让我们在Debian 10 Linux上加密来保护Nginx
让我们加密是由Internet安全研究组(ISRG)开发的免费,自动化和开放的证书颁发机构,它提供免费的SSL证书。
Let’s Encrypt颁发的证书受到所有主要浏览器的信任,并且自颁发之日起有效期为90天。
本教程显示如何在运行Nginx作为Web服务器的Debian 10,Buster上安装免费的Let’s Encrypt SSL证书。 我们还将展示如何配置Nginx以使用SSL证书并启用HTTP / 2。
先决条件
在继续执行指南之前,请确保满足以下先决条件:
- 以root或具有sudo特权的用户身份登录。
- 您要获取SSL证书的域必须指向您的公共服务器IP。 我们将使用
example.com
。 - Nginx已安装。
安装Certbot#
我们将使用certbot工具获取并更新证书。
Certbot是功能齐全且易于使用的工具,可自动执行用于获取和续订Let’s Encrypt SSL证书以及将Web服务器配置为使用证书的任务。
certbot软件包包含在默认的Debian存储库中。 运行以下命令以安装certbot:
sudo apt update
sudo apt install certbot
生成Dh(Diffie-Hellman)组#
Diffie-Hellman密钥交换(DH)是一种在不安全的通信通道上安全地交换加密密钥的方法。
我们将生成一组新的2048位DH参数以增强安全性:
sudo openssl dhparam -out /etc/ssl/certs/dhparam.pem 2048
您也可以将大小更改为最大4096位,但是生成时间可能会超过30分钟,具体取决于系统的熵。
获取“让我们加密SSL”证书#
为了获得域的SSL证书,我们将使用Webroot插件。 它通过创建一个临时文件来验证请求的域中的工作原理 ${webroot-path}/.well-known/acme-challenge
目录。 Let’s Encrypt服务器向临时文件发出HTTP请求,以验证请求的域是否解析为certbot运行的服务器。
我们将映射所有HTTP请求 .well-known/acme-challenge
到一个目录, /var/lib/letsencrypt
。
运行以下命令以创建目录并使该目录可用于Nginx服务器:
sudo mkdir -p /var/lib/letsencrypt/.well-known
sudo chgrp www-data /var/lib/letsencrypt
sudo chmod g+s /var/lib/letsencrypt
为了避免重复代码,我们将创建两个片段,这些片段将包含在所有Nginx服务器块文件中。
打开文本编辑器并创建第一个代码段, letsencrypt.conf
:
sudo nano /etc/nginx/snippets/letsencrypt.conf
/etc/nginx/snippets/letsencrypt.conf
location ^~ /.well-known/acme-challenge/ {
allow all;
root /var/lib/letsencrypt/;
default_type "text/plain";
try_files $uri =404;
}
第二段 ssl.conf
包括Mozilla推荐的削片程序,可启用OCSP装订,HTTP严格传输安全性(HSTS),并仅执行少量针对安全性的HTTP标头。
sudo nano /etc/nginx/snippets/ssl.conf
/etc/nginx/snippets/ssl.conf
ssl_dhparam /etc/ssl/certs/dhparam.pem;
ssl_session_timeout 1d;
ssl_session_cache shared:SSL:10m;
ssl_session_tickets off;
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384;
ssl_prefer_server_ciphers off;
ssl_stapling on;
ssl_stapling_verify on;
resolver 8.8.8.8 8.8.4.4 valid=300s;
resolver_timeout 30s;
add_header Strict-Transport-Security "max-age=63072000" always;
add_header X-Frame-Options SAMEORIGIN;
add_header X-Content-Type-Options nosniff;
完成后,打开域服务器阻止文件并包含 letsencrypt.conf
片段如下所示:
sudo nano /etc/nginx/sites-available/example.com.conf
/etc/nginx/sites-available/example.com.conf
server {
listen 80;
server_name example.com www.example.com;
include snippets/letsencrypt.conf;
}
创建指向的符号链接 sites-enabled
启用域服务器块的目录:
sudo ln -s /etc/nginx/sites-available/example.com.conf /etc/nginx/sites-enabled/
重新启动Nginx服务,以使更改生效:
sudo systemctl restart nginx
现在,您可以通过运行以下命令来获取SSL证书文件:
