NGINX配置https双向认证(自签一级证书)

最新推荐文章于 2025-06-19 10:23:42 发布

原创最新推荐文章于 2025-06-19 10:23:42 发布 · 1.3k 阅读

22 ·

CC 4.0 BY-SA版权

文章标签：

#nginx #https #运维

一生成自签证书

以下是生成自签证书(包括服务端和客户端的证书)的步骤，以下命令执行两次，分别生成客户端和服务端证书和私钥。具体执行可以先建两个目录client和server，分别进入到这两个目录下执行下面的命令。

生成私钥：
首先，你需要生成一个私钥。通常使用RSA算法，你可以通过以下命令生成一个2048位的私钥：
```
openssl genrsa -out private.key 2048
```
这里private.key是你的私钥文件名。
生成证书签名请求（CSR）：
使用私钥生成一个证书签名请求（CSR）。在这一步，你需要提供一些组织和个人的信息。
```
openssl req -new -key private.key -out csr.csr
```
执行此命令后，OpenSSL会提示你输入一些信息，如国家代码（C）、州或省份（ST）、城市（L）、组织名称（O）、通用名称（CN）等。这些信息将被包含在你的CSR中。
生成自签证书：
最后，使用私钥和CSR生成自签证书。你可以指定证书的有效期。
```
openssl x509 -req -days 365 -in csr.csr -signkey private.key -out certificate.crt
```
-days 365表示证书有效期为365天。certificate.crt是生成的自签证书文件名。
验证证书：
你可以使用以下命令来验证生成的证书：
```
openssl x509 -in certificate.crt -text -noout
```
这个命令会显示证书的详细信息，确保所有信息都是正确的。
（可选）生成PEM格式的证书链文件：
如果你需要将自签证书和中间证书（如果有的话）合并成一个PEM格式的文件，可以使用以下命令：
```
cat certificate.crt intermediate.crt > chain.pem
```
如果你只有一个自签证书，这一步可以跳过。
重命名证书：
利用上面的命令可以得到私钥[private.key]和证书[certificate.crt],为了区分服务端和客户端，将其重新命名为[private-client.key]/[certificate-client.crt]和[private-server.key]/[certificate-server.crt]

二生成浏览器端验证时需要导入到windows中的pfx文件

使用以下命令将[private-client.key]/[certificate-client.crt]合并成一个PFX文件：

openssl pkcs12 -export -out certificate-client.pfx -inkey private-client.key -in certificate-client.crt -certfile certificate-client.crt

在这个命令中：

-out certificate-client.pfx 指定输出的PFX文件名。
-inkey private-client.key 指定私钥文件。
-in certificate-client.crt 指定证书文件。
-certfile certificate-client.crt 指定CA证书文件（如果你有中间证书或链证书，也需要包含在内），自签证书这里放了和-in一样的证书。
执行命令后，OpenSSL会提示你输入一个密码来保护PFX文件。这个密码将在导入PFX文件时需要。

三 NGINX配置ssl证书

包括配置服务端证书、开启客户端证书验证、配置客户端证书的验证证书。

     server {
         listen       9443 ssl http2;
         listen       [::]:9443 ssl http2;
         server_name  xxx.xxx.cn;
         ssl_certificate "certificate-server.crt";
         ssl_certificate_key "private-server.key";
         ssl_client_certificate "certificate-client.crt";  # CA根证书路径，用于验证客户端证书
         ssl_verify_client on;  # 开启客户端证书验证
         ssl_session_cache shared:SSL:1m;
         ssl_session_timeout  10m;
         ssl_ciphers PROFILE=SYSTEM;
         ssl_prefer_server_ciphers on;
         include /etc/nginx/default.d/*.conf;
         location / {
             proxy_pass http://127.0.0.1:8081/;
         }
     }