Ubuntu Nginx 配置 SSL 证书

首先需要在 Ubuntu 中安装 Nginx 服务, 打开终端执行以下命令:

$ sudo apt update
$ sudo apt install nginx -y

然后启动 Nginx 服务并设置为开机时自动启动, 执行以下命令:

$ sudo systemctl start nginx
$ sudo systemctl enable nginx

最后再验证一下 Nginx 服务的当前状态, 执行以下命令:

$ sudo systemctl status nginx
$ sudo systemctl is-active nginx

下载证书

从云服务提供商处下载适用 Nginx 的 SSL 证书文件, 以腾讯云为例, 如果有一个 xxx.xxx 的域名, 下载到本地的文件夹名称为 xxx.xxx_nginx, 文件夹内包含下面四个证书文件:

• xxx.xxx_bundle.crt
  • 根证书交叉文件
• xxx.xxx_bundle.pem
  • 使用pem编码的证书文件
• xxx.xxx.csr
  • 证书签名请求文件
• xxx.xxx.key
  • 私钥公钥对文件

进入到 Nginx 服务的配置目录下, 创建一个 xxx.xxx_nginx 目录并进入该目录下, 然后以管理员身份下载证书文件:

$ cd /etc/nginx
$ sudo mkdir xxx.xxx_nginx
$ cd xxx.xxx_nginx
$ sudo [证书下载请求地址]

证书文件下载完成后可以通过 ls -l 查看一下刚刚下载好的证书文件。

配置代理

进入到 Nginx 配置目录下 conf.d 目录, 创建一个 xxx.xxx_nginx.conf 配置文件, 并开始编辑配置文件:

cd /etc/nginx/conf.d
sudo touch xxx.xxx_nginx.conf
sudo vim xxx.xxx_nginx.conf

假设 XXX 为当前服务的名称, 开始配置代码。

动态服务配置

upstream XXX {
    # 本地服务地址
    server 127.0.0.1:10086;
}

server {
    listen 80;
    server_name xxx.xxx;
    # 把 HTTP 的域名请求转成 HTTPS
    return 301 https://$host$request_uri;
}

server {
    # SSL 访问端口号为 443
    listen 443 ssl;
    # 填写绑定证书的域名
    server_name xxx.xxx;
    # 证书文件名称
    ssl_certificate xxx.xxx_nginx/xxx.xxx_bundle.crt;
    # 私钥文件名称
    ssl_certificate_key xxx.xxx_nginx/xxx.xxx.key;
    ssl_session_timeout 5m;
    # 请按照以下协议配置
    ssl_protocols TLSv1.2 TLSv1.3;
    # 请按照以下套件配置, 配置加密套件, 写法遵循 openssl 标准
    ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:HIGH:!aNULL:!MD5:!RC4:!DHE;
    ssl_prefer_server_ciphers on;
    location / {
        # 网站主页路径. 此路径仅供参考, 具体请您按照实际目录操作
        # 例如, 您的网站运行目录在/etc/www下, 则填写/etc/www
        # root html;
        # index  index.html index.htm;
        proxy_pass http://XXX;
        proxy_http_version 1.1;
        proxy_redirect off;
        proxy_set_header Host $http_host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_set_header X-Forwarded-Host $host;
        proxy_set_header X-Forwarded-Server $host;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "Upgrade";
        proxy_send_timeout 120s;
        proxy_read_timeout 240s;
        # 最大允许上传 10~20000 MB 的内容
        client_max_body_size 10m;
        # 解决 HTTPS 站点里面引用 HTTP 资源的异常
        add_header Content-Security-Policy upgrade-insecure-requests;
    }
}

静态服务配置

server {
    # SSL 访问端口号为 443
    listen 443 ssl; 
    # 填写绑定证书的域名
    server_name xxx.xxx; 
    # 证书文件名称
    ssl_certificate xxx.xxx_nginx/xxx.xxx_bundle.crt;
    # 私钥文件名称
    ssl_certificate_key xxx.xxx_nginx/xxx.xxx.key;
    ssl_session_timeout 5m;
    # 请按照以下协议配置
    ssl_protocols TLSv1.2 TLSv1.3; 
    # 请按照以下套件配置，配置加密套件, 写法遵循 openssl 标准。
    ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:HIGH:!aNULL:!MD5:!RC4:!DHE; 
    ssl_prefer_server_ciphers on;
    location / {
        # 网站主页路径。此路径仅供参考, 具体请您按照实际目录操作。
        # 例如，您的网站运行目录在/etc/www下, 则填写/etc/www。
        root /.../.../.../app;
        index index.html;
    }
    location /static {
        alias /.../.../.../static;
    }
}

代理到目标服务

server {
    listen 80;
    server_name xxx.xxx;
    # 把 HTTP 的域名请求转成 HTTPS
    return 301 https://$host$request_uri;
}

server {
    # SSL 访问端口号为 443
    listen 443 ssl;
    # 填写绑定证书的域名
    server_name xxx.xxx;
    # 证书文件名称
    ssl_certificate xxx.xxx_nginx/xxx.xxx_bundle.crt;
    # 私钥文件名称
    ssl_certificate_key xxx.xxx_nginx/xxx.xxx.key;
    ssl_session_timeout 5m;
    # 请按照以下协议配置
    ssl_protocols TLSv1.2 TLSv1.3;
    # 请按照以下套件配置, 配置加密套件, 写法遵循 openssl 标准
    ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:HIGH:!aNULL:!MD5:!RC4:!DHE;
    ssl_prefer_server_ciphers on;
    location / {
        # 网站主页路径. 此路径仅供参考, 具体请您按照实际目录操作
        # 例如, 您的网站运行目录在/etc/www下, 则填写/etc/www
        # root html;
        # index  index.html index.htm;
        # https://api.n.n.com/ 为目标服务
        proxy_pass https://api.n.n.com/;
        proxy_ssl_server_name on;
        proxy_set_header Host api.n.n.com;
        # 保证 stream 请求时 EventSource 类型响应的输出
        proxy_set_header Connection '';
        proxy_http_version 1.1;
        chunked_transfer_encoding off;
        proxy_buffering off;
        proxy_cache off;
    }
}

重启服务

为了使上面的配置生效, 需要检测配置文件的有效性, 并且重启 Nginx 服务:

$ sudo nginx -t
$ sudo nginx -s reload

最后就可以验证一下 https://xxx.xxx 是否可以成功访问。