使用 Nginx实现 HTTPS 访问安全配置指南（使用nginx搭建web服务器）
一、引言
----
随着网络安全的重要性不断提升，越来越多的网站选择采用 HTTPS 协议来保护数据传输安全。
Nginx 是一款功能强大的 Web 服务器和反向代理服务器，它能够轻松地配置 HTTPS访问。
本文将介绍如何使用 Nginx 实现 HTTPS 访问的安全配置。
二、准备工作
------
在开始配置之前，请确保您已经完成了以下准备工作：
1. 获取 SSL 证书：您可以从权威的证书颁发机构（CA）申请SSL 证书，如 Lets Encrypt。
2. 安装 Nginx：在您的服务器上安装 Nginx。可以通过包管理器（如 apt、yum）进行安装。
三、生成 SSL 证书和密钥
-----------
如果您还没有 SSL 证书和私钥，可以使用OpenSSL 工具生成自签名证书。
在生产环境中，请务必使用权威 CA 签发的证书。
1. 生成私钥：
```css
openssl genrsa -des3 -out server.key 2048
```
2. 生成证书请求（CSR）：
```css
openssl req -new -key server.key -out server.csr
```
3. 自签名证书：
```css
openssl x509 -req-days 365 -in server.csr -signkey server.key -out server.crt
```
这将生成一个自签名证书 `server.crt` 和私钥 `server.key`。在生产环境中，请使用权威 CA 签发的证书替换自签名证书。
四、配置 Nginx
-------
接下来，我们将配置 Nginx 以支持 HTTPS 访问。
1. 打开 Nginx 配置文件：
```bash
sudo nano /etc/nginx/nginx.conf
```
2. 在 `http` 块内添加以下配置，以确保 HTTPS 相关的配置生效：
```nginx
server {
listen 443 ssl; HTTPS 默认端口为 443
server_name your_domain.com; 替换为您的域名或 IP地址
ssl_certificate /path/to/server.crt; 证书文件路径，替换为您的证书路径
ssl_certificate_key /path/to/server.key; 私钥文件路径，替换为您的私钥路径
ssl_protocols TLSv1.2 TLSv1.3; 推荐使用 TLSv1.2 或更高版本以支持更安全的加密协议和算法组合。根据您的需要调整此设置。更多安全选项可通过查阅 Nginx 的 SSL 模块配置进行了解。比如你可以启用 client certificates，添加 `ssl_client_certificate` 等配置项来实现客户端验证。使用 SSL 密码套件时，请确保选择安全的密码套件组合，避免已知的弱加密算法和协议。为了增强安全性，你还可以启用 SSL 会话缓存等高级特性。更多关于 SSL 配置的详细参数和选项可以在 Nginx 的官方文档中找到。请确保你的配置符合你的安全需求和环境要求。完成配置后保存并退出编辑器。接下来重启 Nginx 以应用新的配置更改。你可以使用以下命令重启 Nginx：sudo service nginx restart 或者根据你的系统环境使用其他相应的命令重启 Nginx 服务以应用新的配置更改并启用 HTTPS 服务。Ssl on; 表示启用 SSL 功能。Ssl_dhparam 可以用来指定DH 参数文件路径以提高安全性。Ssl_trusted_certificate 可用来验证客户端证书的证书链等更安全操作可以通过相应的指令进行配置来实现更安全的环境要求更详细的参数配置可以查看官方文档。请根据需要进行相应的调整以满足你的需求和环境要求。,location / {表示处理所有的请求即匹配所有 URL 根路径的请求可以通过代理传递将客户端的请求传递给上游服务器后端进行处理的。Root 参数后面跟着的是服务器的默认主页目录的位置也就是网站的根目录在这个例子中为 /var/www/html/ 即默认站点的根目录如果服务器需要指向其他目录则需要更改这个路径。,如果网站中有其他页面或者子目录需要处理可以通过添加更多的 location 块来实现匹配不同的 URL 请求并做出相应的处理。 } 表示结束这个 server 块内的配置。}; 表示结束 http 块内的配置。Save and exit the editor. 保存并退出编辑器。Restart Nginx to apply the new configuration changes. 重启 Nginx 以应用新的配置更改。”server {} };} 注意这个指令以特定方式组织和写是为了说明多个Nginx服务器实例在不同的主机块下的复杂情况在你只拥有一个服务器的场景中的用法稍有不同。Restart Nginx service to apply new configuration changesand enable HTTPS service. 请根据你的系统环境使用适当的命令重启 Nginx 服务以应用新的配置更改并启用 HTTPS 服务。这通常可以通过使用系统的服务管理工具如 systemctl 或 service 来完成。Ssl ciphers 是另一个重要的安全配置项它允许你指定服务器接受的密码套件顺序以确保只接受安全的密码套件连接。Ssl ciphers HIGH:!aNULL:!MD5:!kEDH 是一个推荐的密码套件列表可以根据你的需求和环境进行调整。Include /etc
