【Linux运维架构】LNMP企业架构之阿里云服务器配置https实战

文章目录[隐藏]

一、HTTPS基本概述
二、HTTPS证书下发流程
三、阿里云服务器配置https实战

一、HTTPS基本概述

为什么需要使用HTTPS，因为HTTP不安全，当我们使用http网站时，会遭到劫持和篡改，如果采用https协议，那么数据在传输过程中是加密的，所以黑客无法窃取或者篡改数据报文信息，同时也避免网站传输时信息泄露。

那么我们在实现https时，需要了解ssl协议，但我们现在使用的更多的是TLS加密协议。

那么TLS是怎么保证明文消息被加密的呢？在OSI七层模型中，应用层是http协议，那么在应用层协议之下，我们的表示层，是ssl协议所发挥作用的一层，他通过（握手、交换秘钥、告警、加密）等方式，是应用层http协议没有感知的情况下做到了数据的安全加密

二、HTTPS证书下发流程

我们首先需要申请证书，先去登记机构进行身份登记，我是谁，我是干嘛的，我想做什么，然后登记机构再通过CSR发给CA，CA中心通过后会生成一堆公钥和私钥，公钥会在CA证书链中保存，公钥和私钥证书我们拿到后，会将其部署在WEB服务器上
1.当浏览器访问我们的https站点时，他会去请求我们的证书
2.Nginx这样的web服务器会将我们的公钥证书发给浏览器
3.浏览器会去验证我们的证书是否合法有效
4.CA机构会将过期的证书放置在CRL服务器，CRL服务的验证效率是非常差的，所以CA有推出了OCSP响应程序，OCSP响应程序可以查询指定的一个证书是否过去，所以浏览器可以直接查询OSCP响应程序，但OSCP响应程序性能还不是很高
5.Nginx会有一个OCSP的开关，当我们开启后，Nginx会主动上OCSP上查询，这样大量的客户端直接从Nginx获取证书是否有效

三、阿里云服务器配置https实战

1.购买证书

一般阿里云证书一年内有免费版的Symantec，证书过期不支持续费，一年之后要更换证书，重新申请。

2.证书申请

这是向机构申请证书合法权，登记机构再通过CSR发给CA，成功之后CA中心通过后会生成一堆公钥和私钥给我们下载。

3.下载证书

签发成功之后就可以下载证书了，根据web服务类型来选择所对应的证书类型。
因为我们是LNMP架构，所以选择nginx的https证书下载。

4.上传证书

将下载的证书解压并上传到服务器，并且要创建个cert目录来存放证书。

[root@lixian ~]# mkdir /etc/nginx/cert
[root@lixian ~]# cd /etc/nginx/cert
[root@lixian /etc/nginx/cert]# unzip 2084533_lixian.fun_nginx.zip
[root@lixian /etc/nginx/cert]# ll
total 8
-rw-r--r-- 1 root root 1675 Mar 10 14:49 2084533_lixian.fun.key
-rw-r--r-- 1 root root 3659 Mar 10 14:49 2084533_lixian.fun.pem

5.部署nginx配置文件

在conf目录下编写nginx的conf文件

server {
    server_name www.lixian.fun;
    listen 443 ssl;  
    ssl_certificate /etc/nginx/cert/www.lixian.fun.pem;
    ssl_certificate_key /etc/nginx/cert/www.lixian.fun.key;
    location / {
        root /code/wordpress;
        index index.php;
    }
location ~ \.php$ {
        root /code/wordpress;
        fastcgi_pass   127.0.0.1:9000;
        fastcgi_index  index.php;
        fastcgi_param  SCRIPT_FILENAME $document_root$fastcgi_script_name;
	fastcgi_param  HTTPS on;
        include fastcgi_params;
    }
}
server {  
    listen  80;  
    server_name www.lixian.fun;  
    rewrite ^(.*)$  https://$host$1 permanent;  
}