AI 助理
文档备案控制台
开发者社区 安全 文章 正文

Nginx负载均衡、ssl原理、生成ssl密钥对、Nginx配置ssl

2017-11-12 2230
版权
版权声明：
本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《 阿里云开发者社区用户服务协议》和 《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写 侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
简介：

Nginx负载均衡

Nginx负载均衡即为当代理服务器将自定义的域名解析到多个指定IP时，通过upstream来保证用户可以通过代理服务器正常访问各个IP。

代理一台机器叫做代理，代理两台及两台服务器就能叫做负载均衡。

  • 负载均衡配置

    创建一个配置文件/usr/local/nginx/conf/vhost/load.con

    [root@localhost ~]# vim /usr/local/nginx/conf/vhost/load.conf
    upstream qq.com
    #借助upstream模块，自定义域名
    {
    ip_hash;
    #保证同一个用户始终保持在同一台机器上
    #即当域名指向多个IP时，保证同一个用户始终解析到之前访问的IP
    server 61.135.157.156:80;
    server 125.39.240.113:80;
    #指定web服务器的IP
    }
    server
    {
    listen 80;
    #定义监听端口
    server_name www.qq.com; #域名
    location /
    {
    proxy_pass http://qq.com;
    #不支持再proxy_pass中写多个ip。代理中可以写成ip，但是再负载中不能写ip，要写入和upstream 对应
    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    }
    }

    测试并重载配置：
    [root@localhost ~]# /usr/local/nginx/sbin/nginx -t
    nginx: the configuration file /usr/local/nginx/conf/nginx.conf syntax is ok
    nginx: configuration file /usr/local/nginx/conf/nginx.conf test is successful
    [root@localhost ~]# /usr/local/nginx/sbin/nginx -s reload

  • 测试

    设置代理前：
    [root@localhost ~]# curl -x127.0.0.1:80 www.qq.com
    This is the default directory.

    设置代理后：
    [root@localhost ~]# curl -x127.0.0.1:80 www.qq.com
    ......
    #会显示网页的源码。

注意： Nginx不支持代理https，只能代理http，新版本的Nginx可以代理tcp。

  • dig命令

dig 命令是常用的域名解析工具。

安装dig 命令
[root@localhost ~]# yum install -y bind-utils

www.qq.com解析到了3个ip
[root@localhost ~]# dig www.qq.com

; <<>> DiG 9.9.4-RedHat-9.9.4-51.el7_4.1 <<>> www.qq.com
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 36583
;; flags: qr rd ra; QUERY: 1, ANSWER: 3, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;www.qq.com.            IN  A

;; ANSWER SECTION:
www.qq.com.     97  IN  A   14.17.32.211
www.qq.com.     97  IN  A   14.17.42.40
www.qq.com.     97  IN  A   59.37.96.63

;; Query time: 60 msec
;; SERVER: 119.29.29.29#53(119.29.29.29)
;; WHEN: 一 1月 08 21:

  • http、https、tcp

    • HTTP超文本传输协议（HyperText Transfer Protocol)是互联网上应用最为广泛的一种网络协议。
    • HTTPS(全称:Hyper Text Transfer Protocol over Secure Socket Layer)，是以安全为目标的HTTP通道，简单讲是HTTP的安全版。HTTPS协议是由SSL+HTTP协议构建的可进行加密传输、身份认证的网络协议要比http协议安全。如果不加密，中间传输数据包的有时候会被截到，就会导致信息泄露，https就是对这个通信的数据包进行加密。
    • HTTP默认的端口号为80，HTTPS的端口号为443。
    • TCP(Transmission Control Protocol 传输控制协议)是一种面向连接的、可靠的、基于字节流的传输层通信协议，由IETF的RFC 793定义。默认监听80端口。

SSL原理

SSL(Secure Sockets Layer 安全套接层)协议,及其继任者TLS（Transport Layer Security传输层安全）协议，是为网络通信提供安全及数据完整性的一种安全协议。

  • 安装ssl

    [root@localhost ~]# yum install -y openssl

  • ssl工作流程
    pnJ72F.jpg

    • 浏览器发送一个https的请求给服务器；
    • 服务器要有一套数字证书，可以自己制作（后面的操作就是阿铭自己制作的证书），也可以向组织申请，区别就是自己颁发的证书需要客户端验证通过，才可以继续访问，而使用受信任的公司申请的证书则不会弹出>提示页面，这套证书其实就是一对公钥和私钥；
    • 服务器会把公钥传输给客户端；
    • 客户端（浏览器）收到公钥后，会验证其是否合法有效，无效会有警告提醒，有效则会生成一串随机数，并用收到的公钥加密；
    • 客户端把加密后的随机字符串传输给服务器；
    • 服务器收到加密随机字符串后，先用私钥解密（公钥加密，私钥解密），获取到这一串随机数后，再用这串随机字符串加密传输的数据（该加密为对称加密，所谓对称加密，就是将数据和私钥也就是这个随机字符串>通过某种算法混合在一起，这样除非知道私钥，否则无法获取数据内容）；
    • 服务器把加密后的数据传输给客户端；
    • 客户端收到数据后，再用自己的私钥也就是那个随机字符串解密；

