讓我們在Debian 10 Linux上加密來保護Nginx

讓我們加密是由Internet安全研究組(ISRG)開發的免費,自動化和開放的證書頒發機構,它提供免費的SSL證書。

Let’s Encrypt頒發的證書受到所有主要瀏覽器的信任,並且自頒發之日起有效期為90天。

本教程顯示如何在運行Nginx作為Web服務器的Debian 10,Buster上安裝免費的Let’s Encrypt SSL證書。 我們還將展示如何配置Nginx以使用SSL證書並啟用HTTP / 2。

先決條件

在繼續執行指南之前,請確保滿足以下先決條件:

  • 以root或具有sudo特權的用戶身份登錄。
  • 您要獲取SSL證書的域必須指向您的公共服務器IP。 我們將使用 example.com
  • Nginx已安裝。

安裝Certbot#

我們將使用certbot工具獲取並更新證書。

Certbot是功能齊全且易於使用的工具,可自動執行用於獲取和續訂Let’s Encrypt SSL證書以及將Web服務器配置為使用證書的任務。

certbot軟件包包含在默認的Debian存儲庫中。 運行以下命令以安裝certbot:

sudo apt updatesudo apt install certbot

生成Dh(Diffie-Hellman)組#

Diffie-Hellman密鑰交換(DH)是一種在不安全的通信通道上安全地交換加密密鑰的方法。

我們將生成一組新的2048位DH參數以增強安全性:

sudo openssl dhparam -out /etc/ssl/certs/dhparam.pem 2048

您也可以將大小更改為最大4096位,但是生成時間可能會超過30分鐘,具體取決於系統的熵。

獲取“讓我們加密SSL”證書#

為了獲得域的SSL證書,我們將使用Webroot插件。 它通過創建一個臨時文件來驗證請求的域中的工作原理 ${webroot-path}/.well-known/acme-challenge 目錄。 Let’s Encrypt服務器向臨時文件發出HTTP請求,以驗證請求的域是否解析為certbot運行的服務器。

我們將映射所有HTTP請求 .well-known/acme-challenge 到一個目錄, /var/lib/letsencrypt

運行以下命令以創建目錄並使該目錄可用於Nginx服務器:

sudo mkdir -p /var/lib/letsencrypt/.well-knownsudo chgrp www-data /var/lib/letsencryptsudo chmod g+s /var/lib/letsencrypt

為了避免重複代碼,我們將創建兩個片段,這些片段將包含在所有Nginx服務器塊文件中。

打開文本編輯器並創建第一個代碼段, letsencrypt.conf

sudo nano /etc/nginx/snippets/letsencrypt.conf

/etc/nginx/snippets/letsencrypt.conf

location ^~ /.well-known/acme-challenge/ {
  allow all;
  root /var/lib/letsencrypt/;
  default_type "text/plain";
  try_files $uri =404;
}

第二段 ssl.conf 包括Mozilla推薦的削片程序,可啟用OCSP裝訂,HTTP嚴格傳輸安全性(HSTS),並僅執行少量針對安全性的HTTP標頭。

sudo nano /etc/nginx/snippets/ssl.conf

/etc/nginx/snippets/ssl.conf

ssl_dhparam /etc/ssl/certs/dhparam.pem;

ssl_session_timeout 1d;
ssl_session_cache shared:SSL:10m;
ssl_session_tickets off;

ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384;
ssl_prefer_server_ciphers off;

ssl_stapling on;
ssl_stapling_verify on;
resolver 8.8.8.8 8.8.4.4 valid=300s;
resolver_timeout 30s;

add_header Strict-Transport-Security "max-age=63072000" always;
add_header X-Frame-Options SAMEORIGIN;
add_header X-Content-Type-Options nosniff;

