centos配置https(nginx,apache)

1，生成公私钥，证书文件

公私钥和证书都可以自己生成，也可以让CA机构来生成。自己生成的证书是不受浏览器信任的，浏览器会弹出警告。

如果要让CA机构来生成证书，需要提交网站的域名，公司的信息。以及你网站的公钥等信息，如果你是自己生成的公私钥的话。

也有一些免费的CA证书，比如沃通就提供免费的CA证书，只需要提交域名以及认证域名。

CA机构会给你一个签名文件，把这个签名文件和私钥文件放在网站的配置文件夹下，后面会用到。

将域名解析到对应的主机IP。

2 使用yum安装好php，nginx，apache，以及Apache的ssl模块

yum install php

yum install nginx

yum install apache

yum install mod_ssl

3 apache下的配置

加载ssl模块：LoadModule ssl_module modules/mod_ssl.so

修改/etc/httpd/conf.d/ssl.conf

SSLCertificateFile /etc/nginx/ssl/certification.crt //签名的证书文件

SSLCertificateKeyFile /etc/nginx/ssl/pri.key //私钥文件

保存重启Apache，通过https访问网站，如果一个网站同时提供http和https，当你访问http时会自动跳转到相应的http页面

4 nginx下的配置

修改/etc/nginx/conf.d/ssl.conf,如果没有则新建

server {
listen  443 ssl;
        server_name  _;

server_name  yourdomain.com;

# tell users to go to SSL version next time
add_header Strict-Transport-Security "max-age=15768000; includeSubdomains;";

# tell the browser dont allow hosting in a frame
add_header X-Frame-Options DENY;

# tell the browser we can only talk to self and google analytics.
add_header X-Content-Security-Policy "default-src 'self'; \
script-src 'self' https://ssl.google-analytics.com; \
img-src 'self' https://ssl.google-analytics.com";

ssl_protocols               TLSv1 TLSv1.1 TLSv1.2;

# ciphers chosen and ordered for mix of performance,interoperability and security
#ssl_ciphers                 AES128-GCM-SHA256:ECDHE-RSA-AES128-SHA256:RC4:HIGH:!MD5:!aNULL:!EDH;

# ciphers chosen for security (drop RC4:HIGH if you are not worried about BEAST).
#ssl_ciphers                  RC4:HIGH:HIGH:!aNULL:!MD5;

# ciphers chosen for FIPS compliance.
#ssl_ciphers !aNULL:!eNULL:FIPS@STRENGTH;

# ciphers chosen for forward secrecy an compatibility
ssl_ciphers "EECDH+ECDSA+AESGCM EECDH+aRSA+AESGCM EECDH+ECDSA+SHA384 EECDH+ECDSA+SHA256 EECDH+aRSA+SHA384 EECDH+aRSA+SHA256 EECDH+aRSA+RC4 EECDH EDH+aRSA RC4 !aNULL !eNULL !LOW !3DES !MD5 !EXP !PSK !SRP !DSS";
 location ~ \.php/?.*$ {
        #fastcgi_pass   unix:/var/run/php-fpm/php-fpm.sock;
        fastcgi_pass   127.0.0.1:9000;
        fastcgi_index  index.php;
        fastcgi_max_temp_file_size 0;
        fastcgi_buffer_size 4K;
        fastcgi_buffers 64 4k;
        fastcgi_split_path_info ^(.+\.php)(.*)$;
        fastcgi_param PATH_INFO       $fastcgi_path_info;
        #fastcgi_param   SCRIPT_FILENAME   $document_root$fastcgi_script_name;
        fastcgi_param   SCRIPT_FILENAME   $document_root$fastcgi_script_name;
        fastcgi_param   SCRIPT_NAME   $fastcgi_script_name;
        include        fastcgi_params;
    }


ssl_prefer_server_ciphers   on;
ssl_certificate_key         /etc/nginx/ssl/pri.key;
ssl_certificate             /etc/nginx/ssl/certification.crt;

ssl_session_cache    shared:SSL:10m;
ssl_session_timeout  10m;

# enable ocsp stapling
#resolver 8.8.8.8;
ssl_stapling on;
#ssl_trusted_certificate certs.d/example.cer;

# let nginx handle the static resources
location ~ ^/(htm/|html/|images/|img/|javascript/|js/|css/|stylesheets/|flash/|media/|static/|robots.txt|humans.txt|favicon.ico) {

root /usr/share/nginx/html;
access_log off;
expires @30m;
}
}

重启nginx，用https访问，nginx里http的配置和https的配置是相互独立的，比如对php的解析，要在80和443端口的server块里都要配置，如果不配置则访问php时会直接显示

php源码或者弹出下载。

其实https的配置简单来说就两步：1 生成公私钥，证书文件。 2 使web服务器支持https，配置证书和私钥文件的路径

把一个http站点转化为https更难的地方在于怎么解决转化后所带来的问题，比如在https站点引用了http的资源浏览器默认不会加载这些http的资源，因为浏览器认为这是不安全的。

centos配置https(nginx,apache)

相关文章