NGINX 配置 SSL 双向认证
背景
对于 NGINX 的 HTTPS 配置，通常情况下我们只需要实现服务端认证就行，因为浏览器内置了一些受信任的证书颁发机构（CA），服务器端只需要拿到这些机构颁发的证书并配置好，浏览器会自己校验证书的可用性并通过 SSL 进行通讯加密。
但特殊情况下我们也需要对客户端进行验证，只有受信任的客户端才能使用服务接口，此时我们就需要启用双向认证来达到这个目的，只有 当客户端请求带了可用的证书才能调通服务端接口 。
CA 与自签名
CA 是权威机构才能做的，并且如果该机构达不到安全标准就会被浏览器厂商“封杀”，前不久的沃通、StartSSL 就被 Mozilla、Chrome 封杀了。不过这并不影响我们进行双向认证配置，因为我们是自建 CA 的..
为了方便，我们就在 NGINX 的目录下进行证书相关制作：
cd /etc/nginx mkdir sslcd ssl
制作 CA 私钥
openssl genrsa -out ca.key 2048
制作 CA 根证书（公钥）
openssl req -new -x509 -days 3650 -key ca.key -out ca.crt
注意：
Common Name 可以随意填写
其他需要填写的信息为了避免有误，都填写 . 吧
服务器端证书
制作服务端私钥
openssl genrsa -out server.pem 1024 openssl rsa -in server.pem -out server.key
生成签发请求
openssl req -new -key server.pem -out server.csr
注意：
Common Name 得填写为访问服务时的域名，这里我们用 usb.dev 下面 NGINX 配置会用到
其他需要填写的信息为了避免有误，都填写 . 吧（为了和 CA 根证书匹配）
用 CA 签发
openssl x509 -req -sha256 -in server.csr -CA ca.crt -CAkey ca.key -CAcreateserial -days 3650 -out server.crt
客户端证书
和服务端证书类似：
注意：
Common Name可以随意填写
其他需要填写的信息为了避免有误，都填写 . 吧（为了和 CA 根证书匹配）
至此需要的证书都弄好了，我们可以开始配置 NGINX 了。
NGINX
server {
listen 443 ssl;
server_name usb.dev;
access_log off;
ssl on;
ssl_certificate /etc/nginx/ssl/server.crt;
ssl_certificate_key /etc/nginx/ssl/server.key;
ssl_client_certificate /etc/nginx/ssl/ca.crt;
ssl_verify_client on;
location / {
proxy_pass http://backend$request_uri;
}
}其中 ssl_client_certificate /etc/nginx/ssl/ca.crt; 的意思是使用 CA 证书来验证请求带的客户端证书是否是该 CA 签发的。
配置好后就就重新加载 NGINX 吧：
service nginx reload
好了，下面我们可以开始验证了。
请求验证
验证过程可以选择在其他机器或是本机，为了能够解析 usb.dev，还需要配置一下 /etc/hosts：
127.0.0.1 usb.dev
如果用浏览器验证，需要把客户端证书导出成 p12 格式的，这里略过。我们重点是通过 curl 进行验证：
curl --insecure --key client.key --cert client.crt 'https://usb.dev'
其中 --insecure 是忽略自建 CA 的非权威性。如果你验证正常那说明你运气好，因为这里有个 深坑：某些版本的 curl 会报错：
<html> <head><title>400 No required SSL certificate was sent</title></head> <body bgcolor="white"> <center><h1>400 Bad Request</h1></center> <center>No required SSL certificate was sent</center> <hr><center>nginx/1.11.0</center> </body> </html>
这些报错版本的 curl 居然要严格要求 --cert 实参的路径要完全正确，比如当前目录下面要用 --cert ./client.crt，用 --cert client.crt 是错误的。爬坑过程是启用了 -v 参数来观察完整的过程，发现其中有一条告警：
warning: certificate file name "client.crt" handled as nickname; please use "./client.crt" to force file name
热AI工具
Undresser.AI Undress
人工智能驱动的应用程序，用于创建逼真的裸体照片
AI Clothes Remover
用于从照片中去除衣服的在线人工智能工具。
Undress AI Tool
免费脱衣服图片
Clothoff.io
AI脱衣机
Video Face Swap
使用我们完全免费的人工智能换脸工具轻松在任何视频中换脸！
热门文章
热工具
记事本++7.3.1
好用且免费的代码编辑器
SublimeText3汉化版
中文版，非常好用
禅工作室 13.0.1
功能强大的PHP集成开发环境
Dreamweaver CS6
视觉化网页开发工具
SublimeText3 Mac版
神级代码编辑软件(SublimeText3)
nginx在windows中怎么配置
Apr 14, 2025 pm 12:57 PM
如何在 Windows 中配置 Nginx？安装 Nginx 并创建虚拟主机配置。修改主配置文件并包含虚拟主机配置。启动或重新加载 Nginx。测试配置并查看网站。选择性启用 SSL 并配置 SSL 证书。选择性设置防火墙允许 80 和 443 端口流量。
docker怎么启动容器
Apr 15, 2025 pm 12:27 PM
Docker 容器启动步骤：拉取容器镜像：运行 "docker pull [镜像名称]"。创建容器：使用 "docker create [选项] [镜像名称] [命令和参数]"。启动容器：执行 "docker start [容器名称或 ID]"。检查容器状态：通过 "docker ps" 验证容器是否正在运行。
docker容器名称怎么查
Apr 15, 2025 pm 12:21 PM
可以通过以下步骤查询 Docker 容器名称：列出所有容器（docker ps）。筛选容器列表（使用 grep 命令）。获取容器名称（位于 "NAMES" 列中）。
怎么查看nginx是否启动
Apr 14, 2025 pm 01:03 PM
确认 Nginx 是否启动的方法：1. 使用命令行：systemctl status nginx（Linux/Unix）、netstat -ano | findstr 80（Windows）；2. 检查端口 80 是否开放；3. 查看系统日志中 Nginx 启动消息；4. 使用第三方工具，如 Nagios、Zabbix、Icinga。
docker怎么创建容器
Apr 15, 2025 pm 12:18 PM
在 Docker 中创建容器： 1. 拉取镜像： docker pull [镜像名] 2. 创建容器： docker run [选项] [镜像名] [命令] 3. 启动容器： docker start [容器名]
nginx怎么查版本
Apr 14, 2025 am 11:57 AM
可以查询 Nginx 版本的方法有：使用 nginx -v 命令；查看 nginx.conf 文件中的 version 指令；打开 Nginx 错误页，查看页面的标题。
nginx怎么配置云服务器域名
Apr 14, 2025 pm 12:18 PM
在云服务器上配置 Nginx 域名的方法：创建 A 记录，指向云服务器的公共 IP 地址。在 Nginx 配置文件中添加虚拟主机块，指定侦听端口、域名和网站根目录。重启 Nginx 以应用更改。访问域名测试配置。其他注意事项：安装 SSL 证书启用 HTTPS、确保防火墙允许 80 端口流量、等待 DNS 解析生效。
nginx服务器挂了怎么办
Apr 14, 2025 am 11:42 AM
当 Nginx 服务器宕机时，可执行以下故障排除步骤：检查 nginx 进程是否正在运行。查看错误日志以获取错误消息。检查 nginx 配置语法正确性。确保 nginx 具有访问文件所需的权限。检查文件描述符打开限制。确认 nginx 正在侦听正确的端口。添加防火墙规则以允许nginx流量。检查反向代理设置，包括后端服务器可用性。如需进一步帮助，请联系技术支持。
