走点路» Nginx

Nginx 配置 SSL 证书 + HTTPS 站点小记

Showfom — Wed, 06 Jan 2010 13:04:11 +0000

今天给几个站点配置了认证的 ssl 证书，但是苦于自己技术不过关，或是知识不足，导致还有那么一小点 Bug 的出现，这里就我配置 HTTPS 站点的经验来总结一下吧。

一、什么是 SSL 证书，什么是 HTTPS 网站？

SSL证书是数字证书的一种，类似于驾驶证、护照和营业执照的电子副本。SSL证书通过在客户端浏览器和Web服务器之间建立一条SSL安全通道（Secure socket layer(SSL)安全协议是由Netscape Communication公司设计开发。该安全协议主要用来提供对用户和服务器的认证；对传送的数据进行加密和隐藏；确保数据在传送中不被改变，即数据的完整性，现已成为该领域中全球化的标准。由于SSL技术已建立到所有主要的浏览器和WEB服务器程序中，因此，仅需安装服务器证书就可以激活该功能了）。即通过它可以激活SSL协议，实现数据信息在客户端和服务器之间的加密传输，可以防止数据信息的泄露。保证了双方传递信息的安全性，而且用户可以通过服务器证书验证他所访问的网站是否是真实可靠。（来源）

二、什么网站需要 SSL 证书？

就我遇到过的网站，配置了认证的证书的，大概有这么几类：

1、购物交易类网站

这个就不用说了，支付宝、Paypal等肯定会加密以保护你的密码安全。

2、注册类站点

有些大站点，注册会员或者登陆的时候，会专门通过SSL通道，来保护你的密码安全，比如：https://www.name.com/account/login.php

3、在线代理类站点

这个，为了防止天朝某个部分嗅探出没加密的内容，嗯哼，就不说了。

4、耍酷类

比如我……

三、Nginx 下如何配置证书

之前，我介绍过如何购买并且配置 Godaddy 的证书：《Godaddy SSL证书以及 Nginx 配置HTTPS方法》，后来因为一个小失误，每次修改 Nginx 配置，重启 Nginx 的时候都会输入密码，所以之后买了 Comodo 的证书，并且让 @Paveo 帮我全部配置好，哈哈。

但是总请别人来配置总不太好意思，所以我得自己研究一下，然后，就当作记录和总结吧。

1、Nginx 配置 ssl 模块

默认 Nginx 是没有 ssl 模块的，而我的 VPS 默认装的是 Nginx 0.7.63 ，顺带把 Nginx 升级到 0.7.64 并且配置 ssl 模块方法如下：

下载 Nginx 0.7.64 版本，解压进入解压目录：

wget http://sysoev.ru/nginx/nginx-0.7.64.tar.gz
tar zxvf nginx-0.7.64.tar.gz
cd nginx-0.7.64

如果要更改header信息的话，

vi src/core/nginx.h
#define NGINX_VERSION "0.7.62"
#define NGINX_VER "nginx/" NGINX_VERSION

上面的版本号和nginx自己修改

编译

./configure --user=www --group=www --prefix=/usr/local/nginx --with-http_stub_status_module --with-http_ssl_module
make && make install

如果有 IPV6 模块，加上 --with-ipv6 参数：

./configure --user=www --group=www --prefix=/usr/local/nginx --with-http_stub_status_module --with-http_ssl_module --with-ipv6

（来源：http://www.hostloc.com/thread-4871-1-1.html）

因为是小网站，用不着平滑升级，直接 killall nginx 杀掉 nginx 进程，然后 /usr/local/nginx/sbin/nginx 启动 nginx 即可

OK，升级并且安装好 ssl 模块完毕，这里我把 Nginx 修改成了 zoulu，于是乎：

怎么样，很有个性吧！

2、使用 OpenSSL 生成证书

①、生成RSA密钥的方法

openssl genrsa -out privkey.pem 2048

有的证书要 1024 的，所以得：

openssl genrsa -out privkey.pem 1024

②、生成一个证书请求

openssl req -new -key privkey.pem -out cert.csr

会提示输入省份、城市、域名信息等，重要的是，email 一定要是你的域名后缀的，比如 webmaster@zou.lu 并且能接受邮件！

这样就有一个 csr 文件了，提交给 ssl 提供商的时候就是这个 csr 文件

（来源：http://www.lsproc.com/blog/nginx_ssl_config/）

直接 cat cert.csr

得到一大串字符，比如这样：

提交给你的 ssl 提供商即可，一般半个钟头到一天时间就会发给你证书，如图：

把所有文件全部上传到一个特定的目录，比如我是上传到 /root/zoulu/

这里，zoulukey.pem 和 zoulucert.csr 是自己在 VPS 生成的，剩下的都是证书签发机构颁发的。

一般情况下，直接用证书签发机构颁发的 crt 文件即可，比如 zou_lu.crt ，但是有很多证书签发机构默认在 Firefox 中文版下是不会信任的，经过仔细研究，终于发现，原来得把证书签发机构办法给你的 crt 文件也放入才行。

方法如下：

合并 PositiveSSLCA.crt （证书签发机构的 crt）和 zou_lu.crt (自己域名的 crt)

cat zou_lu.crt >> PositiveSSLCA.crt

mv PositiveSSLCA.crt zou_lu.crt

或者直接用记事本打开，然后复制 PositiveSSLCA.crt 里面所有的内容到 zou_lu.crt 最下方即可。

（来源：http://www.lsproc.com/blog/nginx_ssl_config/）

③、修改 Nginx 配置

listen 443;
server_name zou.lu;
index index.html index.htm index.php;
root /home/zoulu;
error_page 404 403 http://zou.lu;

ssl on;
ssl_certificate /root/zoulu/zou_lu.crt;
ssl_certificate_key /root/zoulu/zoulukey.pem;

其他的配置信息和一般站点的一样，不再重复。

四、访问测试结果

在 Firefox 英文版 / Chrome / Opera / Safari / IE 6、7、8 下均没问题， https:http://zou.lu/ 在 Firefox 3.5.7 中文版下没问题，遇到问题的童鞋，检查你的系统时间，要是还不信任，那我也不是很清楚了，抱歉能力有限。

五、如何获得免费的证书

https:http://zou.lu/ 的证书是 PositiveSSL 签发的，这是一家 Comodo 的 Reseller ，目前可以通过如下途径获得：

去 NameCheap.com 注册、转移一个域名或者购买一款空间就能获得，而且是免费一年的哦！

需要注意的是，NameCheap 注册后颁发的证书没有证书签发机构的 PositiveSSLCA.crt ，这里我就放一个，为了大家安装方便：

你也可以试试 Startssl 的证书，缺点是在旧电脑，没有更新的情况下，IE 6是绝对不信任他的，详见：http://blog.s135.com/startssl/

最后声明一点，受信任的 ssl 证书必须有独立IP，或者说，一个IP只能对应一个域名的证书，爱玩的朋友可以弄一个玩玩。

PS：忙考试了，一直到我生日（1.19），博客暂停更新，见谅。

Godaddy SSL证书以及 Nginx 配置HTTPS方法

Showfom — Fri, 18 Sep 2009 13:14:00 +0000

我的私人博客，不是这个，以前屏蔽所有的搜索引擎，但是百度还是偷偷来访问

没想到百度真的是一个不遵守 robots.txt 的搜索引擎，真是太让我失望了。于是乎，昨天购买了 Godaddy 的 ssl 证书，今天成功安装完毕，https 加密访问 + robots.txt ，百度小姐，求求你别来挑逗我的私人领地了……你看人家 Google 小姐多好，我屏蔽搜索引擎的第一天起就没来过。

下面说说如何购买 Godaddy 的 SSL证书 以及 Nginx 平台下的安装方法：

一、购买 Godaddy SSL 证书

我买的是最便宜的一款，用优惠码 cjcssl12t2 以后 12.99 美元一年，购买地址： http://www.godaddy.com/gdshop/ssl/ssl.asp?isc=cjcssl12t2

二、生成服务器的 CSR 文件

用 root 权限进入服务器，输入：

openssl genrsa -des3 -out .key 2048

openssl req -new -key .key -out .csr

（必须是 2048 ，Godaddy 规定如此）

按照要求填写正确的信息

（Godaddy 帮助页面有相关帮助：http://help.godaddy.com/topic/746/article/5269）

还可以参考以下文章：

http://www.kuaissl.cn/Support/CSRgen/Apache_CSR.htm

三、验证 CSR 文件

进入购买的 SSL 证书页面，此时没有绑定任何 CSR ，Godaddy 会要求你输入 CSR 文件里的内容，直接复制过去即可，类似于这样的代码：

接着直接 Order，输入相关信息，接着就是等待 Godaddy 审核的时间。

四、Godaddy 审核

Godaddy 审核貌似需要几个钟头，我等了一下午，终于告诉我， Whois 上的 email 和实际 email 不符，囧…… .im 域名的whois 上是不显示 email 的……

接着，Godaddy 会告诉你一个代码，几个字母和数字的组合，比如XXX123，你只需要增加一个Cname，比如 xxx123.yourdomain.com. 解析到 yourdomain.com 即可，然后手工审核之（Godaddy 的邮件里都有告诉你方法，可惜当时我没截图，说的糊里糊涂的，邮件里很详细告诉你方法了）

五、Nginx 平台安装

这个我完全不会，靠万能的 Paveo 大师帮我安装好，哦哈哈。网上搜索了一下教程，需要以下几步：

1、配置 Nginx SSL 模块：

./configure --user=username --group=groupname --prefix=/usr/local/nginx --with-http_stub_status_module --with-http_ssl_module
make && make install

2、修改 Nginx 配置

server
{
listen 443;
server_name yourdomain.com;
ssl on;
ssl_certificate /tmp/server.pem;
ssl_certificate_key /tmp/server.key;
ssl_session_timeout 5m;
ssl_protocols SSLv2 SSLv3 TLSv1;
ssl_ciphers ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP;
ssl_prefer_server_ciphers on;
}

3、重启服务即可

具体可以参考这篇文章：《用Nginx配置https加密站点》、《Nginx SSL 配置》

最后大功告成: 去你妈的搜索引擎，这是老子的私人禁地，进入一个强奸一个！当然普通访客是很欢迎进来的~

奇怪的是，证书还是显示不信任，很诡异，之前刚刚还可以的呢，不知道大仙们是否有良药？

VPS 快速安装 Linux+Nginx+MySQL+PHP 环境

Showfom — Sat, 11 Jul 2009 15:59:18 +0000

再次出手购买了VPS，这次买的是性价比不错的PhotonVPS的Xen Plan，下面介绍一下快速配置LNMP（Linux+Nginx+MySQL+PHP）环境的方法（一般不出意外只要20分钟就可以搞定）。

首先当然得购买一款VPS（废话），推荐国内的 Rashost，国外的 Diavps（是一群中国人在做），PhotonVPS，Rashost 和 Diavps 可以用支付宝支付，PhotonVPS 可以用 Paypal 支付，一般支付以后最多等一两个钟头就可以收到邮件，一个VPS的IP，一个root的密码。
（PS：购买尽量选择CentOS 5.3 32bit ，别买64位，占用内存很大的）

接着，下载 Putty ，运行 putty.exe ，输入你的 IP 和用户名（root）。

然后开始安装著名的 LNMP（ Linux+Nginx+MySQL+PHP ）环境，接着，用猫猫童鞋的修改版LNMP一键安装套装，我简述一下方法：

1.首先登陆VPS,用SSH登陆.

