nginx配置证书和私钥进行SSL通信验证

简介: nginx配置证书和私钥进行SSL通信验证

image.png

@[toc]

一、背景

正常项目的私钥和服务端证书会放在项目中或者外挂到linux服务器某个路径下,现在的需求是客户手动创建的新的证书,替换后项目证书仍然生效,且功能能正常使用。

目前我司采用nginx配置SSL通信验证,具体配置在nginx安装路径下的nginx.conf文件,最终修改的地方是红框这里。
image.png

1.1 秘钥和证书是两个东西吗?

是的,密钥(Key)和证书(Certificate)是两个不同的概念,但它们在安全通信中通常是相关联的。

密钥(Key):
密钥是用于加密和解密数据的一种数学算法。
在SSL/TLS通信中,有两种主要类型的密钥:公钥和私钥。
私钥(Private Key)用于对数据进行加密和对由公钥加密的数据进行解密。私钥必须保密,只有持有私钥的一方才能解密数据。
公钥(Public Key)用于对数据进行解密和对由私钥加密的数据进行加密。公钥通常公开发布,用于与其他人安全地通信。

证书(Certificate):
证书是由数字证书颁发机构(CA)签发的一种电子文件,用于验证服务器或客户端的身份。
证书包含了一些重要的信息,如公钥、颁发者、有效期等。
证书可以用来确保通信双方的身份,防止中间人攻击等安全威胁。
在SSL/TLS通信中,密钥和证书通常是配对使用的。服务器会持有私钥,并将其与公钥证书一起使用以向客户端证明其身份。客户端则使用服务器的公钥证书来验证服务器的身份,并用于加密通信。

1.2 介绍下nginx配置文件中参数ssl_certificate和ssl_certificate_key

答案:ssl_certificate指向的是“服务端证书”相对路径,而ssl_certificate_key指向的是“私钥”相对路径。

1.3介绍下nginx支持的证书类型

目前市面上数字证书可以以多种不同的后缀格式保存,常见的包括:

  • PEM(Privacy Enhanced Mail):PEM 格式是一种常见的 ASCII 编码格式,通常用于存储证书、密钥和其他相关数据。PEM 格式的文件通常以 .pem、.cer、.crt 或 .key 结尾。
  • DER(Distinguished Encoding Rules):DER 格式是一种二进制编码格式,通常用于表示 X.509 数字证书。DER 格式的文件通常以 .der 或 .cer 结尾。

  • PKCS#12:PKCS#12 是一种可将证书和私钥打包成单个加密文件的格式。PKCS#12 格式的文件通常以 .p12 或 .pfx 结尾。

  • JKS(Java KeyStore):JKS 格式是 Java 中用于存储密钥和证书的专有格式。JKS 格式的文件通常以 .jks 结尾。

  • PFX(Personal Information Exchange):PFX 格式与 PKCS#12 格式类似,用于将证书和私钥打包成单个文件,通常以 .pfx 结尾。

  • PKCS#7 / P7B:PKCS#7 或 P7B 格式通常用于存储证书链,它们以二进制格式存储,并可以包含多个证书。PKCS#7/P7B 格式的文件通常以 .p7b 或 .p7c 结尾。

这些是常见的数字证书后缀格式,每种格式都有其特定的用途和兼容性。在使用数字证书时,需要根据具体情况选择合适的格式。

1.4 目前nginx支持哪种证书格式?

目前nginx支持的证书格式是.crt或者.pem格式的证书(也就是ssl_certificate后面配置的证书格式),如果是其他类型证书需要手动转换成.crt或者.pem格式。

1.5 nginx修改配置文件目前方式也会有所不同

  • 方式1(最常见的方式),ssl_certificate服务端配置证书,ssl_certificate_key配置私钥(这里差别在证书,无论证书中是否包含私钥信息都可以这么配置生效)
server_name               10.161.29.209;
        ssl_certificate                CA/server.crt;
        ssl_certificate_key              CA/server_pkcs8.key;

image.png

1.6 介绍下不通格式的证书哪些可以包含私钥,哪些不能?

