[TOC]

前言

上一篇，我们介绍了nginx启用https，但是使用的证书是私有CA颁发的。
这种私有证书出来个人练习或者在内部使用外，还真不知道有什么其他用途。

现在，我们来体验体验真正的商用https证书。

1 环境准备

• 域名
  • 本人这里是在阿里云买的域名
  • 只要你想买的域名不是 google.com或在baidu.com这种白金次的话，一般都不贵吧……
  • 域名备不备案在这里无所谓了
  • 将域名解析到你自己的服务器
• 公网服务器
  • 本人这里使用的是阿里云主机
  • 得搞个公网主机，不然域名解析到哪里去呢？
• https证书
  • 本人这里使用的是https://startssl.com/颁发的免费证书
  • 确实不错，免费的
  • 证书申请有疑问？请移驾：https://www.oschina.net/translate/switch-to-https-now-for-free?cmp

2 申请https证书

此处使用的是https://startssl.com/提供的免费https证书。

这部分有疑问的话，可以参考本人另一篇文章：http://blog.csdn.net/hylexus/article/details/53150333

# 本人申请证书后下载得到了一个hyl.xxx.tech.zip的压缩包
# 其中hyl.xxx.tech应该会用你自己的域名代替

# 该文件内容如下:

[root@hylexus https]# tree
.
├── ApacheServer.zip # apache/httpd
├── IISServer.zip # MS-IIS
├── NginxServer.zip # Nginx
└── OtherServer.zip # 其他服务器

这里我们使用NginxServer.zip中的文件进行后续操作.

# 解压后得到文件：1_hyl.xxx.tech_bundle.crt

# 为方便后续操作，将该文件重命名为nginx.crt
# 并将其移动至nginx配置文件目录下新建的ssl目录下


mkdir /etc/nginx/ssl
# 证书文件nginx.crt
cp 1_hyl.xxx.tech_bundle.crt /etc/nginx/ssl/nginx.crt

# 应用程序秘钥nginx.key
# 名字随意，这个文件是你自己生成CSR的时候用的秘钥文件
cp nginx.key /etc/nginx/ssl/nginx.key

3 nginx启用https

此时的ssl目录：

[root@hylexus ssl]# pwd
/etc/nginx/ssl
[root@hylexus ssl]# tree
.
├── nginx.crt # 申请的https证书
└── nginx.key # 应用程序私钥

基于域名的虚拟主机配置

server{
    # 同时支持http和https
    listen  80;
    listen  443 ssl;
    server_name hyl.xxx.tech;
    access_log  /var/log/nginx/hyl.xxx.tech.access.log;

    keepalive_timeout   70;

    ssl_protocols       TLSv1 TLSv1.1 TLSv1.2;
    ssl_ciphers         AES128-SHA:AES256-SHA:RC4-SHA:DES-CBC3-SHA:RC4-MD5;
    ssl_certificate     /etc/nginx/ssl/nginx.crt;
    ssl_certificate_key /etc/nginx/ssl/nginx.key;
    ssl_session_cache   shared:SSL:10m;
    ssl_session_timeout 10m;

    location / {
        #root   /usr/share/nginx/html;
        index  dashboard index;
        proxy_pass http://127.0.0.1:8080/;
        proxy_set_header Host       $http_host;
        proxy_set_header X-Real-IP $remote_addr;  
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;  
        proxy_set_header X-Forwarded-Proto $scheme;
    }

}

4 tomcat-server.xml配置

Connector等的配置按自己的喜好来
此处应该注意的地方是在你的虚拟主机下加一个 Valve

# 注意几个请求头和nginx虚拟主机的配置中应该是对应的
# X-Forwarded-For、X-Forwarded-Proto等
<Valve className="org.apache.catalina.valves.RemoteIpValve" 
    remoteIpHeader="X-Forwarded-For" 
    protocolHeader="X-Forwarded-Proto" 
    protocolHeaderHttpsValue="https"/>

5 效果预览

没有警告信息的https