在Nginx服务器上安装ssl证书 - jerry

Welcome to Aiiyx !

在Nginx服务器上安装ssl证书

SSL(Secure Sockets Layer 安全套接字协议),及其继任者传输层安全(Transport Layer Security,TLS)是为网络通信提供安全及数据完整性的一种安全协议。TLS与SSL在传输层与应用层之间对网络连接进行加密。

通过SSL证书服务购买和签发证书后,您可以将已签发的证书下载并安装到Nginx(或Tengine)服务器上。本文介绍了下载SSL证书并在Nginx(或Tengine)服务器上安装证书的具体操作。

前提条件

  • 已经通过SSL证书服务完成证书签发。更多信息,请参见阿里云提交证书申请
  • 已准备好远程登录工具(例如PuTTY、Xshell),用于登录您的Web服务器。

背景信息

本文以CentOS 8操作系统、Nginx 1.14.1服务器系统为例进行说明。由于服务器系统版本不同,您在操作过程中使用的命令可能会略有区别。本文中出现证书文件名称的地方,统一使用cert-file-name为例进行描述。例如,本文中用到的证书文件为cert-file-name.pem、证书密钥文件为cert-file-name.key。

注意 您在实际操作过程中,需要根据示例代码中的提示,将cert-file-name替换成您的证书文件的名称。关于如何获取证书文件的名称,请参见下载证书到本地

步骤1:下载证书到本地

  1. 登录SSL证书控制台
  2. 概览等相关页面,单击证书列表上方的证书状态下拉列表,并选择已签发该操作将会筛选出所有已经通过CA机构签发的证书。
  3. 定位到要下载的证书,单击操作列下的下载
  4. 证书下载页面,定位到Nginx服务器,单击操作列下的下载。该操作会将Nginx服务器证书压缩包下载到本地,并保存在浏览器的默认下载位置。
  5. 打开浏览器的默认下载位置,解压已下载的Nginx证书压缩包文件。解压后您将会获得以下文件:
    • PEM格式的证书文件。注意 在后续安装证书的操作中,您必须使用真实的证书文件名称替换示例代码中的cert-file-name。PEM格式的证书文件是采用Base64编码的文本文件,您可以根据需要将证书文件修改成其他格式。关于证书格式的更多信息,请参见主流数字证书都有哪些格式
    • 可选:KEY格式的证书密钥文件。注意 如果您在申请证书时将CSR生成方式设置为手动填写,则下载的证书文件压缩包中不会包含KEY文件,您需要手动创建证书密钥文件。
  6. 在Nginx服务器上安装证书。根据您是否使用独立的Nginx服务器,安装证书的操作不同:

步骤2:(可选)为Nginx虚拟主机配置SSL证书

1、登录您的虚拟机。在Web根目录和nginx配置目录下分别创建cert目录,并将下载的证书文件和密钥文件拷贝到cert目录中。

2、打开虚拟主机配置文件,将以下内容复制粘贴到文件末尾。
说明 不同服务器系统的虚拟主机配置文件不同,例如,Nginx服务器默认是*.conf、Apache服务器默认是vhosts.conf等。关于虚拟主机配置文件的具体路径,请参照服务器使用说明中关于开启虚拟主机方法的介绍。保存vhost.conf或*.conf文件并退出。

server {
listen 443 ssl;
server_name localhost;
root html;
index index.html index.htm;
ssl_certificate cert/cert-file-name.pem; #需要将cert-file-name.pem替换成已上传的证书文件的名称。
ssl_certificate_key cert/cert-file-name.key; #需要将cert-file-name.key替换已上传的证书密钥文件的名称。
ssl_session_timeout 5m;
ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_prefer_server_ciphers on;
location / {
index index.html index.htm;
}
}

注意:如果是php程序,需要更改添加配置相应的location

可选:设置HTTP请求自动跳转HTTPS。如果您希望所有的HTTP访问自动跳转到HTTPS页面,则可以在Web目录下打开.htaccess文件(如果没有,需新建该文件),并添加以下rewrite语句。

RewriteEngine On
RewriteCond %{HTTP:From-Https} !^on$ [NC]
RewriteCond %{HTTP_HOST} ^(www.)?yourdomain.com$ [NC] #需要将yourdomain.com替换成证书绑定的域名。
RewriteRule ^(.*)$ https://www.yourdomain.com/$1 [R=301,L] #需要将yourdomain.com替换成证书绑定的域名。

关于HTTP跳转,请详见:

设置HTTP请求自动跳转HTTPS方式:

3、重启相关服务。

注意 证书安装成功后,您需要在虚拟主机上配置伪静态规则,这样您的网站才能全站都支持HTTPS,否则只有网站的主页支持HTTPS,网站的子目录将不支持HTTPS。这句话据实际而言。

4、验证证书是否安装成功

证书安装完成后,您可通过访问证书的绑定域名验证该证书是否安装成功。

分享