1. 数字证书

数字证书就是“网络身份证”，用来在网络上证明数字证书持有者的身份。

2. 数字证书格式及转换

3. HTTP 和 HTTPS

SSL/TLS：安全套接字(Secure Socket Layer，SSL)协议是Web浏览器与Web服务器之间安全交换信息的协议，提供两个基本的安全服务：鉴别与保密。

4. 各种类型SSL数字证书区别

用于网站HTTPS化的SSL数字证书，当前主要分为DV SSL、OV SSL、EV SSL三种类型的证书。

各种类型SSL数字证书区别

阿里云上签发的Symantec证书，在原有OV、EV基础上，推出了增强型OV、增强型EV证书。增强型与专业版OV及高级版EV的区别主要在于，增强型OV、增强EV支持ECC椭圆加密算法。

5. SSL证书

• HTTP与HTTPS区别
  对比传统的加密方式，SSL证书有以下几点优势：

1. https协议需要到ca申请证书，一般免费证书很少，需要交费。
2. http是超文本传输协议，信息是明文传输，https则是具有安全性的ssl加密传输协议。
3. http和https使用的是完全不同的连接方式用的端口也不一样，前者是80，后者是443。
4. http的连接很简单,是无状态的。
5. HTTPS协议是由SSL+HTTP协议构建的可进行加密传输、身份认证的网络协议，要比http协议安全。

---

Nginx 集群环境SSL证书部署

Nginx是一款轻量级的Web 服务器/反向代理服务器及电子邮件 (IMAP/POP3)代理服务器，并在一个BSD-like协议下发行。中国大陆使用nginx网站用户有:百度、京东、新浪、网易、腾讯、淘宝等。

1. 在CentOS服务器上安装OpenSSL软件

yum update openssl openssl-devel
yum install openssl openssl-devel

2. 配置CA服务器

生成自签署证书的密钥

• 进入证书目录(安装了OpenSSL软件就会存在该目录)

cd /etc/pki/CA/

• 使用rsa加密算法生成自签署证书的密钥(此处指定密钥长度为2048)

openssl genrsa -out private/cakey.pem 2048

• 修改权限，增加安全性

chmod 600 private/cakey.pem

利用密钥生成CA服务器的证书文件， 为了方便，首先在OpenSSL配置文件中设置一些默认值

• 编辑配置文件

vim /etc/pki/tls/openssl.cnf

• 找到如下部分，在签署证书时证书中会写入如下内容(大概128行)

[ req_distinguished_name ]
countryName                     = Country Name (2 letter code)
# 配置默认国家
countryName_default             = CN
countryName_min                 = 2
countryName_max                 = 2

stateOrProvinceName             = State or Province Name (full name)
# 默认省份名称
stateOrProvinceName_default    = SiChuan

localityName                    = Locality Name (eg, city)
# 默认城市名称
localityName_default            = ChengDu
0.organizationName              = Organization Name (eg, company)
# 默认公司名称
0.organizationName_default      = SkyGuard
# we can do this but it is not needed normally :-)#1.organizationName             = Second Organization Name (eg, company)#1.organizationName_default     = World Wide Web Pty Ltd

organizationalUnitName          = Organizational Unit Name (eg, section)
# 默认组织单位名称
organizationalUnitName_default = BigData

生成自签署证书：

• 用刚刚生成的密钥文件生成一个有效期为10年的证书

openssl req -new -x509 -key ./private/cakey.pem -out cacert.pem -days 3650

• 以下几项使用刚刚配置的默认值，所有直接回车

Country Name (2 letter code) [CN]:
State or Province Name (full name) [SiChuan]:
Locality Name (eg, city) [ChengDu]:
Organization Name (eg, company) [SkyGuard]:
Organizational Unit Name (eg, section) [BigData]:

• 此处配置CA服务器名字，建议使用DNS上能查找到的域名(测试可随便指定)

Common Name (eg, your name or your server's hostname) []:nginx.xiaochunping.com

• 此处设置管理员邮箱(测试可随便指定)

Email Address []:xiaochunping9987@163.com

创建如下两个文件:

• 创建存放颁发证书的数据库文件

touch index.txt

• 当前颁发证书的序列号文件，颁发下一个证书时会自动加1

echo "00" > serial

3. 配置Nginx服务器Https单向认证

安装Nginx服务器：
（这里就不进行介绍了）

配置Nginx服务器支持ssl：

• 创建存放ssl先关的目录，并进入目录

mkdir ssl && cd ssl 

• 生成本地密钥

openssl genrsa 2048 > httpd.key 

• 修改权限，增加安全性

chmod 600 httpd.key

• 生成证书申请文件，以便传入CA服务器申请证书

openssl req -new -key httpd.key -out httpd.crq

• 以下几项与CA服务器信息保持一致

Country Name (2 letter code) [XX]:CN
State or Province Name (full name) []:SiChuan
Locality Name (eg, city) [Default City]:ChengDu
Organization Name (eg, company) [Default Company Ltd]:SkyGuard
Organizational Unit Name (eg, section) []:BigData# Nginx中虚拟主机名，只对该虚拟主机的请求加密
Common Name (eg, your name or your server's hostname) []:nginx.lazyfennec.cn
# 管理员邮箱，注意替换成自己的
Email Address []:lazyfennec@foxmail.com

Please enter the following 'extra' attributes
to be sent with your certificate request
# 设置单独密码，忽略即可
A challenge password []:
An optional company name []

• 登录到CA服务器对证书进行签署，切换到CA目录

openssl ca -in /tmp/httpd.crq -out /tmp/httpd.crt -days 3650

Certificate is to be certified until Mar 23 05:25:03 2027 GMT (3650 days)
Sign the certificate? [y/n]:y

1 out of 1 certificate requests certified, commit? [y/n]y
Write out database with 1 new entries
Data Base Updated 

• 配置Nginx

vim conf/nginx.conf# 增加如下虚拟主机

server {
        listen 443 ssl;
        server_name nginx.skyguard.com.cn;

        ssl on;
        ssl_certificate ../ssl/httpd.crt;
        ssl_certificate_key ../ssl/httpd.key;
        ssl_protocols SSLv3 TLSv1 TLSv1.1 TLSv1.2;
        ssl_ciphers ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP;
        ssl_prefer_server_ciphers on;
        location / {
                root   html;
                index  index.html index.htm;
         }
}

---

这里补充一个非常重要的说明

当然以上内容为自己签发的情况，如果是网上申请的证书，那么在拿到相关证书后，可以将相关文件放到指定位置后，然后修改nginx的配置文件即可。

---

如果觉得有收获，欢迎点赞和评论，更多知识，请点击关注查看我的主页信息哦~