sudo certbot certonly --agree-tos --email [email protected] --webroot -w /var/lib/letsencrypt/ -d example.com -d www.example.com
如果成功获得SSL证书,则会在您的终端上打印以下消息:
IMPORTANT NOTES:
- Congratulations! Your certificate and chain have been saved at:
/etc/letsencrypt/live/example.com/fullchain.pem
Your key file has been saved at:
/etc/letsencrypt/live/example.com/privkey.pem
Your cert will expire on 2020-02-22. To obtain a new or tweaked
version of this certificate in the future, simply run certbot
again. To non-interactively renew *all* of your certificates, run
"certbot renew"
- If you like Certbot, please consider supporting our work by:
Donating to ISRG / Let's Encrypt: https://letsencrypt.org/donate
Donating to EFF: https://eff.org/donate-le
编辑域服务器块,并包括SSL证书文件,如下所示:
sudo nano /etc/nginx/sites-available/example.com.conf
/etc/nginx/sites-available/example.com.conf
server {
listen 80;
server_name www.example.com example.com;
include snippets/letsencrypt.conf;
return 301 https://$host$request_uri;
}
server {
listen 443 ssl http2;
server_name www.example.com;
ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
ssl_trusted_certificate /etc/letsencrypt/live/example.com/chain.pem;
include snippets/ssl.conf;
include snippets/letsencrypt.conf;
return 301 https://example.com$request_uri;
}
server {
listen 443 ssl http2;
server_name example.com;
ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
ssl_trusted_certificate /etc/letsencrypt/live/example.com/chain.pem;
include snippets/ssl.conf;
include snippets/letsencrypt.conf;
# . . . other code
}
上面的配置告诉Nginx从HTTP重定向到HTTPS,从www重定向到非www版本。
重新启动或重新加载Nginx服务,以使更改生效:
sudo systemctl restart nginx
使用打开网站 https://
,您会注意到绿色的锁定图标。
如果您使用SSL Labs Server Test测试您的域,则将获得一个 A+
等级,如下图所示:
自动更新让我们加密SSL证书#
让我们加密的证书有效期为90天。 要在证书过期之前自动更新证书,certbot程序包会创建一个cronjob和一个systemd计时器。 计时器将在证书到期前30天自动更新证书。
证书更新后,我们还必须重新加载Nginx服务。 打开 /etc/letsencrypt/cli.ini
并添加以下行:
sudo nano /etc/letsencrypt/cli.ini
/etc/cron.d/certbot
deploy-hook = systemctl reload nginx
通过运行以下命令来测试自动续订过程:
sudo certbot renew --dry-run
如果没有错误,则表示更新过程成功。
结论#
如今,必须拥有SSL证书。 它可以保护您的网站,增加SERP排名,并允许您在Web服务器上启用HTTP / 2。
在本教程中,我们向您展示了如何使用certbot脚本生成和更新SSL证书。 我们还向您展示了如何配置Nginx以使用证书。
要了解有关Certbot的更多信息,请访问Certbot文档。
如果您有任何疑问或反馈,请随时发表评论。
Nginx Debian让我们加密certbot ssl
这篇文章是如何在Debian 10系列上安装LEMP堆栈的一部分。
•如何在Debian 10上于2019年7月10日上安装MariaDB•如何在Debian 10上于Linux上安装Nginx•2019年7月16日•如何在Debian 10上的Linux上安装PHP 2019年11月17日•让我们在Debian 10 Linux上进行加密来保护Nginx 2019年11月24日•如何将于Debian 10上设置Nginx服务器模块2020年2月23日