完成後,打開域服務器阻止文件並包含 letsencrypt.conf 片段如下所示:

sudo nano /etc/nginx/sites-available/example.com.conf

/etc/nginx/sites-available/example.com.conf

server {
  listen 80;
  server_name example.com www.example.com;

  include snippets/letsencrypt.conf;
}

創建指向的符號鏈接 sites-enabled 啟用域服務器塊的目錄:

sudo ln -s /etc/nginx/sites-available/example.com.conf /etc/nginx/sites-enabled/

重新啟動Nginx服務,以使更改生效:

sudo systemctl restart nginx

現在,您可以通過運行以下命令來獲取SSL證書文件:

sudo certbot certonly --agree-tos --email [email protected] --webroot -w /var/lib/letsencrypt/ -d example.com -d www.example.com

如果成功獲得SSL證書,則會在您的終端上打印以下消息:

IMPORTANT NOTES:
 - Congratulations! Your certificate and chain have been saved at:
   /etc/letsencrypt/live/example.com/fullchain.pem
   Your key file has been saved at:
   /etc/letsencrypt/live/example.com/privkey.pem
   Your cert will expire on 2020-02-22. To obtain a new or tweaked
   version of this certificate in the future, simply run certbot
   again. To non-interactively renew *all* of your certificates, run
   "certbot renew"
 - If you like Certbot, please consider supporting our work by:

   Donating to ISRG / Let's Encrypt:   https://letsencrypt.org/donate
   Donating to EFF:                    https://eff.org/donate-le

編輯域服務器塊,並包括SSL證書文件,如下所示:

sudo nano /etc/nginx/sites-available/example.com.conf

/etc/nginx/sites-available/example.com.conf

server {
    listen 80;
    server_name www.example.com example.com;

    include snippets/letsencrypt.conf;
    return 301 https://$host$request_uri;
}

server {
    listen 443 ssl http2;
    server_name www.example.com;

    ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
    ssl_trusted_certificate /etc/letsencrypt/live/example.com/chain.pem;
    include snippets/ssl.conf;
    include snippets/letsencrypt.conf;

    return 301 https://example.com$request_uri;
}

server {
    listen 443 ssl http2;
    server_name example.com;

    ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
    ssl_trusted_certificate /etc/letsencrypt/live/example.com/chain.pem;
    include snippets/ssl.conf;
    include snippets/letsencrypt.conf;

    # . . . other code
}

上面的配置告訴Nginx從HTTP重定向到HTTPS,從www重定向到非www版本。

重新啟動或重新加載Nginx服務,以使更改生效:

sudo systemctl restart nginx

使用打開網站 https://,您會注意到綠色的鎖定圖標。

如果您使用SSL Labs Server Test測試您的域,則將獲得一個 A+ 等級,如下圖所示:

自動更新讓我們加密SSL證書#

讓我們加密的證書有效期為90天。 要在證書過期之前自動更新證書,certbot程序包會創建一個cronjob和一個systemd計時器。 計時器將在證書到期前30天自動更新證書。

證書更新後,我們還必須重新加載Nginx服務。 打開 /etc/letsencrypt/cli.ini 並添加以下行:

sudo nano /etc/letsencrypt/cli.ini

/etc/cron.d/certbot

deploy-hook = systemctl reload nginx

通過運行以下命令來測試自動續訂過程:

sudo certbot renew --dry-run

如果沒有錯誤,則表示更新過程成功。

結論#

如今,必須擁有SSL證書。 它可以保護您的網站,增加SERP排名,並允許您在Web服務器上啟用HTTP / 2。

在本教程中,我們向您展示了如何使用certbot腳本生成和更新SSL證書。 我們還向您展示了如何配置Nginx以使用證書。

要了解有關Certbot的更多信息,請訪問Certbot文檔。

如果您有任何疑問或反饋,請隨時發表評論。

Nginx Debian讓我們加密certbot ssl

這篇文章是如何在Debian 10系列上安裝LEMP堆棧的一部分。

•如何在Debian 10上於2019年7月10日上安裝MariaDB•如何在Debian 10上於Linux上安裝Nginx•2019年7月16日•如何在Debian 10上的Linux上安裝PHP 2019年11月17日•讓我們在Debian 10 Linux上進行加密來保護Nginx 2019年11月24日•如何將於Debian 10上設置Nginx服務器模塊2020年2月23日

Sidebar