2.安装LNMP,进入一个目录: cd /usr/local/src

然后就下载LNMP: wget http://imcat.in/LNMP.zip

解压缩 unzip LNMP.zip

有些VPS安装后没有unzip这个命令,那么运行 yum install unzip

进入该目录 cd LNMP

给脚本添加执行权限:chmod +x down.sh install.sh opt.sh startup.sh

下载安装所需的源代码文件: ./down.sh

开始安装: ./install.sh

(安装过程会询问要默认绑定的域名，然后会要求确认输入y即可)

安装完后,请运行:passwd www

为 www 用户设置一个密码.这个用户和密码就是ftp的用户名和密码

修改您的 MySQL 的 root 密码
使用命令：mysqladmin -u root -p password mypasswd //mypasswd为自己的密码
如果提示没有mysqladmin命令.请运行:yum install mysql

这样你就可以上传你的网站了.

程序安装路径：
MySQL : /usr/local/mysql
PHP : /usr/local/php
Nginx : /usr/local/nginx
Web目录 /web/www

这个套装没有安装熟悉的 PhpMyAdmin ，接下来就下载一个 PhpMyAdmin：

返回主目录 cd /
进入网站所在目录 cd web/www
下载phpmyadmin wget http://downloads.sourceforge.net/sourceforge/phpmyadmin/phpMyAdmin-3.2.0.1-all-languages.zip?use_mirror=ncu
解压 unzip phpMyAdmin-3.2.0.1-all-languages.zip

然后在浏览器输入 http://你的ip/phpMyAdmin-3.2.0.1-all-languages/ 即可进行数据库管理操作，切记删除除了root以外的几个用户（在右上角的权限上，没密码的几个傻蛋用户全部删除）

接下来安装 WordPress ，Nginx 配置用我昨天给的那份，OK，一个没有优化过的最简单的LNMP环境就配置好了，运行一下 http://你的ip/phpinfo.php 成功的话就说明OK鸟~

博客顺利搬家至 VPS

Showfom — Sat, 02 May 2009 22:11:47 +0000

前段时间看到 x-force 用的是 Rashost.com 的 VPS ，速度很不错，然后总觉得以前的空间电信访问速度好网通就一般般了，所以再三决定，也去买了一个 Rashost.com 的 VPS 。

刚买的时候北京机房已经满了，苦苦等了一个星期之后，终于挤进了北京的机房，然后客服帮我安装 LNMP ( CenOS 5.2 + Nginx + MySQL + PHP ) ，然后又是折腾了一通宵，转移了 Showfom.com 和 NBA2K.CN ，然后开始尝试缓存插件，现在我也说不清哪个缓存插件好，所以，仍然在实验阶段，NBA2K.CN 用的是 WP Super Cache ，Showfom.com 用的是 Hyper Cache ，来访问的朋友提提意见，哪个 WordPress 博客的速度更快一些？

最郁闷的是，用了WP Super Cache ，由于装的是 Nginx ，那个破 .htaccess 文件没用的，只能修改 Nginx 的配置，不知道怎么改好，所以我自己感觉访问 NBA2K.CN 是挺快的，但是留言以后得等一个钟头（缓存清空）才能留言，后台怎么设置都不行，估计是这个插件不会很好地支持 Nginx 或者是要自己修改一下规则，郁闷呐……昨晚又通宵了，今天起床以后得去问问 Jason NG ，他的也装是 Nginx ，而且用的也是 WP Super Cache，嗯，得去请教请教。成功了以后会再发一篇文章，失败了就没办法了。

其实很明显，我测试了一下，由于 NBA2K.CN 的访问量比较大，所以效果会很明显，WP Super Cache 确实不是吹的，速度明显比 Hyper Cache 要快……

走点路» Nginx

Nginx 配置 SSL 证书 + HTTPS 站点小记

一、什么是 SSL 证书，什么是 HTTPS 网站？

二、什么网站需要 SSL 证书？

三、Nginx 下如何配置证书

四、访问测试结果

五、如何获得免费的证书

相关文章

Godaddy SSL证书以及 Nginx 配置HTTPS方法

一、购买 Godaddy SSL 证书

二、生成服务器的 CSR 文件

三、验证 CSR 文件

四、Godaddy 审核

五、Nginx 平台安装

相关文章

VPS 快速安装 Linux+Nginx+MySQL+PHP 环境

相关文章

博客顺利搬家至 VPS

相关文章