Linux [スクリプト 06] HTTPS 転送 HTTP インストール OpenSSL、Nginx (http_ssl_module を使用)、および自己署名 X.509 デジタル証明書の生成 (ワンクリックの展開生成スクリプト共有)

HTTPS 転送 HTTP プロセス

1. プロセスの説明

Nginx の SSL 機能を有効にするには、Windows 版には独自のhttp_ssl_moduleモジュールが付属しており、Linux にはそれをインストールする必要があります。このモジュールをインストールするには、最初にインストールする必要がありますopenssl。手順は次のとおりです。

OpenSSLをインストールし、
Nginx を書き換えてコンパイルして http_ssl_module モジュールを追加します。
証明書番号を生成し、
Nginx が構成を追加します。

設置環境：

[root@tcloud ~]# cat /etc/centos-release
CentOS Linux release 7.9.2009 (Core)

2. OpenSSL をインストールする

今回インストールしたバージョンはでopenssl-1.1.1s.tar.gz、インストールスクリプトのopensslInstall.sh内容は以下の通りです。

#!/bin/bash
echo "(1/4): 安装依赖 gcc zlib..."
yum -y install gcc zlib
echo "(1/4): 依赖 gcc zlib安装完毕"

echo "(2/4): 解压$1.tar.gz安装文件..."
tar -zxvf $1.tar.gz -C /usr/local
sleep 3
echo "(2/4): 安装文件解压完毕"

echo "(3/4): 检测OpenSSL安装环境..."
cd /usr/local/$1
./config shared zlib  --prefix=/usr/local/openssl
echo "(3/4): OpenSSL安装环境检测成功"

echo "(4/4): 编译安装OpenSSL..."
make && make install
echo "(4/4): OpenSSL编译安装完成"


cat <<'EOF' > /etc/profile.d/openssl.sh
export OPENSSL=/usr/local/openssl/bin
export PATH=$OPENSSL:$PATH:$HOME/bin
EOF
sleep 1
source /etc/profile.d/openssl.sh

スクリプト呼び出し:

# 脚本参数为安装文件的版本信息 也就是解压后的文件夹
./opensslInstall.sh openssl-1.1.1s

ここに特に注意してください: tar -zxvf $1.tar.gz -C /usr/local. 実際のインストールが完了すると、OpenSSL ファイルが/usr/local/openssl-1.1.1sパスに保存されます. このフォルダーは、後で Nginx が http_ssl_module をインストールするときに使用されます。

3.Nginx で http_ssl モジュールをインストールする

#!/bin/bash
echo "(1/4): 安装依赖pcre-devel..."
yum -y install pcre-devel
sleep 5
echo "(1/4): 依赖pcre-devel安装完毕"

echo "(2/4): 解压Nginx安装文件..."
tar -zxvf nginx-1.23.1.tar.gz
sleep 3
echo "(2/4): Nginx安装文件解压完毕"

echo "(3/4): 检测Nginx安装环境..."
cd nginx-1.23.1/
./configure --with-http_ssl_module --with-openssl=/usr/local/openssl-1.1.1s --prefix=/usr/local/nginx1.23.1
echo "(3/4): Nginx安装环境检测成功"

echo "(4/4): 编译安装Nginx..."
make & make install
echo "(4/4): Nginx编译安装完成"

ここに大きな--with-http_ssl_module --with-openssl=/usr/local/openssl-1.1.1s穴--with-openssl=/usr/local/openssl-1.1.1sOpenSSL のソースコードを解凍したフォルダはインストール後のフォルダではないので注意が必要です。

4. 自己署名証明書の生成

4.1 ステップバイステップの生成

# 1.生成长度为1024的RSA密钥对并使用Triple DES算法进行加密
openssl genrsa -des3 -out test-en.key 1024
# 输入密码并验证密码【第2和第3步】都会用到这个密码
Enter pass phrase for test-en.key:
Verifying - Enter pass phrase for test-en.key:

# 2.创建新的证数签名
openssl req -new -key test-en.key -out test.csr
# 输入【第1步的密码】
Enter pass phrase for test-en.key:
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
# 除 Common Name 外都可为空
Country Name (2 letter code) [XX]:CN
State or Province Name (full name) []:HN
Locality Name (eg, city) [Default City]:ZZ
Organization Name (eg, company) [Default Company Ltd]:TEST
Organizational Unit Name (eg, section) []:DC
Common Name (eg, your name or your server's hostname) []:192.168.0.1
Email Address []:.