网上搜到的图片长这样

image.png

接下来说下我自己测试后的理解,可能会和上面不同,也可能相同,我没做过对比

  • .crt格式:包含公钥、证书信息;可包含或者不包含私钥
  • .pem格式:包含公钥、证书信息;可包含或者不包含私钥
  • .der格式:包含公钥、证书信息;默认不包含私钥
  • .p12或者pfx格式:包含公钥、证书信息、可包含或者不包含私钥
  • 其他格式尚未验证

1.7 创建私钥、证书请求、证书的命令

首先需要安装openSSL,使用它可以快速创建私钥、证书请求、证书。

举例创建自签名证书流程:

1. 要创建自签名证书,你可以使用 OpenSSL 工具。以下是使用 OpenSSL 创建自签名证书的基本步骤:

2. 安装 OpenSSL:首先,确保你的系统上已经安装了 OpenSSL 工具。你可以从 OpenSSL 官方网站或使用包管理器进行安装。

openssl genpkey -algorithm RSA -out private.key

这将生成一个名为 private.key 的私钥文件。

3. 生成证书请求:接下来,使用私钥生成一个证书请求 (CSR) 文件,其中包含了公钥和其他相关信息。执行以下命令生成 CSR 文件:

openssl req -new -key private.key -out csr.csr

在此过程中,你将被要求提供一些相关信息,如国家/地区、组织名称、通用名称 (域名) 等。请根据实际情况填写这些信息。

4. 生成自签名证书:使用以下命令生成自签名证书:

openssl x509 -req -in csr.csr -signkey private.key -out certificate.crt

这将使用私钥和证书请求生成一个自签名证书文件,名为 certificate.crt。

5. 使用证书:现在你已经生成了自签名证书 certificate.crt,可以将其用于服务器或应用程序的 SSL/TLS 配置中。具体步骤取决于你使用的服务器软件或编程语言。
请注意,自签名证书不会被公共信任的根证书颁发机构所信任,因此在使用自签名证书时,浏览器或客户端可能会显示警告。自签名证书更适合用于测试环境或内部使用,而不是用于公共生产环境。

另外,请确保妥善保管私钥文件和证书文件,以防止未经授权的访问和潜在的安全风险。

1.8 如何区分证书中是否包含私钥信息

举例说明:

我拿两个证书文件,用记事本打开看效果,如图1中“-----BEGIN CERTIFICATE-----”这个开头的就是公钥信息,如图2中“-----BEGIN PRIVATE KEY-----”包含的就是私钥信息。最简单的鉴别方式就是用记事本打开看区别,当然有的格式是二进制编码打开乱码,这时候就需要去服务器指定路径下使用命令去打开证书文件才能看到具体内容区别。

image.png

如图1

image.png

如图2

1.9 多文件内容合并文件命令操作在windows和linux下不同

  • 在 Windows 上使用type命令:
type certificate.pem server_pkcs8.key > certificate_with_key.pem

这个命令会将 certificate.pem 文件和 server_pkcs8.key 文件的内容连接到一个新文件 certificate_with_key.pem 中。

  • 在类 Unix 系统(如 Linux 或 macOS)上使用 cat 命令:
cat certificate.pem server_pkcs8.key > certificate_with_key.pem

这个命令也会将 certificate.pem 文件和 server_pkcs8.key 文件的内容连接到一个新文件 certificate_with_key.pem 中。

请确保在命令中替换 certificate.pem 和 server_pkcs8.key 为您实际的证书和私钥文件路径和名称。

这样生成的 certificate_with_key.pem 文件将包含证书和私钥信息。如果您还有其他问题或需要进一步的帮助,请告诉我。

1.10 不同格式文件打开查看内容方式

  • server_pkcs8.key私钥,可直接记事本打开
    image.png

  • server.csr证书请求文件,可直接记事本打开
    image.png

  • certificate.crt格式证书,可直接记事本打开
    image.png

  • certificate.pem格式证书,可直接记事本打开
    image.png

  • certificate.der格式证书,无法直接记事本打开会乱码,需要在服务器使用命令打开

命令:
openssl x509 -inform DER -in certificate.der -text

image.png

  • certificate.p12格式证书,无法直接记事本打开会乱码,需要在服务器使用命令打开
命令:
openssl pkcs12 -info -in certificate.p12

image.png

  • certificate.pfx格式证书跟.p12同理,无法直接记事本打开会乱码,需要在服务器使用命令打开
命令:
openssl pkcs12 -info -in certificate.pfx

image.png

二、具体实施操作

2.1 针对方式一中nginx分别指定私钥和证书地址

image.png

创建不带私钥信息的.crt格式的证书名,命令:

openssl x509 -req -in server.csr -signkey server_pkcs8.key -out certificate.crt -days 7200

