Nginx 使用 Let’s Encrypt 配置 HTTPS 和 HTTP2

  • A+
所属分类:未分类

HTTPS 目前已经逐渐成为标配,利用 Let’s Encrypt 可以免费实现网站的 HTTPS,保证传输安全,以下环境使用 CentOS 7。

letsencrypt 安装和配置

安装 letsencrypt

1 2
yum update yum install letsencrypt

创建 Nginx 配置文件

1 2 3 4 5 6 7 8
server {     listen 80; // 改为指定的端口     server_name www.example.com;     root /var/www/html;     location ~ /.well-known {         allow all;     } }

重启 Nginx

service restart nginx

验证域名所有权并申请证书

1
sudo letsencrypt certonly -a webroot --webroot-path=/var/www/html -d www.example.com

会自动创建一个文件,同时访问当前服务器的80端口,来验证域名的所有权

1
http://www.example.com/.well-known/acme-challenge/p1jaEziikiiKer311uQ9fh03_pJmiPSCG0vYahUtWVA

可以让多个域名使用相同的证书

1
sudo letsencrypt certonly -a webroot --webroot-path=/var/www/html -d www.example.com -d example.com

目前不支持通配符域名,*.sub.domain.com

Generate Strong Diffie-Hellman Group
To further increase security, you should also generate a strong Diffie-Hellman group. To generate a 2048-bit group, use this command:

1
sudo openssl dhparam -out /etc/ssl/certs/dhparam.pem 2048

This may take a few minutes but when it’s done you will have a strong DH group at /etc/ssl/certs/dhparam.pem.

配置 nginx 代码段,来指向 SSL Key and Certificate

sudo vim /etc/nginx/snippets/ssl-www.example.com.conf

文件内容

1 2
ssl_certificate /etc/letsencrypt/live/www.example.com/fullchain.pem; ssl_certificate_key /etc/letsencrypt/live/www.example.com/privkey.pem;

创建 Nginx 强加密配置的代码段

sudo vim /etc/nginx/snippets/ssl-params.conf

文件内容

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19
# from https://cipherli.st/ # and https://raymii.org/s/tutorials/Strong_SSL_Security_On_nginx.html ssl_protocols TLSv1 TLSv1.1 TLSv1.2; ssl_prefer_server_ciphers on; ssl_ciphers "EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH"; ssl_ecdh_curve secp384r1; ssl_session_cache shared:SSL:10m; ssl_session_tickets off; ssl_stapling on; ssl_stapling_verify on; resolver 8.8.8.8 8.8.4.4 valid=300s; resolver_timeout 5s; # Disable preloading HSTS for now.  You can use the commented out header line that includes # the "preload" directive if you understand the implications. #add_header Strict-Transport-Security "max-age=63072000; includeSubdomains; preload"; add_header Strict-Transport-Security "max-age=63072000; includeSubdomains"; add_header X-Frame-Options DENY; add_header X-Content-Type-Options nosniff; ssl_dhparam /etc/ssl/certs/dhparam.pem;

配置 Nginx 支持 HTTPS

1 2 3 4 5 6 7
server {     listen 443 ssl http2 default_server;     server_name www.example.com;     root /var/www/html;     include snippets/ssl-www.example.com.conf;     include snippets/ssl-params.conf; }

这里配置了 http2,要求 Nginx 版本要大于 1.9.5。HTTP2

具有更快的 HTTPS 传输性能,非常值得开启。开启 HTTP2 的前提是要先开启 HTTPS.

重启 Nginx

sudo systemctl restart nginx

证书有效期是3个月,三个月后需要刷新证书。由于执行更新操作的时候,只有当过期时间小于30天时,才会真的更新。因此一个实际的方式是每星期或者每天执行一次更新操作。

执行这个命令就会刷新

sudo letsencrypt renew

添加 Ctrontab 任务

sudo crontab -e

在 crontab 文件中添加以下任务

1 2
30 2 * * 1 /usr/bin/letsencrypt renew >> /var/log/le-renew.log 35 2 * * 1 /bin/systemctl reload nginx