生成ssl密钥对

ssl证书就是一对公钥和私钥

  • 创建私钥

    切换目录，密钥对会保存在该目录下：
    [root@localhost ~]# cd /usr/local/nginx/conf/

    [root@localhost conf]# openssl genrsa -des3 -out tmp.key 2048
    #生成rsa格式的密钥对，2048是长度。
    Generating RSA private key, 2048 bit long modulus
    .....+++
    ..................................................................+++
    e is 65537 (0x10001)
    Enter pass phrase for tmp.key:
    Verifying - Enter pass phrase for tmp.key:
    #生成密钥时要指定密码。

  • 转换key，取消密码

    [root@localhost conf]# openssl rsa -in tmp.key -out huang.key
    #in指定哪个密钥要被转换，out指定输出密钥的 名称。
    Enter pass phrase for tmp.key:
    writing RSA key
    #需要输入上一个tmp.key 的密码。这时候，tmp.key和huang.key其实是一个，只是huang.key没密码。

  • 删除密钥文件

    [root@localhost conf]# rm -f tmp.key
    #删除有密码的key

  • 生成证书请求文件

生成请求文件目的是为了让请求文件和私钥一起去生成一个公钥。

[root@localhost conf]# openssl req -new -key huang.key -out huang.csr
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [XX]:CN //国家
State or Province Name (full name) []:Beijing //省或州
Locality Name (eg, city) [Default City]:Beijing //城市
Organization Name (eg, company) [Default Company Ltd]:Beijing //公司    
Organizational Unit Name (eg, section) []:Beijing   //组织
Common Name (eg, your name or your server's hostname) []:centos 03 //主机名
Email Address []:abc@abc.com //邮箱

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:123456  //一个可选的公司名称
An optional company name []:123456

说明： 该部分内容如果不购买证书可以自定义；如果是正式应用在网站上，需要规范填写对应信息。

  • 创建公钥

    [root@localhost conf]# openssl x509 -req -days 365 -in huang.csr -signkey huang.key -out huang.crt
    #365是密钥生效的天数。
    Signature ok
    subject=/C=CN/ST=Beijing/L=Beijing/O=Beijing/OU=Beijing/CN=centos 03/emailAddress=abc@abc.com
    Getting Private key
    [root@localhost conf]# ls /usr/local/nginx/conf/huang*
    /usr/local/nginx/conf/huang.crt /usr/local/nginx/conf/huang.csr /usr/local/nginx/conf/huang.key

    crt是公钥，key是私钥。

Nginx配置SSL

创建新的配置文件：
[root@localhost conf]# vim /usr/local/nginx/conf/vhost/ssl.conf
server
{
listen 443;
server_name abc.com;
index index.html index.php;
root /data/wwwroot/abc.com;
ssl on;
#开启ssl
ssl_certificate huang.crt;
#配置公钥
ssl_certificate_key huang.key;
#配置私钥
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
#配置协议，一般情况三种都配置上。
}

检测配置：
[root@localhost conf]# /usr/local/nginx/sbin/nginx -t
nginx: [emerg] unknown directive "ssl" in /usr/local/nginx/conf/vhost/ssl.conf:7
nginx: configuration file /usr/local/nginx/conf/nginx.conf test failed
#检测报错，为时便ssl配置，需要重新编译Nginx。

重新编译Nginx：
[root@localhost conf]# cd /usr/local/src/nginx-1.8.0/
[root@localhost nginx-1.8.0]# ./configure --prefix=/usr/local/nginx --with-http_ssl_module
.....
[root@localhost nginx-1.8.0]# echo $?
0
[root@localhost nginx-1.8.0]# make
......
[root@localhost nginx-1.8.0]# echo $?
0
[root@localhost nginx-1.8.0]# make install
......
[root@localhost nginx-1.8.0]# echo $?
0

#./configure --hlep 查看可以安装的模块

测试配置文件，并重启nginx服务：
[root@localhost nginx-1.8.0]# /usr/local/nginx/sbin/nginx -t
nginx: the configuration file /usr/local/nginx/conf/nginx.conf syntax is ok
nginx: configuration file /usr/local/nginx/conf/nginx.conf test is successful
[root@localhost nginx-1.8.0]# /etc/init.d/nginx restart
Restarting nginx (via systemctl):                          [  确定  ]
[root@localhost nginx-1.8.0]# netstat -lntp
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name    
tcp        0      0 0.0.0.0:80              0.0.0.0:*               LISTEN      4905/nginx: master  
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      1243/sshd           
tcp        0      0 127.0.0.1:25            0.0.0.0:*               LISTEN      2121/master         
tcp        0      0 0.0.0.0:443             0.0.0.0:*               LISTEN      4905/nginx: master  
......
#nginx 监听了443和80端口

