如何保护Ubuntu 16.04上的NGINX Web服务器

系统 Linux
在本教程中,我们将看到如何使用 certbot 获取免费的 SSL 证书,并在 Ubuntu 16.04 服务器上使用 Nginx。

如何保护Ubuntu 16.04上的NGINX Web服务器

什么是 Let’s Encrypt

Let’s Encrypt 是互联网安全研究组织 (ISRG) 提供的免费证书认证机构。它提供了一种轻松自动的方式来获取免费的 SSL/TLS 证书 - 这是在 Web 服务器上启用加密和 HTTPS 流量的必要步骤。获取和安装证书的大多数步骤可以通过使用名为 Certbot 的工具进行自动化。

特别地,该软件可在可以使用 shell 的服务器上使用:换句话说,它可以通过 SSH 连接使用。

在本教程中,我们将看到如何使用 certbot 获取免费的 SSL 证书,并在 Ubuntu 16.04 服务器上使用 Nginx。

安装 Certbot

***步是安装 certbot,该软件客户端可以几乎自动化所有的过程。 Certbot 开发人员维护自己的 Ubuntu 仓库,其中包含比 Ubuntu 仓库中存在的软件更新的软件。

添加 Certbot 仓库:

  1. add-apt-repository ppa:certbot/certbot 

接下来,更新 APT 源列表:

  1. # apt-get update 

此时,可以使用以下 apt 命令安装 certbot:

  1. # apt-get install certbot 

Certbot 现已安装并可使用。

获得证书

有各种 Certbot 插件可用于获取 SSL 证书。这些插件有助于获取证书,而证书的安装和 Web 服务器配置都留给管理员。

我们使用一个名为 Webroot 的插件来获取 SSL 证书。

在有能力修改正在提供的内容的情况下,建议使用此插件。在证书颁发过程中不需要停止 Web 服务器。

配置 NGINX

Webroot 会在 Web 根目录下的 .well-known 目录中为每个域创建一个临时文件。在我们的例子中,Web 根目录是 /var/www/html。确保该目录在 Let’s Encrypt 验证时可访问。为此,请编辑 NGINX 配置。使用文本编辑器打开 /etc/nginx/sites-available/default:

  1. # $EDITOR /etc/nginx/sites-available/default 

在该文件中,在 server 块内,输入以下内容:

  1. location ~ /.well-known { 
  2.    allow all

保存,退出并检查 NGINX 配置:

  1. # nginx -t 

没有错误的话应该会显示如下:

  1. nginx: the configuration file /etc/nginx/nginx.conf syntax is ok 
  2. nginx: configuration file /etc/nginx/nginx.conf test is successful 

重启 NGINX:

  1. # systemctl restart nginx 

使用 Certbot 获取证书

下一步是使用 Certbot 的 Webroot 插件获取新证书。在本教程中,我们将保护示例域 www.example.com。需要指定应由证书保护的每个域。执行以下命令:

  1. # certbot certonly --webroot --webroot-path=/var/www/html -d www.example.com 

在此过程中,Cerbot 将询问有效的电子邮件地址,用于进行通知。还会要求与 EFF 分享,但这不是必需的。在同意服务条款之后,它将获得一个新的证书。

***,目录 /etc/letsencrypt/archive 将包含以下文件:

  • chain.pem:Let’s Encrypt 加密链证书。
  • cert.pem:域名证书。
  • fullchain.pem:cert.pem和 chain.pem 的组合。
  • privkey.pem:证书的私钥。

Certbot 还将创建符号链接到 /etc/letsencrypt/live/domain_name/ 中的***证书文件。这是我们将在服务器配置中使用的路径。

在 NGINX 上配置 SSL/TLS

下一步是服务器配置。在 /etc/nginx/snippets/ 中创建一个新的代码段。 snippet 是指一段配置,可以包含在虚拟主机配置文件中。如下创建一个新的文件:

  1. # $EDITOR /etc/nginx/snippets/secure-example.conf 

该文件的内容将指定证书和密钥位置。粘贴以下内容:

  1. ssl_certificate /etc/letsencrypt/live/domain_name/fullchain.pem; 
  2. ssl_certificate_key /etc/letsencrypt/live/domain_name/privkey.pem; 

在我们的例子中,domain_name 是 example.com。

编辑 NGINX 配置

编辑默认虚拟主机文件:

  1. # $EDITOR /etc/nginx/sites-available/default 

如下:

  1. server { 
  2.  listen 80 default_server; 
  3.  listen [::]:80 default_server; 
  4.  server_name www.example.com 
  5.  return 301 https://$server_name$request_uri; 
  6.  # SSL configuration 
  7.  # 
  8.  listen 443 ssl default_server; 
  9.  listen [::]:443 ssl default_server; 
  10.  include snippets/secure-example.conf 
  11.  # 
  12.  # Note: You should disable gzip for SSL traffic. 
  13.  # See: https://bugs.debian.org/773332 
  14.  # ... 

这将启用 NGINX 加密功能。

保存、退出并检查 NGINX 配置文件:

  1. # nginx -t 
  2. nginx: the configuration file /etc/nginx/nginx.conf syntax is ok 
  3. nginx: configuration file /etc/nginx/nginx.conf test is successful 

重启 NGINX:

  1. # systemctl restart nginx 

总结

按照上述步骤,此时我们已经拥有了一个安全的基于 NGINX 的 Web 服务器,它由 Certbot 和 Let’s Encrypt 提供加密。这只是一个基本配置,当然你可以使用许多 NGINX 配置参数来个性化所有东西,但这取决于特定的 Web 服务器要求。 

责任编辑:庞桂玉 来源: Linux中国
相关推荐

2011-03-18 13:41:50

2012-05-21 10:16:53

2020-04-15 20:57:57

NginxWeb服务器

2017-12-27 10:18:09

ApacheNginx服务器

2011-09-20 09:15:11

2021-06-10 09:48:48

Ubuntu 16.0FreeRADIUSDaloradius

2021-11-24 08:00:00

服务器Web系统

2016-09-30 13:48:25

UbuntuPython报警系统

2018-09-17 12:20:55

2009-02-18 12:46:00

2010-10-08 11:12:50

2018-05-04 12:22:47

2017-10-27 16:09:26

UbuntuGraylog日志服务器

2009-10-14 10:16:45

2009-02-28 14:23:02

2013-12-04 09:17:45

2009-12-30 10:09:08

Ubuntu Apac

2021-12-14 16:15:47

LinuxNginxWeb

2014-07-15 09:44:07

Linux Web服务Nginx

2013-07-29 13:49:23

UbuntuLAMP服务器
点赞
收藏

51CTO技术栈公众号