每星期1的2点30分执行更新操作,2点35分执行Nginx 重启(这样新的证书就会启用),然后输出日志到 /var/log/le-renew.log

在其他服务器上验证域名所有权

也可以在另外一台服务器上执行 letsencrypt,来验证域名的所有权,这时用手动模式

letsencrypt certonly --manual -d www.example.com

会要求去那台真正的服务器上创建一个验证文件,让 letsencrypt 去访问来验证。验证文件还是放在 .well-known 目录下,具体根据提示。

如果当前服务器的80端口被占用,或者防火墙那边不开放80端口,只能是采用这种手动的方式,先将域名指定到一台有80端口的服务器上,验证通过后,再将域名指定回来真正的服务器上面。

安装最新的 openssl

如果 openssl 版本小于1.0.2,是无法启用 http2 的,查看 openssl 版本

openssl version

编译安装

1 2 3 4 5 6 7 8 9 10 11 12
cd /usr/src wget https://www.openssl.org/source/openssl-1.1.0c.tar.gz tar -zxf openssl-1.1.0c.tar.gz cd openssl-1.1.0c ./config make make test make install  # 备份旧的openssl mv /usr/bin/openssl /root/ ln -s /usr/local/ssl/bin/openssl /usr/bin/openssl

解决错误 ./openssl: error while loading shared libraries: libssl.so.1.1: cannot open shared object file: No such file or directory

1 2
ln -s /usr/local/lib64/libssl.so.1.1 /usr/lib64/libssl.so.1.1 ln -s /usr/local/lib64/libcrypto.so.1.1 /usr/lib64/libcrypto.so.1.1

创建新版本的符号链接

1 2 3 4
# 删除旧的符号链接 rm /bin/openssl # 添加新的 ln -s /usr/local/bin/openssl /bin/openssl

查看 openssl 版本

openssl version

重启一下 Nginx 就可以支持了,可以在 Chrome 中,网络那边,查看协议是否为 h2

查看 Nginx 版本信息

nginx -V

如果看到是 openssl 1.01 的版本编译的,还需要重新编译 Nginx

平滑升级 Nginx 到最新的稳定版

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48
#下载nginx最新版 cd /root wget http://nginx.org/download/nginx-1.10.2.tar.gz #解压源码 tar zxvf nginx-1.10.2.tar.gz #进入源码目录 cd nginx-1.10.2 加上所需参数开始编译 ./configure  --with-openssl=/usr/src/openssl-1.1.0c  --prefix=/etc/nginx  --sbin-path=/usr/sbin/nginx  --modules-path=/usr/lib64/nginx/modules  --conf-path=/etc/nginx/nginx.conf  --error-log-path=/var/log/nginx/error.log  --http-log-path=/var/log/nginx/access.log  --pid-path=/var/run/nginx.pid  --lock-path=/var/run/nginx.lock  --http-client-body-temp-path=/var/cache/nginx/client_temp  --http-proxy-temp-path=/var/cache/nginx/proxy_temp  --http-fastcgi-temp-path=/var/cache/nginx/fastcgi_temp  --http-uwsgi-temp-path=/var/cache/nginx/uwsgi_temp  --http-scgi-temp-path=/var/cache/nginx/scgi_temp  --user=nginx  --group=nginx  --with-file-aio  --with-threads  --with-ipv6  --with-http_addition_module  --with-http_auth_request_module  --with-http_dav_module  --with-http_flv_module  --with-http_gunzip_module  --with-http_gzip_static_module  --with-http_mp4_module  --with-http_random_index_module  --with-http_realip_module  --with-http_secure_link_module  --with-http_slice_module  --with-http_ssl_module  --with-http_stub_status_module  --with-http_sub_module  --with-http_v2_module  --with-mail  --with-mail_ssl_module  --with-stream  --with-stream_ssl_module  --with-cc-opt='-O2 -g -pipe -Wall -Wp,-D_FORTIFY_SOURCE=2 -fexceptions -fstack-protector-strong --param=ssp-buffer-size=4 -grecord-gcc-switches -m64 -mtune=generic'

编译安装

1 2 3 4 5 6 7 8
# 执行make编译,但是不要执行 make install make # 重命名nginx旧版本二进制文件,即sbin目录下的nginx(期间nginx并不会停止服务) mv /sbin/nginx /sbin/nginx.old # 然后拷贝一份新编译的二进制文件 cp objs/nginx /sbin/ # 在源码目录执行make upgrade开始升级 make upgrade

升级后 Nginx 会自动重启,这时在 Chrome 中查看,验证是否支持 H2,具体在开发者工具,网络中选择显示协议。

参考资料


本文始发于微信公众号(飓风网络安全):Nginx 使用 Let’s Encrypt 配置 HTTPS 和 HTTP2

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: