Nginx самоподписанный сертификат: Создание самоподписанного SSL-сертификата для Nginx в Ubuntu 18.04 |

Posted:

Июн 7, 2023

Comments:

Nginx самоподписанный сертификат: Создание самоподписанного SSL-сертификата для Nginx в Ubuntu 18.04

Содержание

Самоподписанный SSL-сертификат для Nginx | 8HOST.COM

С помощью TLS/SSL серверы могут безопасно передавать трафик между сервером и клиентами, защищая данные от перехвата сторонними лицами. Система сертификатов также помогает пользователям проверять подлинность сайтов, к которым они подключаются.

Примечание: самоподписанный сертификат зашифрует связь между сервером и любыми клиентами. Поскольку он не подписан ни одним из доверенных центров сертификации, включенных в браузеры, то пользователи не могут использовать сертификат для автоматической проверки подлинности вашего сервера.

Этот сертификат подходит пользователям, у которых пока что нет доменного имени, связанного с сервером, и для случаев, когда зашифрованный веб-интерфейс не открыт для пользователя. Если у вас есть домен, вам больше подойдет сертификат с подписью ЦС. Как настроить бесплатный доверенный сертификат Let’s Encrypt, вы можете узнать в этом мануале.

Также вам нужно установить веб-сервер Nginx и настроить его в соответствии с этим мануалом. Для работы с SSL-сертификатом необходимо выполнить этап 5 этого манула и настроить server block, чтобы проверить возможность шифрования соединений Nginx с помощью самоподписанного сертификата.

Для работы с TLS/SSL необходимо создать комбинацию открытого сертификата и закрытого ключа. Ключ SSL хранится на сервере в секрете и шифрует содержимое, отправляемое клиентам, а сертификат открыт и доступен всем пользователям, которые запрашивают контент. С помощью него можно расшифровать содержимое, подписанное соответствующим SSL-ключом.

sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/ssl/private/nginx-selfsigned.key -out /etc/ssl/certs/nginx-selfsigned.crt

sudo: позволяет членам группы sudo временно повысить привилегии до уровня суперпользователя или root по умолчанию. Это необходимо в данном случае, поскольку мы создаем пару сертификата и ключа в каталоге /etc/, доступ к которому может иметь только пользователь root или другие привилегированные учетные записи.
req: эта подкоманда указывает, что на данном этапе нужно использовать запрос на подпись сертификата X.509 (CSR). X.509 – это стандарт инфраструктуры открытого ключа, которого придерживаются SSL и TLS при управлении ключами и сертификатами. То есть данная команда позволяет создать новый сертификат X.509.
-nodes: пропускает опцию защиты сертификата парольной фразой. Нужно, чтобы при запуске сервер Nginx имел возможность читать файл без вмешательства пользователя. Установив пароль, вам придется вводить его после каждой перезагрузки.
-newkey rsa:2048: позволяет одновременно создать новый сертификат и ключ. Поскольку ключ, необходимый для подписания сертификата, не был создан ранее, нужно создать его вместе с сертификатом. Данная опция создаст ключ RSA на 2048 бит.

Country Name (2 letter code) [AU]:US
State or Province Name (full name) [Some-State]:New York
Locality Name (eg, city) []:New York City
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Bouncy Castles, Inc. 
Organizational Unit Name (eg, section) []:Ministry of Water Slides
Common Name (e.g. server FQDN or YOUR name) []:server_IP_address
Email Address []:admin@your_domain.com

sudo openssl dhparam -out /etc/nginx/dhparam.pem 4096

Сначала мы создадим сниппет конфигурации с информацией о местоположении файлов ключа и сертификата SSL, а затем нужно создать блок с надежным настройками SSL, которые могут использоваться с любыми сертификатами в будущем. Потом мы настроим server block Nginx с помощью двух созданных сниппетов для правильной обработки SSL-запросов.

sudo nano /etc/nginx/snippets/self-signed.conf

ssl_certificate /etc/ssl/certs/nginx-selfsigned.crt;
ssl_certificate_key/etc/ssl/private/nginx-selfsigned.key;

sudo nano /etc/nginx/snippets/ssl-params.conf

Примечание: рекомендуемые настройки от Cipherlist.eu обеспечивают надежную защиту. Иногда это происходит за счет совместимости клиентов. Если вам нужна поддержка старых клиентов, вы можете перейти на альтернативный список рекомендаций, нажав ссылку “Yes, give me a ciphersuite that works with legacy / old software”. При желании вы можете заменить этот список содержимым следующего образца кода.

