فعال كردن :Certificate NGINX
براي فعال كردن گواهي كه ما به شما عرضه ميكنيم به صورت دستور زير عمل ميكند:
> cat domain_com.crt domain_com.ca-bundle > ssl-bundle.crt
بسته نرم افزاري شما با استفاده از domainname.crt و domainname.ca از آنجايي كه شما لينك هاي متعدد دانلود دريافت شما بايد مطمئن شويد كه شما دانلود از base64 كد گذاري X.509 “گواهي فقط” و همچنين متوسط “گواهي تنها” فايل. شما مي توانيد با .cer فايل هاي فرمت شده كه شما مي توانيد پسوند فايل به ارسال نماييد. .crt براي تكميل روند بالا تغيير ارائه شده است.
نصب و راه اندازي:
سابق:
> mkdir -p /etc/nginx/ssl/example_com/
> mv ssl-bundle.crt /etc/nginx/ssl/example_com/
خود را كليد خصوصي در پوشه وب سرور nginx SSL لينك مناسب،.۲
EX :
> mv example_com.key /etc/nginx/ssl/example_com/
.۳اطمينان حاصل كنيد كه كليد cert شما ساخته شده است
سرور server {
listen 443;
server_name domainname.com;
ssl on;
ssl_certificate /etc/ssl/certs/ssl-bundle.crt;
ssl_certificate_key /etc/ssl/private/domainname.key;
ssl_prefer_server_ciphers on;
}توجه:
اگر شما با استفاده از يك چند دامنه يا گواهي براي جانشيني، لازم است به تغيير فايل هاي پيكربندي براي هر دامنه / زير دامنه هاي موجود در گواهي. شما نياز به مشخص كردن دامنه / زير دامنه شما نياز به امن و در ركورد VirtualHost در فايل هاي گواهي ديگري رجوع راه بالا توضيح داده.
OCSP پشتيباني:۴
اگر چه اختياري، آن است كه بسيار توصيه مي شود براي فعال كردن OCSP كه بهبود دادن سرعت وب سايت شما. Nginx ميشود را داراي قابليت هاي OCSP فعال از نسخه ۱٫۳٫۷٫
به منظور استفاده از قرار دهيد. OCSP certificate در nginx را ، شما بايد موارد زير را در تنظيمات:
## OCSP
۱۲۷٫۰٫۰٫۱ برطرف؛
ssl_stapling در؛
ssl_stapling_verify در؛
ssl_trusted_certificate در؛
كه در آن در محل نام و نام فايل گواهي نصب شده است.
: براي ssl_stapling_verify و ssl_stapling به كار، شما بايد اطمينان حاصل شود كه همه گواهي نصب شده است.
۵٫ پس از ايجاد تغييرات به فايل پيكربندي خود را بررسي فايل براي خطا نحو قبل از اقدام به استفاده از آن. با اجراي دستور زير خطاها بررسي كنيد:
> sudo nginx -t -c /etc/nginx/nginx.conf
راه اندازي مجدد سرور خود را. اجراي دستور زير را براي آن انجام دهيد:۶
> sudo /etc/init.d/nginx restart
براي بررسي اگر گواهي خود را به درستي نصب شده است، استفاده از ما SSL تجزيه و تحليل ۷٫
به عنوان مثال پيكربندي ميزبان مجازي
سرور {
گوش دادن ۸۰ default_server؛
گوش دادن [::]: ۸۰ default_server؛
# تغيير مسير تمام درخواست HTTP به HTTPS با ۳۰۱ هميشه پاسخ نقل مكان كرد.
بازگشت ۳۰۱ https: // را $ ميزبان $ REQUEST_URI؛
}
سرور {
گوش دادن ۴۴۳ SSL http2؛
گوش دادن [::]: ۴۴۳ SSL http2؛
گواهيهاي # در سرور سلام به مشتري ارسال شده در ssl_certificate الحاق
ssl_certificate / راه / به / signed_cert_plus_root_plus_intermediates؛
ssl_certificate_key / راه / به / private_key؛
ssl_session_timeout 1D؛
ssl_session_cache مشترك: SSL: 50M؛
ssl_session_tickets خاموش؛
پارامتر # ديفي-هلمن براي دنباله رمز DHE، توصيه مي شود ۲۰۴۸ بيت
/path/to/dhparam.pem ssl_dhparam؛
پيكربندي # متوسط.
ssl_protocols TLSv1 TLSv1.1 TLSv1.2؛
ssl_ciphers، ECDHE-ECDSA-CHACHA20-POLY1305: ECDHE-RSA-CHACHA20-POLY1305: ECDHE-ECDSA-AES128-GCM-SHA256: ECDHE-RSA-AES128-GCM-SHA256: ECDHE-ECDSA-AES256-GCM-SHA384: ECDHE- RSA-AES256-GCM-SHA384: DHE-RSA-AES128-GCM-SHA256: DHE-RSA-AES256-GCM-SHA384: ECDHE-ECDSA-AES128-SHA256: ECDHE-RSA-AES128-SHA256: ECDHE-ECDSA-AES128- SHA: ECDHE-RSA-AES256-SHA384: ECDHE-RSA-AES128-SHA: ECDHE-ECDSA-AES256-SHA384: ECDHE-ECDSA-AES256-SHA: ECDHE-RSA-AES256-SHA: DHE-RSA-AES128-SHA256: DHE-RSA-AES128-SHA: DHE-RSA-AES256-SHA256: DHE-RSA-AES256-SHA: ECDHE-ECDSA-DES-CBC3-SHA: ECDHE-RSA-DES-CBC3-SHA: EDH-RSA-DES- CBC3-SHA: AES128-GCM-SHA256: AES256-GCM-SHA384: AES128-SHA256: AES256-SHA256: AES128-SHA: AES256-SHA: DES-CBC3-SHA: DSS! ‘؛
ssl_prefer_server_ciphers در؛
# HSTS (ngx_http_headers_module مورد نياز است) (۱۵۷۶۸۰۰۰ ثانيه = ۶ ماه)
add_header اكيد-حمل و نقل و امنيت حداكثر سن = ۱۵۷۶۸۰۰۰؛
# OCSP —
# واكشي ركورد OCSP از URL در ssl_certificate و كش آنها
ssl_stapling در؛
ssl_stapling_verify در؛
## زنجيره اي از اعتماد پاسخ OCSP با استفاده از CA ريشه بررسي و گواهيهاي متوسط
ssl_trusted_certificate / راه / به / root_CA_cert_plus_root_plus_intermediates؛
برطرف ؛
….
}
منبع: https://certplus.ir/2017/06/06/%D9%86%D8%AD%D9%88%D9%87-%D8%B3%D8%A7%D8%AE%D8%AA%D9%86-csr-%D8%A8%D8%B1%D8%A7%DB%8C-%DA%AF%D9%88%D8%A7%D9%87%DB%8C%D9%86%D8%A7%D9%85%D9%87-ssl/#
وبلاگ فناوری
