Linux实战Nginx配置https服务

一、申请https证书

1.使用Let’s Encrypt申请通配符证书

• (1)官方介绍cerbot 0.22.0版本支持新的协议升级

# yum install letsencrypt
#certbot-2 --version
certbot 0.39.0 

在了解该协议之前有几个注意点：

• 1）客户在申请 Let’s Encrypt 证书的时候，需要校验域名的所有权，证明操作者有权利为该域名申请证书，目前支持三种验证方式： dns-01：给域名添加一个 DNS TXT 记录。 http-01：在域名对应的 Web 服务器下放置一个 HTTP well-known URL 资源文件。 tls-sni-01：在域名对应的 Web 服务器下放置一个 HTTPS well-known URL 资源文件。 而申请通配符证书，只能使用 dns-01 的方式
• 2）ACME v2 和 v1 协议是互相不兼容的，为了使用 v2 版本，客户端需要创建另外一个账户（代表客户端操作者），以 Certbot 客户端为例，大家可以查看：

# tree /etc/letsencrypt/accounts  -L 1
/etc/letsencrypt/accounts
└── acme-v02.api.letsencrypt.org

• 3）Enumerable Orders 和限制 为了实现通配符证书，Let’s Encrypt 在申请者身份校验上做了很大的改变。 有了订单 ID 的概念，主要是为了追踪通配符域名。 申请限制，在 V1 版本，Let’s Encrypt 为了避免滥操作，对申请证书有一些限制（很难学习，但是正常使用不会遇到该限制）。而 v2 版本，对于通配符证书，多了一个限制，New Orders per Account（每个证书订单数限制）。

(2)实践

certbot-2 certonly  -d *.geovis.cloud  --manual --preferred-challenges dns --server https://acme-v02.api.letsencrypt.org/directory

介绍下相关参数：

• certonly，表示安装模式，Certbot 有安装模式和验证模式两种类型的插件。
• --manual 表示手动安装插件，Certbot 有很多插件，不同的插件都可以申请证书，用户可以根据需要自行选择 -d 为那些主机申请证书，如果是通配符，输入 *.geovis.cloud（可以替换为自己的域名）
• --preferred-challenges dns，使用 DNS 方式校验域名所有权
• --server，Let’s Encrypt ACME v2 版本使用的服务器不同于 v1 版本，需要显示指定。

接下来命令输出：

上述有两个交互式的提示：

• 是否同意 Let’s Encrypt 协议要求
• 询问是否对域名和机器（IP）进行绑定 确认同意才能继续。
• 继续查看命令行的输出，非常关键：
• 要求配置 DNS TXT 记录，从而校验域名所有权，也就是判断证书申请者是否有域名的所有权。
• 上面输出要求给 _acme-challenge.geovis.cloud 配置一条 TXT 记录，在没有确认 TXT 记录生效之前不要回车执行。 我使用的是阿里云的域名服务器，登录控制台操作如下图： ** 注：上图，由于操作界面已经不存在，所以截取网友的操作界面图片** 然后输入下列命令确认 TXT 记录是否生效：

# dig  -t txt  _acme-challenge.geovis.cloud @8.8.8.8

; <<>> DiG 9.9.4-RedHat-9.9.4-73.el7_6 <<>> -t txt _acme-challenge.geovis.cloud @8.8.8.8
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 40875
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 512
;; QUESTION SECTION:
;_acme-challenge.geovis.cloud.  IN  TXT

;; ANSWER SECTION:
_acme-challenge.geovis.cloud. 599 IN    TXT "btB7u3FLkbbPDYIWVjBXRjnNPWPzCaZzJLm5tLog4BE"

;; Query time: 79 msec
;; SERVER: 8.8.8.8#53(8.8.8.8)
;; WHEN: Fri Nov 29 16:22:05 CST 2019
;; MSG SIZE  rcvd: 113

确认生效后，回车执行，输出如下：

恭喜您，证书申请成功，证书和密钥保存在下列目录：

# tree /etc/letsencrypt/archive/geovis.cloud/
/etc/letsencrypt/archive/geovis.cloud/
├── cert1.pem
├── chain1.pem
├── fullchain1.pem
└── privkey1.pem

0 directories, 4 files

然后校验证书信息，输入如下命令：

# openssl x509 -in /etc/letsencrypt/archive/geovis.cloud/cert1.pem -noout -text 

关键输出如下：

二、配置nginx

#yum install epel-release
#vim /etc/nginx/conf.d/https.conf
server{
    listen 443 ssl;
    server_name test.geovis.cloud;

    ssl_certificate /etc/letsencrypt/archive/geovis.cloud/fullchain1.pem;
    ssl_certificate_key /etc/letsencrypt/archive/geovis.cloud/privkey1.pem;

    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;

    location / {
                root /home/zhangjx/frontend/;
                try_files $uri $uri/ /index.html;
                index  index.html index.htm;
        }
}

肺炎猖狂，在家闭关！最近，会持续更新自己前期整理的学习资料，大家如果感兴趣的，请点赞，加关注

文章永久链接：https://tech.souyunku.com/44253