS是否解析为运行certbot的服务器。
访问请求如下
66.133.109.36--[05/Jan/2016:20:11:24-0500]"GET/.well-known/acme-challenge/HGr8U1IeTW4kY_Z6UIyaakzOkyQgPr_7ArlLgtZE8SXHTTP/1.1"20087"-""Mozilla/5.0(compatible;Let'sEncryptvalidationserver;+https://www.letsencrypt.org)"
所以我们服务器需要放通.well-known/acme-challenge这个访问路径
例如，
server
{
listen80;
server_namewww.example.com;
indexindex.html;
root/var/www/example;
。。。
location~/.well-known{
allowall;
}
}
具体的http配置文件
server
{
listen80;
server_namewww.example.com;
indexindex.html;
root/var/www/www.example.com;
location/{
proxy_redirectoff;
proxy_passhttp://localhost:8080;
proxy_set_headerHost$host;
proxy_set_headerX-real-ip$remote_addr;
proxy_set_headerX-Forwarded-For$proxy_add_x_forwarded_for;
}
#error_page404/404.html;
location/nginx_status
{
#stub_statuson;
#access_logoff;
}
location~/.well-known{
allowall;
}
location~/\.
{
denyall;
}
access_log/data/log/nginx//var/www/www.example.com/-access.log;
error_log/data/log/nginx//var/www/www.example.com/-error.log;
}
执行完命令后，https证书就会生成在/etc/letsencrypt/live目录下
certbotcertonly-w/var/www/example-dwww.example.com
比如上面的命令会生成证书/etc/letsencrypt/live/www.example.com/fullchain.pem
生成证书密钥文件/etc/letsencrypt/live/www.example.com/privkey.pem
然后我们只需要为该域名加上https配置，我们nginx就配置完成https
https对应443端口
具体https配置文件
server
{
listen443sslhttp2;
#listen[::]:443sslhttp2;
server_namewww.example.com;
indexindex.htmlindex.htmindex.phpdefault.htmldefault.htmdefault.php;
root/var/www/www.example.com/;
sslon;
ssl_certificate/etc/letsencrypt/live/www.example.com/fullchain.pem;
ssl_certificate_key/etc/letsencrypt/live/www.example.com/privkey.pem;
location/{
proxy_redirectoff;
proxy_passhttp://localhost:8080;
proxy_set_headerHost$host;
proxy_set_headerX-real-ip$remote_addr;
proxy_set_headerX-Forwarded-For$proxy_add_x_forwarded_for;
}
#error_page404/404.html;
includeenable-php-pathinfo.conf;
location~/.well-known{
allowall;
}
location~/\.
{
denyall;
}
access_log/data/log/nginx/www.example.com-ssl-access.log;
error_log/data/log/nginx/www.example.com-ssl-error.logs;
}
查看生产的证书
tree/etc/letsencrypt/live/
证书续签
Let'sEncrypt生成的免费证书为3个月时间，但是我们可以无限次续签证书
certbotrenew
使用定时器来自动重新生成证书
00,12***python-c'importrandom;importtime;time.sleep(random.random()*3600)'&&certbotrenew
centos6使用
1获取certbot客户端
wgethttps://dl.eff.org/certbot-auto
chmoda+xcertbot-auto
2停止nginx
servicenginxstop
3生成证书
./certbot-autocertonly--standalone--email`你的邮箱地址`-d`你的域名地址`
当前网站有多个域名时需在后面增加，例如
./certbot-autocertonly--standalone--email`你的邮箱地址`-d`你的域名1`-d`你的域名2`
以上就是本文的全部内容，希望对大家的学习有所帮助，也希望大家多多支持毛票票。