FreeBSD下Nginx配置ssl-自建CA给网站签发SSL证书

1、受浏览器信任的Entrust SSL证书：它的根证书很久之前就被一些具有开源背景的浏览器支持（Firefox浏览器、谷歌Chrome浏览器、苹果Safari浏览器等）。

 

2、自行颁发不受浏览器信任的SSL证书：

步骤如下：（环境：freebsd-7.4/nginx-0.8.55）

freebsd默认已安装openssl,nginx只需在./configure时添加 --with-http_ssl_module 就可以支持SSL了

签署CA根证书：

1.mkdir /data/soft/nginx/conf/ssl.crt 2.cd /data/soft/nginx/conf/ssl.crt 3.cp /usr/local/openssl/misc/CA.sh . 4.======================================================================== 5.ee /etc/ssl/openssl.cnf 6.修改如下： 7.default_days    = 3650 8.default_crl_days= 3 9.default_md      = md5 10.default_bits            = 2048 11.countryName_default             = CN 12.stateOrProvinceName_default     = Beijing 13.localityName_default            = Beijing 14.0.organizationName_default      = 92csz 15.#organizationName               = Second Organization Name (eg, company) 16.#organizationName_default       = World Wide Web Pty Ltd 17.========================================================================= 18.ee /data/soft/nginx/conf/ssl.crt/CA.sh 19.修改如下： 20.CADAYS="-days 3650" # 10 years （CA证书的有效时间） 21.========================================================================= 22.生成CA证书： 23../CA.sh -newca 24.chmod -R 700 /data/soft/nginx/conf/ssl.crt/demoCA/private/

签署服务器证书：

1.ee /etc/ssl/openssl.cnf 2.修改如下： 3.default_days    = 3650（服务器证书的有效时间） 4.========================================================================= 5.生成服务器私钥： 6.openssl genrsa -out server.key 2048 7.生成服务器证书请求： 8.openssl req -new -key server.key -out server.csr 9.输入相关信息 10.========================================================================= 11.mv server.csr newreq.pem 12../CA.sh -sign 13.mv newcert.pem server.crt

颁发用户证书：

1.ee /etc/ssl/openssl.cnf 2.修改如下： 3.default_days    = 14（用户证书的有效时间） 4.========================================================================= 5.生成客户私钥： 6.openssl genrsa -out client.key 2048 7.生成客户证书请求： 8.openssl req -new -key client.key -out client.csr 9.签署客户证书： 10.openssl ca -in client.csr -out client.crt 11.把证书格式转换成pkcs12格式 12.openssl pkcs12 -export -clcerts -in client.crt -inkey client.key -out client.pfx

nginx配置如下：

1.server   2.{   3.    listen 443 ssl;   4.    server_name  www.etsec.com.cn;   5.    indexindex.html index.php;   6.    root  /data/www/www.etsec.com.cn;   7.    ssl_certificate ssl.crt/server.crt;   8.    ssl_certificate_key ssl.crt/server.key;   9.    ssl_client_certificate ssl.crt/demoCA/cacert.pem;   10.    ssl_verify_client on;   11.    ssl_session_cache shared:SSL:8m;   12.    ssl_session_timeout 5m;   13.    location ~ \.php$   14.    {   15.        fastcgi_pass 127.0.0.1:9000;   16.        fastcgi_index index.php;   17.        include fastcgi.conf;   18.    }   19.} 

这样就配置好了，把生成的客户端证书下载下来，在客户机安装。 当我们在浏览器访问https://www.etsec.com.cn的时候，会提示即将通过安全连接查看网页，点击确定会提示选择证书，选择刚安装的证书就可以正常浏览页面了 注意：不受信任的自签署SSL证书，只能在IE内核的浏览器使用，仅测试IE6，IE7，360浏览器等可正常使用，如果想让所有浏览器都支持的话，可以使用收费的 Entrust ssl证书

本文地址：http://www.etsec.com.cn/ssl/ssl-29.html 如非注明则为本站原创文章，欢迎转载。