Nginx 反向代理为什么可以提高网站性能
Nginx做反向代理后，会根据后端服务器的压力判断将当前请求转发到哪个后端服务器处理。 这样可以更合理的进行分流，使得每一台服务器都能够合理的利用资源。 如果不通过反向代理，所有的请求都会经过同一个服务器处理，当请求量超出服务器处理能力时，就会出现拒绝服务的问题，很多人都会访问不了。
如何架设IIS网站？
一个IP建多个Web站点TCP端口法由于各种原因，我们有时候需要在一个IP地址上建立多个web站点，在IIS5中，我们可能通过简单的设置达到这个目标。 在IIS中，每个 Web 站点都具有唯一的、由三个部分组成的标识，用来接收和响应请求:(1) IP地址(2) 端口号(3) 主机头名在IIS中，在一个IP地址上建立多个独立的web站点，通常有两种方法，本文以以例子的形式介绍TCP端口法。 环境：假设深圳市某某公司的内部网由一台win2000服务器和几十台工作站组成，这个内部网的网段是192.168.1.0/24，服务器的地址是192.168.1.10，名称是myserver。 在这台服务器已经安装了Internet服务，即IIS 5。 沧海公司有A，B，C三个部门，分别在8086，8087，8088三个房间办公。 现在公司要求网络管理员在服务器上使用一个IP为公司和三个部分别建立一个网站，即要建立四个网站。 通过使用附加端口号，站点只需一个 IP 地址即可维护多个站点。 客户要访问站点时，需在静态IP地址后面附加端口号（默认 Web 站点除外，它使用端口 80）。 具体操作如下:1、在win2000服务器上为公司和三个部门在硬盘上建立文件夹，做为WEB站点主目录。 如下:WEB站点主目录WEB站点d:\web\com 公司网站d :\web\a A部门网站d:\web\b B部门网站d:\web\c C部门网站2、使用WEB站点管理向导，分别为公司和三个部门建立四个WEB站点，四者最大的不同是使用了不同的TCP端口:公司站点 A部门站点 B部门站点 C部门站点IP地址 192.168.1.10TCP端口 80 8086 8087 8088权限 读取和运行脚本站点主目录 d:\web\com d:\web\a d:\web\b d:\web\c这样，客户端就可以通过:访问公司站点。 访问A部门站点访问B部门站点访问C部门站点这种方法建立的WEB站点使用非默认端口的网站具有相对的隐蔽性，但此方法维护多个站点要求客户在端口号前键入实际的数字 IP 地址。 不能使用主机名和“友好名称”。 方法二、主机头名法由于各种原因，我们有时候需要在一个IP地址上建立多个web站点，在IIS5中，我们可能通过简单的设置达到这个目标。 在IIS中，每个 Web 站点都具有唯一的、由三个部分组成的标识，用来接收和响应请求:(1) IP地址(2)端口号(3)主机头名。 在IIS中，在一个IP地址上建立多个独立的web站点，通常有两种方法，本文以以例子的形式介绍主机头法，使用这种方法可以建立起专业的虚拟主机。 环境：假设深圳市某某公司用一台win2000服务器提供虚拟主机服务，地址是192.168.1.10。 在这台服务器已经安装了Internet服务即IIS 5。 现在公司要求网络管理员在服务器上使用一个IP为ABCD四个公司建立独立的网站，每个网站拥有自己独立的域名。 四家网站域名分别为: ， ， 和 。 通过使用主机头，站点只需一个 IP 地址即可维护多个站点。 客户可以使用不同的域名访问各自的站点，根本感觉不到这些站点在同一主机上。 具体操作如下:1、在win2000服务器为四家公司建立文件夹，做为WEB站点主目录。 如下: WEB站点主目录 WEB站点d:\web\a A公司网站d:\web\b B公司网站d:\web\c C公司网站d:\web\d D公司网站2、使用WEB站点管理向导，分别四家公司建立独立的WEB站点，四者最大的不同是使用了不同的主机头名:A公司站点 B公司站点 C公司站点 D公司站点IP地址 192.168.1.10TCP端口 80权限 读取和运行脚本主机头站点主目录 d:\web\a d:\web\b d:\web\c d:\web\d在DNS中将这四个域名注册上，均指向同一地址:192.168.1.10。 这样，客户端就可以通过:3、每个站点的主机头名可以在WEB站点建立向导中设置，它与站点的IP地址，TCP端口在同一屏上。 也可能通过该站点->属性->WEB站点标签->选IP地址右边的高级按钮，跳出高级多WEB站点配置进行配置。 这种方法建立可以建立专业的虚拟主机，几乎所有使用IIS提供虚拟主机的公司都这样做的。
