Nginx上启用https

#简单配置

server {

      listen       443 ssl;                                                 

      server_name    www.****.com;#域名                         

      ssl_certificate      /root/project/ssl/nginx.crt;#证书路径     

      ssl_certificate_key  /root/project/ssl/nginx.key;#key路径             

      ssl_session_cache    shared:SSL:1m; #s储存SSL会话的缓存类型和大小                       

      ssl_session_timeout  5m; #会话过期时间

      #...                                                                     

  }

将http访问自动跳转到https

server{

       listen 80 www.****.com;                         

       rewrite  ^/(.*)$ https://www.****.com/$1 permanent; 

}                                                         

HTTPS服务器优化

激活 keepalive 长连接，一个连接发送更多个请求

复用 SSL 会话参数，在并行并发的连接数中避免进行多次 SSL『握手』

这些会话会存储在一个 SSL 会话缓存里面，通过命令 ssl_session_cache 配置，可以使缓存在机器间共享，然后利用客戶端在『握手』阶段使用的 seesion id 去查询服务端的 session cathe(如果服务端设置有的话)，简化『握手』阶段。

1M 的会话缓存大概包含 4000 個会话，默认的缓存超时时间为 5 分钟，可以通过使用 ssl_session_timeout 命令设置缓存超时时间。下面是一個拥有 10M 共享会话缓存的多核系统优化配置例子：

server {

      listen        443 ssl;                                                 

      server_name    www.****.com;#域名                         

      ssl_certificate      /root/project/ssl/nginx.crt;#证书路径     

      ssl_certificate_key  /root/project/ssl/nginx.key;#key路径             

      ssl_session_cache    shared:SSL:1m; #s储存SSL会话的缓存类型和大小                       

      ssl_session_timeout  5m; #会话过期时间                                             

      ssl_ciphers  HIGH:!aNULL:!MD5; #为建立安全连接，服务器所允许的密码格式列表            

      ssl_prefer_server_ciphers  on; #依赖SSLv3和TLSv1协议的服务器密码将优先于客户端密码

     #配置共享会话缓存大小

      ssl_session_cacheshared:SSL:10m;

      #配置会话超时时间

      ssl_session_timeout10m;

 #...                                                                     

  }

使用 HSTS 策略强制浏览器使用 HTTPS 连接

HSTS – HTTP Strict Transport Security，HTTP严格传输安全。它允许一个 HTTPS 网站要求浏览器总是通过 HTTPS 来访问，这使得攻击者在用戶与服务器通讯过程中拦截、篡改信息以及冒充身份变得更为困难。

只要在 Nginx 配置文件加上以下头信息就可以了：

add_headerStrict-Transport-Security"max-age=31536000; includeSubDomains;preload"always;

max-age：设置单位时间内強制使用 HTTPS 连接

includeSubDomains：可选，所有子域同时生效

preload：可选，非规范值，用于定义使用『HSTS 预加载列表』

always：可选，保证所有响应都发送此响应头，包括各种內置错误响应

加强 HTTPS 安全性

HTTPS 基础配置采取的默认加密算法是 SHA-1，这个算法非常脆弱，安全性在逐年降低，在 2014 年的时候， Google 官方博客就宣布在 Chrome 浏览器中逐渐降低 SHA-1 证书的安全指示，会从 2015 年起使用 SHA-2 签名的证书，可参阅 Rabbit_Run 在 2014 年发表的文章：《为什么Google急着杀死加密算法SHA-1》

为此，主流的 HTTPS 配置方案应该避免 SHA-1，可以使用 迪菲-赫尔曼密钥交换（D-H，Diffie–Hellman key exchange）方案。

首先在目录 /root/project/ssl 运行以下代码生成 dhparam.pem 文件：

一般网站使用的SSL证书都是RSA证书，这种证书基本都是2048位的密钥，但是证书密钥交换密钥必须要比证书密钥更长才能安全，而默认的只有1024位，所以我们需要手动生成一个更强的密钥。所以配置之前，如果没有DH-key就需要做下面的步骤