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:.
An optional company name []:.

# 3.去掉密码
openssl rsa -in test-en.key -out test.key
# 输入【第1步的密码】
Enter pass phrase for test-en.key:
writing RSA key

# 4.生成一个自签名的X.509数字证书 有效期365天
openssl x509 -req -days 365 -in test.csr -signkey test.key -out test.crt
# 成功标志
Signature ok

-x509: X.509 デジタル証明書を生成するコマンドを指定します。
-req: 入力ファイルが証明書署名要求であることを指定します。
-days 3650: 証明書の有効期間が 365 日 (約 1 年) であることを指定します。
-in test.csr: 入力証明書署名要求ファイルを test.csr として指定します。
-signkey test.key: 証明書の署名に使用される秘密鍵ファイルを test.key として指定します。
-out test.crt: 生成された自己署名デジタル証明書ファイルの名前を test.crt として指定し、生成された証明書をこのファイルに保存します。

このコマンドは、提供された証明書署名要求ファイル test.csr および秘密鍵ファイル test.key に基づいて自己署名 X.509 デジタル証明書を生成し、生成された証明書を test.crt ファイルに保存します。自己署名証明書は、秘密キーの所有者自身によって署名された証明書であり、サードパーティの認証局 (CA) による認証を必要としません。

生成された自己署名証明書は、テスト、開発環境での安全な通信、社内 Web サイトなど、さまざまな目的に使用できます。自己署名証明書は、公的に信頼されている第三者機関によって認証されていないため、公共環境のブラウザまたは他のアプリケーションによって信頼できないと見なされる場合があることに注意してください。

4.2 自動生成

自動生成スクリプトの内容はcertificateGenerate.sh以下のとおりです。

#!/bin/bash
echo "(1/5): 生成密钥对开始..."
openssl genrsa -des3 -out test-en.key -passout pass:test 1024
echo "(1/5): 生成密钥对结束。"

echo "(2/5): 创建新的证数签名开始..."
openssl req -new -key test-en.key -out test.csr -passin pass:test -subj "/C=CN/ST=HN/L=ZZ/O=TEST/CN=$1"
sleep 2
echo "(2/5): 创建新的证数签名结束。"

echo "(3/5): 密钥去除密码..."
openssl rsa -in test-en.key -out test.key -passin pass:test
echo "(3/5): 密钥去除密码成功。"

echo "(4/5): 生成自签名证数..."
openssl x509 -req -days 3650 -in test.csr -signkey test.key -out test.crt
echo "(4/5): 生成自签名证数成功。"

echo "(5/5): 删除过程文件..."
rm -rf test-en.key test.csr
echo "(5/5): 删除过程文件成功。"

スクリプト呼び出し:

# 脚本参数为IP或域名
./certificateGenerate.sh tcloud

5.Nginxの設定

ここでいくつかのコメントを削除し、コア構成のみを保持し、https://IP:18080リクエストをhttp://IP:8080次の宛先に転送します。

http {
    
    
    include       mime.types;
    default_type  application/octet-stream;
    sendfile        on;
    keepalive_timeout  65;
    server {
    
    
        listen       18080 ssl;
        server_name  localhost;

        ssl_certificate      /pathto/test.crt;
        ssl_certificate_key  /pathto/test.key;

        ssl_session_cache    shared:SSL:1m;
        ssl_session_timeout  5m;

        ssl_ciphers  HIGH:!aNULL:!MD5;
        ssl_prefer_server_ciphers  on;

        location / {
    
    
			proxy_pass http://localhost:8080/;
			proxy_redirect off;
			proxy_set_header Host $host:8080;
			proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
			proxy_set_header   X-Real-IP $remote_addr;
			proxy_set_header Cookie $http_cookie;
        }
    }
}

6. まとめ

Windows 環境の Nginx には独自の SSL モジュールが付属していますが、Windows 環境では自己署名証明書の生成が困難ですが、Linux 環境では自己署名証明書を生成して利用できます。
Nginx が Linux 環境に SSL モジュールをインストールする場合、OpenSSL のソースコードを使用してコンパイルする必要があるため注意が必要です。