创建不带私钥信息的.pem格式的证书名,命令:

openssl x509 -req -in server.csr -signkey server_pkcs8.key -out certificate.pem -days 7200 -outform PEM

创建不带私钥信息的.der格式的证书名,命令:

openssl x509 -req -in server.csr -signkey server_pkcs8.key -out certificate.der -days 7200 -outform DER

2.2 针对方式二中nginx私钥和证书统一指向证书地址

image.png

创建带私钥信息的.crt格式的证书名,(思路:将原crt不带私钥的证书文件和私钥合并为一个新文件,其中“certificate.crt”代表你原crt文件,“server_pkcs8.key”代表私钥,“certificate_with_key.crt”代表合并后的文件),命令:

openssl x509 -req -in server.csr -signkey server_pkcs8.key -out certificate.crt -days 7200
cat certificate.crt server_pkcs8.key > certificate_with_key.crt

创建带私钥信息的.pem格式的证书名(思路:crt格式、pem格式、der格式都采用合并文件方式生成新文件),命令:

openssl x509 -req -in server.csr -signkey server_pkcs8.key -out certificate.pem -days 7200 -outform PEM
cat certificate.pem server_pkcs8.key > certificate_with_key.pem

创建带私钥信息的.der格式的证书名(思路:crt格式、pem格式、der格式都采用合并文件方式生成新文件),命令:

openssl x509 -req -in server.csr -signkey server_pkcs8.key -out certificate.der -days 7200 -outform DER
cat certificate.der server_pkcs8.key > certificate_with_key.pem

创建带私钥信息的.p12格式的证书名(思路:它跟crt\pem\der格式不同,他采用生成.p12文件后,再转换成pem或者crt格式),命令:

openssl pkcs12 -export -out certificate.p12 -inkey server_pkcs8.key -in certificate.crt
openssl pkcs12 -in certificate.p12 -out p12TransformPemPri.pem -nodes
或者
openssl pkcs12 -in certificate.p12 -out p12TransformPemPri.crt -nodes

创建带私钥信息的.pfx格式的证书名(思路:跟创建.p12相同),命令:

openssl pkcs12 -export -out certificate.pfx -inkey server_pkcs8.key -in certificate.crt
openssl pkcs12 -in certificate.pfx  -out pfxTransformPem.pem  -nodes
或者
openssl pkcs12 -in certificate.pfx  -out pfxTransformPem.crt  -nodes

2.3 命令中部分参数介绍

  • -req:生成证书请求(CSR)。
  • -in:指定输入文件或数据。
  • -signkey:使用指定的私钥进行签名。
  • -out:指定输出文件。
  • -outform:指定输出格式。
  • -inform:指定输入格式。
  • pkcs12 -export:将证书和私钥打包成 PKCS #12 格式。
  • -nokeys:在输出中不包括私钥。
  • -CAcreateserial:在生成自签名证书时创建一个序列号文件。
  • -text:显示证书或 CSR 文件的文本信息。

    三、重启nginx验证生效

  1. 进入nginx目录
    cd /home/ems/3rdparty/nginx/
    
  2. 验证nginx.conf 修改是否正确
sbin/nginx -t
  1. 如果出现 以下内容,nginx.conf即是修改正确
nginx: the configuration file /home/ems/3rdparty/nginx/nginx.conf syntax is ok 
nginx: configuration file /home/ems/3rdparty/nginx/nginx.conf test is successful
  1. 重启nginx ,等候30s 访问新加的域名即可。
sbin/nginx -s reload