Во-вторых, закомментируйте строку, которая устанавливает строгий заголовок транспортной безопасности. Перед раскомментированием этой строки вам следует ознакомиться с HTTP Strict Transport Security (HSTS), в частности с функцией “preload”: если функция “preload” будет включена неправильно или случайно, это может привести к серьезным негативным последствиям.

ssl_protocols TLSv1.3;
ssl_prefer_server_ciphers on;
ssl_dhparam /etc/nginx/dhparam.pem; 
ssl_ciphers EECDH+AESGCM:EDH+AESGCM;
ssl_ecdh_curve secp384r1;
ssl_session_timeout  10m;
ssl_session_cache shared:SSL:10m;
ssl_session_tickets off;
ssl_stapling on;
ssl_stapling_verify on;
resolver 8. 8.8.8 8.8.4.4 valid=300s;
resolver_timeout 5s;
# Disable strict transport security for now. You can uncomment the following
# line if you understand the implications.
#add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload";
add_header X-Frame-Options DENY;
add_header X-Content-Type-Options nosniff;
add_header X-XSS-Protection "1; mode=block";

В этом гайде предполагается, что вы используете пользовательский файл конфигурации server block в каталоге /etc/nginx/sites-available. Этот мануал также следует соглашениям из предыдущего туториала по Nginx и использует в качестве примера файл конфигурации /etc/nginx/sites-available/your_domain. При необходимости замените имя файла.

sudo cp /etc/nginx/sites-available/your_domain /etc/nginx/sites-available/your_domain.bak

sudo nano /etc/nginx/sites-available/your_domain

server {
        listen 80;
        listen [::]:80;

        root /var/www/your_domain/html;
        index index.html index.htm index.nginx-debian.html;

        server_name your_domain www.your_domain;

        location / {
                try_files $uri $uri/ =404;
        }
}

Ваш файл может быть написан в другом порядке, вместо директив root и index могут быть директивы location, proxy_pass или другие пользовательские параметры конфигурации. Это нормально, поскольку вам нужно обновить только директивы listen и включить сниппеты SSL. Затем измените существующий server block для обслуживания SSL-трафика на порту 443, создайте новый server block для ответа на порт 80 и автоматического перенаправления трафика на порт 443.

server {
    listen 443 ssl;
    listen [::]:443 ssl;
    include snippets/self-signed.conf;
    include snippets/ssl-params.conf;

root /var/www/your_domain/html;
        index index.html index.htm index.nginx-debian.html;

  server_name your_domain.com www.your_domain.com;

  location / {
                try_files $uri $uri/ =404;
        }
}

server {
    listen 80;
    listen [::]:80;

    server_name your_domain. com www.your_domain.com;

    return 302 https://$server_name$request_uri;
}

sudo ufw app list

Available applications:
  Nginx Full
  Nginx HTTP
  Nginx HTTPS
  OpenSSH

sudo ufw status

Status: active

To                         Action      From
--                         ------      ----
OpenSSH                    ALLOW       Anywhere
Nginx HTTP                 ALLOW       Anywhere
OpenSSH (v6)               ALLOW       Anywhere (v6)
Nginx HTTP (v6)            ALLOW       Anywhere (v6)

sudo ufw allow 'Nginx Full'
sudo ufw delete allow 'Nginx HTTP'

Status: active

To                         Action      From
--                         ------      ----
OpenSSH                    ALLOW       Anywhere
Nginx Full                 ALLOW       Anywhere
OpenSSH (v6)               ALLOW       Anywhere (v6)
Nginx Full (v6)            ALLOW       Anywhere (v6)

sudo nginx -t

nginx: [warn] "ssl_stapling" ignored, issuer certificate not found for certificate "/etc/ssl/certs/nginx-selfsigned.crt"
nginx: the configuration file /etc/nginx/nginx.conf syntax is ok
nginx: configuration file /etc/nginx/nginx.conf test is successful

Обратите внимание на предупреждение в начале. Как отмечалось ранее, эта конкретная настройка генерирует предупреждение, поскольку самоподписанный сертификат не может использовать SSL stapling. Это ожидаемо, нет повода для беспокойства: ваш сервер все равно может правильно шифровать соединения.

sudo systemctl restart nginx

https://server_domain_or_IP

Это предупреждение не должно вас беспокоить, поскольку нас интересует только аспект шифрования сертификата, а не проверка подлинности хоста третьей стороной. Нажмите “ADVANCED”, а затем на указанную ссылку, чтобы перейти к вашему хосту:

На этом этапе тестирования вы должны перейти на свой сайт. В нашем примере в адресной строке браузера отображается замок со знаком “x” над ним, это означает, что сертификат не может быть подтвержден. Но он по-прежнему шифрует соединение. Обратите внимание, что этот значок может отличаться в зависимости от браузера.

http://server_domain_or_IP

sudo nano /etc/nginx/sites-available/your_domain

return 301 https://$server_name$request_uri;

sudo nginx -t

sudo systemctl restart nginx

Мы настроили сервер Nginx на использование надежного шифрования для клиентских соединений. Это позволит вам безопасно обслуживать запросы и предотвратит перехват трафика сторонними лицами. При желании вы можете перейти на SSL-сертификат от центра Let’s Encrypt, который устанавливает бесплатные TLS/SSL-сертификаты и обеспечивает шифрованный HTTPS на веб-серверах.

mkdir /etc/nginx/ssl
chown root:root /etc/nginx/ssl
chmod 700 /etc/nginx/ssl

cd /etc/nginx/ssl
openssl req -new -x509 -days 9999 -nodes -newkey rsa:2048 -out cert.  https://$host$request_uri? permanent;
}
server {
    listen          *:443 ssl;
    server_name     my.site.com;
    ssl			on;
    ssl_protocols       TLSv1 TLSv1.1 TLSv1.2; # SSLv3 исключить CVE-2014-3566
    ssl_certificate	/etc/nginx/ssl/cert.pem;
    ssl_certificate_key	/etc/nginx/ssl/cert.key;
    ...
}

/etc/init.d/nginx reload

https://my.site.com

openssl req -new -x509 -days 9999 -nodes -out cert.pem -keyout cert.key

Значение	Описание	Обязательный параметр?
С	Двухсимвольный код страны (Country)	нет
ST	Название региона/области/края/республики/… (State Name)	нет
L	Название города/поселка/… (Locality Name)	нет
O	Название организации (Organization Name)	нет
OU	Название отдела (Organization Unit)	нет
CN	Имя сертификата, при создании серверных сертификатов используется доменное имя сайта (Common Name)	да
emailAddress	почтовый адрес (E-mail address)	нет

openssl req -new -x509 -days 9999 -nodes -subj /C=RU/O=My\ site/CN=my. site.com/[email protected] -out cert.pem -keyout cert.key

В этом руководстве я покажу вам, как создать самозаверяющий сертификат SSL/TLS и используйте его на Nginx за 5 минут или меньше. Я использую Ubuntu для этого урока, но если вы работаете в Mac OSX, вы можете следовать ему, так как синтаксис и команды почти идентичны.

Самозаверяющие сертификаты полезны для локальной разработки, когда вы хотите имитировать среду HTTPS. Обратите внимание, что самозаверяющие сертификаты не предназначены для производства, но они идеально подходят для разработки на локальном хосте.

OpenSSL создаст 2 файла, состоящих из закрытого и открытого ключа. Несмотря на то, что большинство людей называют сертификат SSL/TLS в единственном числе, сертификат представляет собой комбинацию закрытого ключа и открытого ключа.

Перед запуском команды OpenSSL для создания самозаверяющего сертификата я собираюсь создать файл конфигурации сертификата, в котором будут указаны биты сертификата и альтернативные имена субъекта. Альтернативные имена субъекта необходимы в Google Chrome 58 и более поздних версиях и используются для сопоставления доменного имени и сертификата. Если имя домена не указано в списке альтернативных имен субъектов сертификата, вы получите сообщение об ошибке NET::ERR_CERT_COMMON_NAME_INVALID .

 sudo nano localhost.conf

 [req]
биты по умолчанию = 2048
default_keyfile = localhost.key
отличительное_имя = req_distinguished_name
req_extensions = req_ext
x509_extensions = v3_ca
[req_distinguished_name]
countryName = название страны (двухбуквенный код)
countryName_default = США
stateOrProvinceName = название штата или провинции (полное название)
stateOrProvinceName_default = Нью-Йорк
localityName = Название местности (например, город)
localityName_default = Рочестер
OrganizationName = Название организации (например, компания)
имя_организации_по умолчанию = локальный хост
organizationUnitName = организационная единица
organizationUnitName_default=Развитие
commonName = Общее имя (например, полное доменное имя сервера или ВАШЕ имя)
commonName_default = локальный хост
общееИмя_макс = 64
[req_ext]
subjectAltName = @alt_names
[v3_ca]
subjectAltName = @alt_names
[alt_names]
DNS.1 = локальный хост
DNS.2 = 127.0.0.1

 sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout localhost. key -out localhost.crt -config localhost.conf

