Linux 系统 Https 证书生成与Nginx配置 https

> 本文由 [简悦 SimpRead](http://ksria.com/simpread/) 转码， 原文地址 [blog.csdn.net](https://blog.csdn.net/charlesfromcn/article/details/108509564)

#### Linux 系统 Https 证书生成与 [Nginx](https://so.csdn.net/so/search?q=Nginx&spm=1001.2101.3001.7020) 配置 https

*   [证书生成](#_1)
*   *   [查看 openssl](#openssl_2)
    *   [生成证书](#_16)
*   [Nginx 配置 https（默认 443 端口）](#Nginxhttps443_88)

证书生成
----

### 查看 [openssl](https://so.csdn.net/so/search?q=openssl&spm=1001.2101.3001.7020)

1，我们在 linux 系统下用 openssl 生成证书，首先查看系统是否已经安装 openssl，执行命令：

```
openssl version -a
```

![](http://yg9538.kmgy.top/202311121037687.png)

2，以上显示的 OPENSSLDIR："/etc/ssl" 为当前 openssl 安装的位置，配置文件中有一些默认的设置，如果有特殊需要我们可以进行修改，执行命令：

```
vi /etc/ssl/openssl.cnf
```

![](http://yg9538.kmgy.top/202311121037832.png)

### 生成证书

3，文件夹随意位置，生成根证书的私钥（CA 证书的 RSA 密钥，PEM 格式)，执行命令：

```
openssl genrsa -des3 -out server.key 2048
```

会提示输入密码，输入两次相同密码即可：  
![](http://yg9538.kmgy.top/202311121037521.png)  
**此时生成文件：server.key**

命令说明：  
genrsa：产生 rsa 密钥命令  
-out： 输出文件名  
2048： 密钥的长度位数，默认为 512

4，openssl 调用此文件会经常要求输入密码，如果想去除此输密码的步骤，可以执行命令：

```
openssl rsa -in server.key -out server.key
```

则输入之前密码后可去除密码。

5，生成证书签署请求，（创建服务器证书的申请文件 server.csr）, 执行命令：

```
openssl req -new -key server.key -out server.csr
```

会要求输入以下内容 (根据实际填写）

```
Country Name (2 letter code) [AU]:CN
State or Province Name (full name) [Some-State]:LiaoNing
Locality Name (eg, city) []:ShenYang
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Lagezai
Organizational Unit Name (eg, section) []:LGZ
Common Name (e.g. server FQDN or YOUR name) []:192.168.1.1
Email Address []:LGZ@lgz.com

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:
```

说明：  
![](http://yg9538.kmgy.top/202311121037680.png)  
**此时生成文件：server.csr**

6，生成自签证书，即根证书 CA（有效期为十年的），执行命令:

```
openssl req -new -x509 -key server.key -out ca.crt -days 3650
```

参照第五点输入所需信息。  
命令说明：  
-new：表示生成一个新证书签署请求  
-x509：专用于 CA 生成自签证书，如果不是自签证书则不需要此项  
-key：用到的私钥文件  
-out：证书的保存路径  
-days：证书的有效期限，单位是 day（天），默认是 openssl.cnf 的 default_days

**此时生成文件：ca.crt**，此文件可用来给自己的证书签名。

7，创建服务器证书（有效期十年）：

```
openssl x509 -req -days 3650 -in server.csr -CA ca.crt -CAkey server.key -CAcreateserial -out server.crt
```

![](http://yg9538.kmgy.top/202311121037061.png)  
**此时生成文件：ca.srl，server.crt**

至此，共存在五个文件：**server.key**，server.csr，ca.srl，ca.crt，**server.crt**

Nginx 配置 https（默认 443 端口）
-------------------------

1.  把刚才生成的文件 server.key，server.crt 拷贝到 Nginx 安装路径的 nginx/conf 下面
2.  编辑文件 nginx.conf，搜索 443 找到 https 配置，修改为如下配置：

```
server {
    listen 443;
    server_name localhost;  #这里可以填IP或者域名
    ssl on;
    ssl_certificate /root/Lee/keys/server.crt;     #配置证书位置
    ssl_certificate_key /root/Lee/keys/server.key; #配置秘钥位置】
    
    #ssl_client_certificate ca.crt;#双向认证
    #ssl_verify_client on; #双向认证
    
    ssl_session_timeout 5m;
    ssl_protocols SSLv2 SSLv3 TLSv1;
    ssl_ciphers ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP;
    ssl_prefer_server_ciphers on;
```

3.  重启 nginx, 到 nginx/sbin 目录下，执行命令：

```
./nginx -s reload
```

以上 Nginx 配置 https 完成。