  • 测试

    添加本地域名
    root@localhost nginx-1.8.0]# vim /etc/hosts
    127.0.0.1 abc.com

    [root@localhost nginx-1.8.0]# curl https://abc.com/
    curl: (60) Peer's certificate issuer has been marked as not trusted by the user.
    More details here: http://curl.haxx.se/docs/sslcerts.html

    curl performs SSL certificate verification by default, using a "bundle"
    of Certificate Authority (CA) public keys (CA certs). If the default
    bundle file isn't adequate, you can specify an alternate file
    using the --cacert option.
    If this HTTPS server uses a certificate signed by a CA represented in
    the bundle, the certificate verification probably failed due to a
    problem with the certificate (it might be expired, or the name might
    not match the domain name in the URL).
    If you'd like to turn off curl's verification of the certificate, use
    the -k (or --insecure) option.

    #因为该证书是自己创建的，所以提示证书不被信任！！！

使用浏览器访问

需要先在hosts文件中添加本地域名，并清空或添加防火墙规则。

192.168.159.132 abc.com

pn4nYV.md.png

购买正规证书：沃通等



本文转自 豆渣锅 51CTO博客，原文链接:http://blog.51cto.com/754599082/2058866

文章标签：
负载均衡
云解析DNS
域名与网站
密钥管理服务
应用服务中间件
nginx
网络安全
数据安全/隐私保护
安全
关键词：
负载均衡配置
Nginx配置
SSL配置
Nginx原理
Nginx负载均衡
相关实践学习
每个IT人都想学的“Web应用上云经典架构”实战
本实验从Web应用上云这个最基本的、最普遍的需求出发，帮助IT从业者们通过“阿里云Web应用上云解决方案”，了解一个企业级Web应用上云的常见架构，了解如何构建一个高可用、可扩展的企业级应用架构。
科技小能手
目录
相关文章
15937132997
|
9月前
|
编解码 应用服务中间件 Linux
centos配置nginx-rtmp实现ffmpeg转码rtsp为rtmp视频流
centos配置nginx-rtmp实现ffmpeg转码rtsp为rtmp视频流
15937132997
697 1
蓝易云
|
9月前
|
Ubuntu 安全 应用服务中间件
详细指南：配置Nginx服务器在Ubuntu平台上
以上步骤涵盖了基本流程：从软件包管理器获取 Ngnix, 设置系统服务, 调整UFW规则, 创建并激活服务器块(也称作虚拟主机), 并进行了初步优化与加固措施。这些操作都是建立在命令行界面上，并假设用户具有必要权限(通常是root用户)来执行这些命令。每个操作都有其特定原因：例如，设置开机启动确保了即使重启后也能自动运行 Ngnix；而编辑server block则定义了如何处理进入特定域名请求等等。
蓝易云
494 18
蓝易云
|
9月前
|
Ubuntu 安全 应用服务中间件
详细指南：配置Nginx服务器在Ubuntu平台上
以上步骤涵盖了基本流程：从软件包管理器获取 Ngnix, 设置系统服务, 调整UFW规则, 创建并激活服务器块(也称作虚拟主机), 并进行了初步优化与加固措施。这些操作都是建立在命令行界面上，并假设用户具有必要权限(通常是root用户)来执行这些命令。每个操作都有其特定原因：例如，设置开机启动确保了即使重启后也能自动运行 Ngnix；而编辑server block则定义了如何处理进入特定域名请求等等。
蓝易云
831 17
1353439074542983
|
10月前
|
数据建模 应用服务中间件 PHP
配置nginx容器和php容器协同工作成功，使用ip加端口的方式进行通信
本示例演示如何通过Docker挂载同一宿主目录至Nginx与PHP容器，实现PHP项目运行环境配置。需注意PHP容器中监听地址修改为0.0.0.0:9000，并调整Nginx配置中fastcgi_pass指向正确的IP与端口。同时确保Nginx容器中/var/www/html权限正确，以避免访问问题。
1353439074542983
476 0
配置nginx容器和php容器协同工作成功，使用ip加端口的方式进行通信
科技小能手
|
负载均衡 应用服务中间件 nginx
nginx的原理你必须知道的一些事。
科技小能手
1511 0
kijlee
|
应用服务中间件 Linux 网络安全
Centos 8.0中Nginx配置文件和https正书添加配置
这是一份Nginx配置文件，包含HTTP与HTTPS服务设置。主要功能如下：1) 将HTTP（80端口）请求重定向至HTTPS（443端口），增强安全性；2) 配置SSL证书，支持TLSv1.1至TLSv1.3协议；3) 使用uWSGI与后端应用通信（如Django）；4) 静态文件托管路径设为`/root/code/static/`；5) 定制错误页面（404、50x）。适用于Web应用部署场景。
kijlee
1072 87
Aron_NeAr
|
负载均衡 应用服务中间件 nginx
Nginx配置与命令
Nginx 是一款高性能的 HTTP 和反向代理服务器，其配置文件灵活且功能强大。本文介绍了 Nginx 配置的基础结构和常用指令，包括全局块、Events 块、HTTP 块及 Server 块的配置方法，以及静态资源服务、反向代理、负载均衡、HTTPS 和 URL 重写等功能实现。此外，还提供了常用的 Nginx 命令操作，如启动、停止、重载配置和日志管理等，帮助用户高效管理和优化服务器性能。
Aron_NeAr
1144 14
蓝易云
|
11月前
|
应用服务中间件 网络安全 nginx
配置Nginx以支持Websocket连接的方法。
通过上述配置，Nginx将能够理解WebSocket协议的特殊要求，代理Websocket流量到合适的后端服务器。注意，Websocket并不是HTTP，尽管它最初是通过HTTP请求启动的连接升级，因此保证Nginx了解并能够妥善处理这种升级流程是关键。
蓝易云
2277 10
蓝易云
|
10月前
|
Ubuntu 应用服务中间件 Linux
在Ubuntu上配置Nginx实现开机自启功能
至此，Nginx应该已经被正确地设置为开机自启。在Ubuntu中利用 `systemd`对服务进行管理是一种高效的方式，为系统管理员提供了强大的服务管理能力，包括但不限于启动、停止、重启服务，以及配置服务的开机自启动。通过这些简洁的命令，即使是对Linux不太熟悉的用户也能轻松地进行配置。
蓝易云
468 0
卓伊凡
|
12月前
|
安全 应用服务中间件 网络安全
Nginx SSL/TLS协议栈中配置深度解析与实践指南-优雅草卓伊凡
Nginx SSL/TLS协议栈中配置深度解析与实践指南-优雅草卓伊凡
卓伊凡
822 0
Nginx SSL/TLS协议栈中配置深度解析与实践指南-优雅草卓伊凡