有screen则跳过，没则安装

yum -y install screen

生成4096位的DH-Key（证书密钥交换密钥）

screen -S DH

openssl dhparam -out dhparam.pem 4096

执行之后需要等很长时间，总之慢慢等，网路出现中断，可以执行下面命令重新连接安装窗口

screen -r DH

熬过漫长的等待时间后，建议生成的dhparam.pem文件最好跟SSL证书放在一起方便管理。

然后加入 Nginx 配置：

#优先采取服务器算法

ssl_prefer_server_ciphers  on;

#使用DH文件

ssl_dhparam     /root/project/ssl/dhparam.pem;

ssl_protocols     TLSv1 TLSv1.1TLSv1.2;

#定义算法

ssl_ciphers  "EECDH+ECDSA+AESGCM EECDH+aRSA+AESGCM EECDH+ECDSA+SHA384 EECDH+ECDSA+SHA256 EECDH+aRSA+SHA384 EECDH+aRSA+SHA256 EECDH+aRSA+RC4 EECDH EDH+aRSA !aNULL !eNULL !LOW !3DES !MD5 !EXP !PSK !SRP !DSS !RC4";

一般情況下还应该加上以下几个增强安全性的命令：

#减少点击劫持

add_headerX-Frame-Options DENY;

#禁止服务器自动解析资源类型

add_headerX-Content-Type-Options nosniff;

#防XSS攻击

add_headerX-Xss-Protection1;

优化后的综合配置

server {

        listen              443 ssl;

          server_name    www.****.com;#域名                         

      ssl_certificate      /root/project/ssl/nginx.crt;#证书路径     

    ssl_certificate_key  /root/project/ssl/nginx.key;#key路径 

    ssl_session_cache    shared:SSL:1m; #s储存SSL会话的缓存类型和大小                       

        ssl_session_timeout  5m; #会话过期时间

#设置长连接

        keepalive_timeout 70;

#HSTS策略

        add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;

#优先采取服务器算法

        ssl_prefer_server_ciphers on;

  #使用DH文件

        ssl_dhparam    /root/project/ssl/dhparam.pem;

        ssl_protocols TLSv1 TLSv1.1 TLSv1.2;

        #定义算法

        ssl_ciphers "EECDH+ECDSA+AESGCM EECDH+aRSA+AESGCM EECDH+ECDSA+SHA384 EECDH+ECDSA+SHA256 EECDH+aRSA+SHA384 EECDH+aRSA+SHA256 EECDH+aRSA+RC4 EECDH EDH+aRSA !aNULL !eNULL !LOW !3DES !MD5 !EXP !PSK !SRP !DSS !RC4";

       #减少点击劫持

        add_header X-Frame-Options DENY;

        #禁止服务器自动解析资源类型

        add_header X-Content-Type-Options nosniff;

        #防XSS攻擊

        add_header X-Xss-Protection 1;

        #......

}

配置完成

测试新的nginx程序是否正确

/usr/local/nginx/sbin/nginx   -t

重启Nginx！

/usr/local/nginx/sbin/nginx -s reload

总结

OK，我们简单总结一下在 Nginx 下配置 HTTPS 的关键要点：

获得 SSL 证书

通过第三方可靠证书颁发机构获取，或者通过 OpenSSL 命令获得 example.key 和 example.csr 文件

HTTPS优化

减少 CPU 运算量

使用 keepalive 长连接

复用 SSL 会话参数

使用 HSTS 策略强制浏览器使用 HTTPS 连接

添加 Strict-Transport-Security 头部信息

使用 HSTS 预加载列表（HSTS Preload List）

加强 HTTPS 安全性

使用迪菲-赫尔曼密钥交换（D-H，Diffie–Hellman key exchange）方案

添加 X-Frame-Options 头部信息，减少点击劫持

添加 X-Content-Type-Options 头部信息，禁止服务器自动解析资源类型

添加 X-Xss-Protection 头部信息，防XSS攻击

其实简单的个人博客，如果没有敏感数据交互的话，使用 http 协议通讯，一般都夠用了，页面速度还会更快，但正如文章开头所说，戴上『绿锁』，更专业更安全~~有兴趣的同学可以去深入了解折腾下：）

本页内容由塔灯网络科技有限公司通过网络收集编辑所得，所有资料仅供用户学习参考，本站不拥有所有权，如您认为本网页中由涉嫌抄袭的内容，请及时与我们联系，并提供相关证据，工作人员会在5工作日内联系您，一经查实，本站立刻删除侵权内容。本文链接:http://dengtar.com/20534.html