 sudo cp localhost.crt /etc/ssl/certs/localhost.crt

 sudo cp localhost.key /etc/ssl/private/localhost.key

 sudo nano /etc/nginx/sites-available/default

 server {
        слушать 80;
        слушать 443 ssl http2;
        слушать [::]:443 ssl http2;
        имя_сервера локальный хост;
        ssl_certificate /etc/ssl/certs/localhost.crt;
        ssl_certificate_key /etc/ssl/private/localhost.key;
        
        ssl_protocols TLSv1.2 TLSv1.1 TLSv1;
        корень /var/www/html;
        индекс index.html index.nginx-debian.html;
}

 sudo service nginx reload

 certutil -d sql:$HOME/.pki/nssdb -A -t "P, " -n "localhost" -i localhost.crt

Я пытаюсь запустить приложение пользовательского интерфейса с помощью Docker, используя образ nginx. Я могу без проблем получить доступ к службе через порт 80, но всякий раз, когда я пытаюсь получить к ней доступ через https через порт 443, я не могу получить доступ к приложениям на сайте продолжает загружаться и в конечном итоге приводит к недоступности. Я обновил файл nginx.conf в default.conf, чтобы разрешить доступ через порт 443

 кодировка utf-8;
сервер {
    слушать 80;
    имя_сервера локальный хост;
    корень /usr/nginx/html;
}
сервер {
    слушать 443;
    имя_сервера локальный хост;
    корень /usr/nginx/html;
}

 ИЗ nginx
КОПИРОВАТЬ дист /usr/nginx/html
ВЫПОЛНИТЬ chmod -R 777 /usr/nginx/html/*
скопируйте nginx.conf /etc/nginx/conf.d/default.conf
КОПИРОВАТЬ домен.crt /usr/nginx
РАЗОБЛАЧЕНИЕ 80:443
ENTRYPOINT nginx -g 'демон выключен;'

Чтобы сервер nginx разрешил шифрование SSL, вам необходимо указать флаг ssl во время прослушивания в nginx. conf
и только ssl-сертификата будет недостаточно, вам также понадобятся ключ и пароль ssl-сертификата, и их необходимо настроить.

 кодировка utf-8;
сервер {
    слушать 80;
    имя_сервера локальный хост;
    корень /usr/share/nginx/html;
}
сервер {
    слушать 443 ssl;
    ssl_certificate /usr/nginx/ssl.crt;
    ssl_certificate_key /usr/nginx/ssl.key;
    файл_пароля_ssl /usr/nginx/ssl.pass;
    имя_сервера локальный хост;
    корень /usr/nginx/html;
}

 ИЗ nginx
КОПИРОВАТЬ дист /usr/nginx/html
ВЫПОЛНИТЬ chmod -R 777 /usr/nginx/html/*
скопируйте nginx.conf /etc/nginx/conf.d/default.conf
скопируйте ssl.crt /usr/nginx/
скопируйте ssl.pass /usr/nginx/
скопируйте ssl.key /usr/nginx/
РАЗОБЛАЧЕНИЕ 80:443
ENTRYPOINT nginx -g 'демон выключен;'

Posted:

Comments:

Nginx самоподписанный сертификат: Создание самоподписанного SSL-сертификата для Nginx в Ubuntu 18.04

Самоподписанный SSL-сертификат для Nginx | 8HOST.COM

Требования

1: Создание TLS-сертификата

2: Настройка Nginx для поддержки SSL

Настройка ключа и сертификата SSL

Настройка шифрования

Настройка Nginx для поддержки SSL

3: Настройка брандмауэра

4: Включение изменений в Nginx

5: Тестирование шифрования

6: Переход на постоянный редирект

Заключение

SSL (https) в Nginx [Enchanted Technology]

Создание самоподписанного сертификата

Создайте самозаверяющий сертификат для Nginx за 5 минут

Зачем создавать самозаверяющий сертификат?

Обзор создания самозаверяющего сертификата

Посмотрите обучающее видео на Youtube

Шаг 1. Создание самозаверяющего сертификата с использованием OpenSSL

Шаг 2. Скопируйте ключ сертификата Соедините папку Certificates в Ubuntu

Шаг 3. Обновите файл конфигурации Nginx, чтобы загрузить пару ключей сертификата

Откройте Google Chrome, чтобы убедиться, что Nginx загружает сайт через HTTP и HTTPS

Шаг 4. Настройте Chrome так, чтобы он доверял сертификату и показывал сайт как безопасный

Запуск Nginx Docker с самозаверяющим сертификатом SSL

Рубрики