nginx中配置ssl双向认证详解

清疚 2022-07-15 12:20 381阅读 0赞

**nginx中配置ssl双向认证详解**

需求说明：公司内部一些业务系统对安全性要求比较高，例如mis、bi等，这些业务系统只允许公司内部人员访问，而且要求浏览器要安装证书登录，对公司入职有需求的人员开通证书，流失的人员注销证书。

一、首先修改openssl配置的参数  \#\#没安装openssl需要先安装

vim  /etc/pki/tls/openssl.cnf

\#下面只列出配置文件中和自建CA有关的几个关键指令

dir=/etc/pki/CA      \#CA的工作目录

database=$dir/index.txt    \#签署证书的数据记录文件，下面会生成index这个文件

new\_certs\_dir=$dir/newcerts   \#存放新签署证书的目录

serial=$dir/serial     \#新证书签署号记录文件下，下面会生成serial这个文件

certificate=$dir/ca.crt    \#CA的证书路径，下面会对应生成ca.crt这个证书

private\_key=$dir/private/cakey.pem   \#CA的私钥路径，下面会生成这个密钥

crlnumber       = $dir/crlnumber        \# 吊销证书用，下面会生成这个文件

crl             = $dir/ca.crl        \# 当前证书列表,与下面生成的吊销证书文件名一致

二、使用openssl制作CA的自签名证书

\#切换到CA的工作目录

cd/etc/pki/CA

\#制作CA私钥

umask077    \#\#\#确保证书只有拥有者才可以访问

openssl genrsa -out private/cakey.pem 2048

\#制作自签名证书

openssl req -new -x509 -key private/cakey.pem -out ca.crt

\#生成数据记录文件，生成签署号记录文件，给文件一个初始号。

\#\#\#\#注意 commonName = aaa.com(对应域名)  \#\#\#这个填域名,这个是后面证书的颁发者

touch index.txt

touch serial

touch crlnumber   \#\#\#注销证书用

echo '01' > serial

echo '01' > crlnumber

openssl ca -gencrl -crldays3650 -out ca.crl    \# 产生crl文件，供吊销证书使用

\#自建CA完成

三、准备服务器端证书

\#建立存放服务器证书文件夹

cd /etc/pki/CA;mkdir server;cd server

\#制作服务器端私钥

umask077

openssl genrsa -out server.key 1024

\#制作服务器端证书申请指定使用sha512算法签名（默认使用sha1算法）

openssl req -new -key server.key -sha512 -out server.csr

\#签署证书，3650是指证书有效期为10年

openssl ca -in server.csr -out server.crt -days 3650

\#服务器证书准备完成

四、准备客户端证书

\#建立存放客服端证书的文件夹

cd /etc/pki/CA;mkdir client;cd client

\#制作客户端私钥

umask077

openssl genrsa -out client.key 1024

\#制作客户端证书申请

openssl req -new -key client.key -out client.csr

\#签署证书,有效期为10年

openssl ca -in client.csr -out client.crt -days 3650

注意事项:

1、制作证书时会提示输入密码，设置密码可选，服务器证书和客户端证书密码可以不相同。

2、服务器证书和客户端证书制作时提示输入省份、城市、域名信息等，需保持一致，commonName这个需要不同。

五、nginx的配置 注意：nginx编译的时候要带上\--with-http\_ssl\_module选项

server\{

listen 443;

server\_name localhost;

ssi on;

ssi\_silent\_errors on;

ssi\_types text/shtml;

ssl on;

ssl\_certificate /etc/pki/CA/server/server.crt;

ssl\_certificate\_key /etc/pki/CA/server/server.key;

ssl\_client\_certificate /etc/pki/CA/ca.crt;

ssl\_verify\_client on;

ssl\_protocols TLSv1 TLSv1.1 TLSv1.2;

ssl\_ciphers ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP;

ssl\_prefer\_server\_ciphers On;

ssl\_crl /etc/pki/CA/server/ca.crl;  \#检查吊销的证书

location / \{

proxy\_pass   http://localhost:8080; \#\#反向代理到tomcat 8080 端口

proxy\_redirect default;

六、客户端证书格式转换

\#将文本格式的证书转换成可以导入浏览器的证书

cd /etc/pki/CA/client

openssl pkcs12 -export -clcerts -in client.crt -inkey client.key -out client.p12

\#sz client.p12 到windows，然后把client.p12导入到浏览器的个人证书里，重启浏览器，导入正常就能正常访问，否则返回400没有证书被发送错误。

七、撤销用户证书(例如要注销名字为ceshi的证书)

cat index.txt | grep ceshi  类似如下

V 261106092713  04   unknown /C=CN/ST=GD/O=CKY/OU=YW/CN=ceshi/emailAddress=1234567@qq.com

可得  值为04

cd  /etc/ssl/newcerts

openssl ca -revoke 04.pem                \#\#完成注销，证书的V会变为R

openssl ca -gencrl -crldays 3650 -out ca.crl \#\#\#更新ca.crl文件

/usr/local/nginx/sbin/nginx -s reload   \#\#\#\#重启nginx ,吊销证书生效

nginx中配置ssl双向认证详解

发表评论取消回复

还没有评论，来说两句吧...

相关阅读

相关 Nginx配置https双向认证

相关 SSL单向、双向认证

相关 ssl双向认证和单向认证原理

相关 nginx配置ssl双向验证的方法

相关 nginx中配置ssl双向认证详解

相关 nginx中配置ssl双向认证详解

相关 Linux通过Nginx配置SSL实现服务器/客户端双向认证（详细）

相关 Java配置SSL双向认证

相关 NGINX 配置本地HTTPS(双向认证)

相关 SSL认证：单向认证与双向认证