第一步,为服务器端和客户端准备公钥、私钥
// 生成服务器端私钥
openssl genrsa -out server.key 1024
// 生成服务器端公钥
openssl rsa -in server.key -pubout -out server.pem
第二步,生成 CA 证书
// 生成 CA 私钥
命令:openssl genrsa -out ca.key 1024
命令:openssl req -new -key ca.key -out ca.csr
命令:openssl x509 -req -in ca.csr -signkey ca.key -out ca.crt
在第二步第二条时会出来一个填写资料的界面(下面就是 填写示例)
Country Name (2 letter code) [AU]:CN
State or Province Name (full name) [Some-State]:Guangdong
Locality Name (eg, city) []:FoShan
Organization Name (eg, company) [Internet Widgits Pty Ltd]:TestCA
Organizational Unit Name (eg, section) []:
Common Name (e.g. server FQDN or YOUR name) []:localhost //这里填写你的域名
Email Address []:
这里有点要注意, Common Name (e.g. server FQDN or YOUR name) []: 这一项,是最后可以访问的域名,我这里为了方便测试,写成 localhost ,如果是为了给网站生成证书,需要写成 xxxx.com 。
第三步,生成服务器端证书
// 服务器端需要向 CA 机构申请签名证书,在申请签名证书之前依然是创建自己的 CSR 文件
命令:openssl req -new -key server.key -out server.csr
// 向自己的 CA 机构申请证书,签名过程需要 CA 的证书和私钥参与,最终颁发一个带有 CA 签名的证书
命令:openssl x509 -req -CA ca.crt -CAkey ca.key -CAcreateserial -in server.csr -out server.crt
同样会有信息填写,照旧写就好了
第四步,生成cer文件
//使用openssl 进行转换
命令:openssl x509 -in server.crt -out server.cer -outform der
如果完成,就会得到这么9个文件
第五步 NGINX部署
很多文章说要部署server.pem 文件作为证书, 我部署后NGINX总是识别格式有问题, 换成server.crt文件后就好了
下面是nginx.conf的配置文件(配置文件的位置可以使用 nginx -t 来查看)
...............
server {
listen 80 ;
server_name test.xiezc.com;
# 配置http 协议自动转成 https协议
return 301 https://$server_name$request_uri;
}
server {
listen 443 ssl;
server_name test.xiezc.com;
# 这里未来便于识别, 将上面的server.pem 改成了test-xiezc-com.crt
# server.key 同理
ssl_certificate /home/xiezc/cert/test-xiezc-com.crt;
ssl_certificate_key /home/xiezc/cert/test-xiezc-com.key;
ssl_session_cache shared:SSL:1m;
ssl_session_timeout 5m;
ssl_ciphers HIGH:!aNULL:!MD5;
ssl_prefer_server_ciphers on;
location / {
root /home/xiezc/www/audio;
index index.html index.htm;
}
location /ai {
proxy_pass http://localhost:8082;
proxy_set_header X-real-ip $remote_addr;
proxy_set_header Host $http_host;
}
}
............
重启NGINX
ngxin -s reload