فعال کردن :Certificate NGINX
برای فعال کردن گواهی که ما به شما عرضه میکنیم به صورت دستور زیر عمل میکند:
> cat domain_com.crt domain_com.ca-bundle > ssl-bundle.crt
بسته نرم افزاری شما با استفاده از domainname.crt و domainname.ca از آنجایی که شما لینک های متعدد دانلود دریافت شما باید مطمئن شوید که شما دانلود از base64 کد گذاری X.509 “گواهی فقط” و همچنین متوسط “گواهی تنها” فایل. شما می توانید با .cer فایل های فرمت شده که شما می توانید پسوند فایل به ارسال نمایید. .crt برای تکمیل روند بالا تغییر ارائه شده است.
نصب و راه اندازی:
سابق:
> mkdir -p /etc/nginx/ssl/example_com/
> mv ssl-bundle.crt /etc/nginx/ssl/example_com/
خود را کلید خصوصی در پوشه وب سرور nginx SSL لینک مناسب،.۲
EX :
> mv example_com.key /etc/nginx/ssl/example_com/
.۳اطمینان حاصل کنید که کلید cert شما ساخته شده است
سرور server {
listen 443;
server_name domainname.com;
ssl on;
ssl_certificate /etc/ssl/certs/ssl-bundle.crt;
ssl_certificate_key /etc/ssl/private/domainname.key;
ssl_prefer_server_ciphers on;
}توجه:
اگر شما با استفاده از یک چند دامنه یا گواهی برای جانشینی، لازم است به تغییر فایل های پیکربندی برای هر دامنه / زیر دامنه های موجود در گواهی. شما نیاز به مشخص کردن دامنه / زیر دامنه شما نیاز به امن و در رکورد VirtualHost در فایل های گواهی دیگری رجوع راه بالا توضیح داده.
OCSP پشتیبانی:۴
اگر چه اختیاری، آن است که بسیار توصیه می شود برای فعال کردن OCSP که بهبود دادن سرعت وب سایت شما. Nginx میشود را دارای قابلیت های OCSP فعال از نسخه ۱٫۳٫۷٫
به منظور استفاده از قرار دهید. OCSP certificate در nginx را ، شما باید موارد زیر را در تنظیمات:
## OCSP
۱۲۷٫۰٫۰٫۱ برطرف؛
ssl_stapling در؛
ssl_stapling_verify در؛
ssl_trusted_certificate در؛
که در آن در محل نام و نام فایل گواهی نصب شده است.
: برای ssl_stapling_verify و ssl_stapling به کار، شما باید اطمینان حاصل شود که همه گواهی نصب شده است.
۵٫ پس از ایجاد تغییرات به فایل پیکربندی خود را بررسی فایل برای خطا نحو قبل از اقدام به استفاده از آن. با اجرای دستور زیر خطاها بررسی کنید:
> sudo nginx -t -c /etc/nginx/nginx.conf
راه اندازی مجدد سرور خود را. اجرای دستور زیر را برای آن انجام دهید:۶
> sudo /etc/init.d/nginx restart
برای بررسی اگر گواهی خود را به درستی نصب شده است، استفاده از ما SSL تجزیه و تحلیل ۷٫
به عنوان مثال پیکربندی میزبان مجازی
سرور {
گوش دادن ۸۰ default_server؛
گوش دادن [::]: ۸۰ default_server؛
# تغییر مسیر تمام درخواست HTTP به HTTPS با ۳۰۱ همیشه پاسخ نقل مکان کرد.
بازگشت ۳۰۱ https: // را $ میزبان $ REQUEST_URI؛
}
سرور {
گوش دادن ۴۴۳ SSL http2؛
گوش دادن [::]: ۴۴۳ SSL http2؛
گواهیهای # در سرور سلام به مشتری ارسال شده در ssl_certificate الحاق
ssl_certificate / راه / به / signed_cert_plus_root_plus_intermediates؛
ssl_certificate_key / راه / به / private_key؛
ssl_session_timeout 1D؛
ssl_session_cache مشترک: SSL: 50M؛
ssl_session_tickets خاموش؛
پارامتر # دیفی-هلمن برای دنباله رمز DHE، توصیه می شود ۲۰۴۸ بیت
/path/to/dhparam.pem ssl_dhparam؛
پیکربندی # متوسط.
ssl_protocols TLSv1 TLSv1.1 TLSv1.2؛
ssl_ciphers، ECDHE-ECDSA-CHACHA20-POLY1305: ECDHE-RSA-CHACHA20-POLY1305: ECDHE-ECDSA-AES128-GCM-SHA256: ECDHE-RSA-AES128-GCM-SHA256: ECDHE-ECDSA-AES256-GCM-SHA384: ECDHE- RSA-AES256-GCM-SHA384: DHE-RSA-AES128-GCM-SHA256: DHE-RSA-AES256-GCM-SHA384: ECDHE-ECDSA-AES128-SHA256: ECDHE-RSA-AES128-SHA256: ECDHE-ECDSA-AES128- SHA: ECDHE-RSA-AES256-SHA384: ECDHE-RSA-AES128-SHA: ECDHE-ECDSA-AES256-SHA384: ECDHE-ECDSA-AES256-SHA: ECDHE-RSA-AES256-SHA: DHE-RSA-AES128-SHA256: DHE-RSA-AES128-SHA: DHE-RSA-AES256-SHA256: DHE-RSA-AES256-SHA: ECDHE-ECDSA-DES-CBC3-SHA: ECDHE-RSA-DES-CBC3-SHA: EDH-RSA-DES- CBC3-SHA: AES128-GCM-SHA256: AES256-GCM-SHA384: AES128-SHA256: AES256-SHA256: AES128-SHA: AES256-SHA: DES-CBC3-SHA: DSS! ‘؛
ssl_prefer_server_ciphers در؛
# HSTS (ngx_http_headers_module مورد نیاز است) (۱۵۷۶۸۰۰۰ ثانیه = ۶ ماه)
add_header اکید-حمل و نقل و امنیت حداکثر سن = ۱۵۷۶۸۰۰۰؛
# OCSP —
# واکشی رکورد OCSP از URL در ssl_certificate و کش آنها
ssl_stapling در؛
ssl_stapling_verify در؛
## زنجیره ای از اعتماد پاسخ OCSP با استفاده از CA ریشه بررسی و گواهیهای متوسط
ssl_trusted_certificate / راه / به / root_CA_cert_plus_root_plus_intermediates؛
برطرف ؛
….
}
منبع: https://certplus.ir/2017/06/06/%D9%86%D8%AD%D9%88%D9%87-%D8%B3%D8%A7%D8%AE%D8%AA%D9%86-csr-%D8%A8%D8%B1%D8%A7%DB%8C-%DA%AF%D9%88%D8%A7%D9%87%DB%8C%D9%86%D8%A7%D9%85%D9%87-ssl/#
وبلاگ فناوری