热门文章

最新文章

  • 1
    如何查找访问 Nginx 的前 10 个 IP？
  • 2
    【Nginx】 nginx 项目上线后刷新页面丢失 404
  • 3
    linux装nginx
  • 4
    vue前端开发中，通过vue.config.js配置和nginx配置，实现多个入口文件的实现方法
  • 5
    什么是反向代理？Nginx反向代理如何配置？
  • 6
    【Ruby on Rails全栈课程】5.5 项目上线--nginx+unicorn部署项目、域名映射
  • 7
    Nginx的反向代理功能有哪些应用场景呢
  • 8
    LNMP环境下nginx、php-fpm的配置文件讲解
  • 9
    ubuntu15.10_x64 安装 nginx
  • 10
    2022年超详细在CentOS 7上安装Nginx方法（源码安装）
  • 1
    阿里云免费版SSL证书申请及部署按照流程，白嫖阿里云20张SSL证书
    1129
  • 2
    阿里云ssl证书申请具体操作流程图，2025年新手图文教程
    2450
  • 3
    阿里云SSL证书申请具体操作流程，以申请免费SSL证书为例
    1195
  • 4
    阿里云SSL证书免费版与收费版活动价格及申请教程、部署指南与常见问题解答
    994
  • 5
    阿里云SSL证书价格一年多少钱？单域名和通配符SSL证书收费价格表
    1150
  • 6
    阿里云申请SSL证书价格多少钱一年？免费版和付费版手动整理
    656
  • 7
    SSL/TLS协议如何确保HTTP通信的安全
    431
  • 8
    阿里云SSL证书免费版与收费版有什么区别？免费版SSL证书申请及部署流程参考
    992
  • 9
    阿里云SSL免费申请流程，共20张免费SSL，跟着教程一步步操作（新手一看就懂）
    4481
  • 10
    CuteHTTPFileServer下载，局域网文件传输工具下载，chfs支持的最低SSL版本为SSLv3
    991

    • 相关课程

    更多
  • 阿里云负载均衡SLB实战演练
  • Nginx企业级Web服务实战
  • Linux Web服务器Nginx搭建与配置
  • LVS负载均衡实战
  • 超大流量网站的负载均衡
  • 负载均衡入门与产品使用指南

    • 相关电子书

    更多
  • 《应用型负载均衡ALB产品解读》
  • 阿里云网络-SLB负载均衡产品介绍
  • 负载均衡SLB热点问题解答
    • 下一篇
    利用阿里云OSS（对象存储服务）快速搭建私人网盘