如何通过HTTPS方式访问web service
web service在企业应用中常常被用作不同系统之间的接口方式。 但是如果没有任何安全机制的话，显然是难以委以重任的。 比较直接的web service加密方式就是使用HTTPS方式(SSL证书加密)加密连接，并且只允许持有信任证书的客户端连接，即SSL双向认证。 这样就保证了连接来源的可信度以及数据在传输过程中没有被窃取或篡改。 通过HTTPS加密方式访问web service具体方法如下：【准备工作】(1)检查JDK的环境变量是否正确。 本文使用JDK 1.6(2)准备web服务器，这里选用TOMCAT 6.0(3)准备web service服务端和客户端。 【生成证书】这里用到的文件，这里存放在D:/SSL/文件夹内，其中D:/SSL/server/内的文件是要交给服务器用的，D:/SSL/client/内的文件是要交给客户端用的。 1生成服务端证书开始-运行-CMD-在dos窗口执行下执行命令：keytool -genkey -v -aliastomcat -keyalg RSA -keystore D:/SSL/server/ -dnameCN=127.0.0.1,OU=zlj,O=zlj,L=Peking,ST=Peking,C=CN -validity 3650-storepass zljzlj -keypass zljzlj说明：keytool 是JDK提供的证书生成工具，所有参数的用法参见keytool –help-genkey 创建新证书-v 详细信息-alias tomcat 以”tomcat”作为该证书的别名。 这里可以根据需要修改-keyalg RSA 指定算法-keystoreD:/SSL/server/ 保存路径及文件名-dnameCN=127.0.0.1,OU=zlj,O=zlj,L=Peking,ST=Peking,C=CN 证书发行者身份，这里的CN要与发布后的访问域名一致。 但由于这里是自签证书，如果在浏览器访问，仍然会有警告提示。 真正场景中建议申请CA机构(wosign)签发的SSL证书更安全。 -validity 3650证书有效期，单位为天-storepass zljzlj 证书的存取密码-keypass zljzlj 证书的私钥2 生成客户端证书执行命令：keytool ‐genkey ‐v ‐aliasclient ‐keyalg RSA ‐storetype PKCS12 ‐keystore D:/SSL/client/client.p12 ‐dnameCN=client,OU=zlj,O=zlj,L=bj,ST=bj,C=CN ‐validity 3650 ‐storepassclient ‐keypass client说明：参数说明同上。 这里的-dname 证书发行者身份可以和前面不同，到目前为止，这2个证书可以没有任何关系。 下面要做的工作才是建立2者之间的信任关系。 3 导出客户端证书执行命令：keytool ‐export ‐aliasclient ‐keystore D:/SSL/client/client.p12 ‐storetype PKCS12 ‐storepass client‐rfc ‐file D:/SSL/client/说明：-export 执行导出-file 导出文件的文件路径4 把客户端证书加入服务端证书信任列表执行命令：keytool ‐import ‐aliasclient ‐v ‐file D:/SSL/client/ ‐keystoreD:/SSL/server/ ‐storepass zljzl说明：参数说明同前。 这里提供的密码是服务端证书的存取密码。 5 导出服务端证书执行命令：keytool -export -aliastomcat -keystore D:/SSL/server/ -storepass zljzlj -rfc -fileD:/SSL/server/说明：把服务端证书导出。 这里提供的密码也是服务端证书的密码。 6 生成客户端信任列表执行命令：keytool -import -fileD:/SSL/server/ -storepass zljzlj -keystoreD:/SSL/client/ -alias tomcat –noprompt说明：让客户端信任服务端证书【 配置服务端为只允许HTTPS连接】1 配置Tomcat 目录下的/conf/代码：<Connectorport=8443 protocol=HTTP/1.1 SSLEnabled=truemaxThreads=150 scheme=https secure=trueclientAuth=true sslProtocol=TLSkeystoreFile=D:/SSL/server/ keystorePass=zljzljtruststoreFile=D:/SSL/server/ truststorePass=zljzlj />说明：在里面这段内容本来是被注释掉的，如果想使用https的默认端口443，请修改这里的port参数。 其中的clientAuth=true 指定了双向证书认证。
评论一下吧
取消回复