NGINX 設定 SSL 雙向認證-PHP开发-PHP中文網

首頁

php教程

PHP开发

NGINX 設定 SSL 雙向認證

高洛峰

Nov 17, 2016 pm 01:21 PM

nginx

背景

對於NGINX 的HTTPS 配置，通常情況下我們只需要實現服務端認證就行，因為瀏覽器內置了一些受信任的證書頒發機構（CA），服務器端只需要拿到這些機構頒發的證書並配置好，瀏覽器會自行校驗證書的可用性並透過SSL 進行通訊加密。

但特殊情況下我們也需要對客戶端進行驗證，只有受信任的客戶端才能使用服務接口，此時我們就需要啟用雙向認證來達到這個目的，只有當客戶端請求帶了可用的證書才能調通服務端介面。

CA 與自簽名

CA 是權威機構才能做的，並且如果該機構達不到安全標準就會被瀏覽器廠商“封殺”，前不久的沃通、StartSSL 就被 Mozilla、Chrome 封殺了。不過這並不影響我們進行雙向認證配置，因為我們是自建CA 的..

為了方便，我們就在NGINX 的目錄下進行證書相關製作：

cd /etc/nginx
mkdir sslcd ssl

登入後複製

製作CA 私鑰

openssl genrsa -out ca.key 2048

登入後複製

製作CA 根憑證（公鑰）

openssl req -new -x509 -days 3650 -key ca.key -out ca.crt

登入後複製

注意：

Common Name 可以隨意填寫

其他需要填寫的資訊為了避免有誤，都填寫 . 吧

伺服器端憑證

生成請

openssl genrsa -out server.pem 1024
openssl rsa -in server.pem -out server.key

登入後複製

注意：

Common Name 得填寫為訪問服務時的域名，這裡我們用 usb.dev 下面NGINX 配置會用到

其他需要填寫的信息為了避免有誤，都填寫 . 吧（為了和CA 根憑證符合）

用CA 簽發

openssl x509 -req -sha256 -in server.csr -CA ca.crt -CAkey ca.key -CAcreateserial -days 3650 -out server.crt -CAkey ca.key -CAcreateserial -days 3650 -out server.crt🜎

和服務端憑證類似：

注意：

Common Name可以隨意填寫

其他需要填寫的資訊為了避免有誤，都填寫 . 吧（為了和CA 根憑證相符）

至此所需的憑證都弄弄好了，我們可以開始設定NGINX 了。

NGINX

openssl req -new -key server.pem -out server.csr

登入後複製

其中 ssl_client_certificate /etc/nginx/ssl/ca.crt; 的意思是使用 CA 憑證來驗證請求帶的用戶端憑證是否是該 CA 所簽發的。

配置好後就重新載入 NGINX 吧：

server {
    listen       443 ssl;
    server_name  usb.dev;

    access_log off;

    ssl on;
    ssl_certificate /etc/nginx/ssl/server.crt;
    ssl_certificate_key /etc/nginx/ssl/server.key;
    ssl_client_certificate /etc/nginx/ssl/ca.crt;
    ssl_verify_client on;

    location / {
        proxy_pass http://backend$request_uri;
    }
}

登入後複製

好了，下面我們可以開始驗證了。

請求驗證

驗證程序可以選擇在其他機器或是本機，為了能夠解析 usb.dev，還需要設定 /etc/hosts：

service nginx reload

登入後複製

如果用瀏覽器驗證，需要把客戶端憑證成p12 格式的，這裡略過。我們重點是透過 curl 進行驗證：

127.0.0.1 usb.dev

登入後複製

其中 --insecure 是忽略自建 CA 的非權威性。如果你驗證正常那表示你運氣好，因為這裡有個深坑：某些版本的curl 會報錯：

curl --insecure --key client.key --cert client.crt &#39;https://usb.dev&#39;

登入後複製

這些報錯版本的curl 居然要嚴格要求 --cert 實參的路徑要完全正確，例如當前目錄下面要用 --cert ./client.crt，用 --cert client.crt 是錯誤的。爬坑過程是啟用了 -v 參數來觀察完整的過程，發現其中有一個警告：

<html>
<head><title>400 No required SSL certificate was sent</title></head>
<body bgcolor="white">
<center><h1>400 Bad Request</h1></center>
<center>No required SSL certificate was sent</center>
<hr><center>nginx/1.11.0</center>
</body>
</html>

登入後複製

本網站聲明

本文內容由網友自願投稿，版權歸原作者所有。本站不承擔相應的法律責任。如發現涉嫌抄襲或侵權的內容，請聯絡admin@php.cn

熱AI工具

熱工具

熱門話題

gmail信箱登陸入口在哪裡

7560

CakePHP 教程

1384

steam的賬戶名稱是什麼格式

win11激活密鑰永久

NYT連接提示和答案

Related knowledge

怎麼查看nginx是否啟動 Apr 14, 2025 pm 01:03 PM

確認 Nginx 是否啟動的方法：1. 使用命令行：systemctl status nginx（Linux/Unix）、netstat -ano | findstr 80（Windows）；2. 檢查端口 80 是否開放；3. 查看系統日誌中 Nginx 啟動消息；4. 使用第三方工具，如 Nagios、Zabbix、Icinga。

nginx怎麼配置雲服務器域名 Apr 14, 2025 pm 12:18 PM

在雲服務器上配置 Nginx 域名的方法：創建 A 記錄，指向雲服務器的公共 IP 地址。在 Nginx 配置文件中添加虛擬主機塊，指定偵聽端口、域名和網站根目錄。重啟 Nginx 以應用更改。訪問域名測試配置。其他注意事項：安裝 SSL 證書啟用 HTTPS、確保防火牆允許 80 端口流量、等待 DNS 解析生效。

linux怎麼啟動nginx Apr 14, 2025 pm 12:51 PM

在 Linux 中啟動 Nginx 的步驟：檢查 Nginx 是否已安裝。使用 systemctl start nginx 啟動 Nginx 服務。使用 systemctl enable nginx 啟用在系統啟動時自動啟動 Nginx。使用 systemctl status nginx 驗證啟動是否成功。在 Web 瀏覽器中訪問 http://localhost 查看默認歡迎頁面。

怎麼啟動nginx服務器 Apr 14, 2025 pm 12:27 PM

啟動 Nginx 服務器需要按照不同操作系統採取不同的步驟：Linux/Unix 系統：安裝 Nginx 軟件包（例如使用 apt-get 或 yum）。使用 systemctl 啟動 Nginx 服務（例如 sudo systemctl start nginx）。 Windows 系統：下載並安裝 Windows 二進製文件。使用 nginx.exe 可執行文件啟動 Nginx（例如 nginx.exe -c conf\nginx.conf）。無論使用哪種操作系統，您都可以通過訪問服務器 IP

linux怎麼查看nginx是否啟動 Apr 14, 2025 pm 12:48 PM

在 Linux 中，使用以下命令檢查 Nginx 是否已啟動：systemctl status nginx根據命令輸出進行判斷：如果顯示 "Active: active (running)"，則 Nginx 已啟動。如果顯示 "Active: inactive (dead)"，則 Nginx 已停止。