image.png

重要信息

目录
相关文章
|
3月前
|
安全 数据建模 应用服务中间件
阿里云SSL证书价格、证书类型及免费版证书申请和证书部署教程参考
阿里云SSL证书有收费版也有免费版,收费版DV域名级SSL类型405元起,免费版证书为DV域名级SSL类型,每个实名个人和企业主体在一个自然年内可以一次性领取20张免费证书。本文为大家详细介绍阿里云SSL证书价格情况,包括不同域名类型、证书类型、证书等级和证书品牌的相关收费标准,以及免费版证书的申请和部署教程参考。
|
5月前
|
网络安全 数据库
YashanDB HA节点间SSL连接配置
本指南介绍HA内部节点链路的SSL连接配置,包括客户端监听与HA节点自身监听两种方式。需使用OpenSSL工具生成证书,具体步骤参考数据库服务端SSL连接配置文档。此外,还需在数据库中开启HA的SSL连接开关并设置证书路径(仅支持绝对路径,长度≤254字节),最后重启数据库以完成配置。确保服务器已安装所需工具,详细操作请查阅相关文档。
YashanDB HA节点间SSL连接配置
|
2月前
|
网络安全 Windows
Windows IIS 10如何配置自签名SSL并实现自动跳转
本文记录了IIS配置自签名证书及HTTPS跳转的注意事项。包括解决443端口占用问题、URL Rewrite插件安装与配置、web.config修改方法,以及避免因旧教程导致的配置错误。
Windows IIS 10如何配置自签名SSL并实现自动跳转
|
5月前
|
安全 网络安全 数据库
YashanDB分布式节点间SSL连接配置
本文介绍YashanDB分布式节点间SSL连接配置方法,确保通信安全。需统一为整个集群配置SSL,使用相同根证书签名的服务器证书,否则可能导致连接失败或数据库无法启动。文章详细说明了使用OpenSSL生成根证书、服务器私钥、证书及DH文件的步骤,并指导如何将证书分发至各节点。最后,通过配置数据库参数(如`din_ssl_enable`)并重启集群完成设置。注意,证书过期需重新生成以保障安全性。
|
5月前
|
安全 Linux 网络安全
YashanDB数据库服务端SSL连接配置
YashanDB支持通过SSL连接确保数据传输安全,需在服务端生成根证书、服务器证书及DH文件,并将根证书提供给客户端以完成身份验证。服务端配置包括使用OpenSSL工具生成证书、设置SSL参数并重启数据库;客户端则需下载根证书并正确配置环境变量与`yasc_env.ini`文件。注意:启用SSL后,所有客户端必须持有根证书才能连接,且SSL与密码认证独立运行。
|
3月前
|
安全 应用服务中间件 网络安全
Nginx SSL/TLS协议栈中配置深度解析与实践指南-优雅草卓伊凡
Nginx SSL/TLS协议栈中配置深度解析与实践指南-优雅草卓伊凡
251 0
Nginx SSL/TLS协议栈中配置深度解析与实践指南-优雅草卓伊凡
|
4月前
|
安全 网络安全 Python
应对requests 2.28.x版本中SSL证书验证失败的错误处理方法。
在你安全地解决了这一切之后,你的请求就能够在HTTPS的加持下,犹如骑士横扫战场,高枕无忧地传递信息了。记住,网络的世界里,安全永远是你的头号任务。遵循正道,才能让你的代码在数据的草原上,驰骋千里。
199 16
|
4月前
|
域名解析 网络协议 网络安全
SSL证书验证全攻略:DNS/HTTP/手动解析怎么选?
SSL证书在网络安全中至关重要,1Panel提供三种验证方式:DNS验证、HTTP验证和手动解析。DNS验证便捷,适合CDN网站;HTTP验证快速,需服务器在线;手动解析灵活,但操作复杂。根据需求选择合适确认方式,定期检查证书状态。
604 2
|
5月前
|
存储 Oracle 关系型数据库
MySQL 8.4 配置SSL组复制(八个步骤)
MySQL 8.4 配置SSL组复制(八个步骤)
305 0
|
9月前
|
负载均衡 前端开发 应用服务中间件
负载均衡指南:Nginx与HAProxy的配置与优化
负载均衡指南:Nginx与HAProxy的配置与优化
594 3