HTTPS 액세스를 달성하기 위해 Nginx SSL 인증서를 구성하는 방법

Background

프로젝트 요구 사항 및 보안상의 이유로 기존 http 인터페이스 액세스를 https 액세스로 변경해야 하므로 SSL 인증서 구성이 필요합니다. 프로젝트의 아키텍처는 다음과 같습니다.

기본 아키텍처는 하드 로드(readwhere) + 소프트 로드(nginx) + tomcat 클러스터입니다. SSL 인증서를 어디에 직접 구성해야 합니까? 무거운 짐을 지고 있나요? 아니면 nginx와 tomcat에서 각각 구성하시겠습니까? 아니면 다른 구성 방법이 있나요?

우선 하드로드 구성을 포기하고 인터넷에서 정보를 검색해본 결과 nginx에서만 인증서 구성이 가능하다는 것을 알게 되었는데, 이는 nginx는 https를 사용하여 접속하고, nginx와 tomcat을 사용한다는 뜻입니다. http로 연결하면 전반적인 아이디어가 작동합니다.

Ssl 인증서에 대하여

Ssl 인증서에 대해 여기서는 간략한 소개를 하고, 프로젝트의 필요성 때문에 쉽게 이해할 수 있도록 합니다.

SSL 인증서는 크게 도메인 레벨(dv), 엔터프라이즈 레벨(ov), 고급 레벨(ev)의 세 가지 유형으로 나뉘며, 보안과 가격이 순서대로 높아집니다. 개인용으로는 저렴한 dv를 사용하고, 기업용으로는 ov를, 특수한 경우에는 ev를 사용합니다.

sSL 인증서 구성

ssl 인증서 구성을 지원하는 nginx 덕분에 이 구현 방법이 가능합니다. nginx의 힘이 아쉽습니다.

인증서 준비

nginx 구성에는 .pem/.crt 인증서 + .key 비밀 키가 필요합니다. 현재 다른 형식의 인증서가 있는 경우 관련 지침에 따라 필수 인증서 유형으로 변환하세요. 그렇지 않으면 인증서를 사용할 수 없습니다. 구성이 완료되었습니다. 일반적으로 구매 판매자에게는 해당 변환 도구가 있습니다.

준비가 완료되면 인증서와 비밀 키를 nginx의 conf 디렉터리(즉, 구성 파일 nginx.conf와 동일한 디렉터리)에 넣으세요.

1. 여기에 특별한 주의가 필요합니다. Linux 시스템에서 구성하는 것은 준비된 것으로 간주됩니다.

2. Windows 시스템을 사용하는 경우 .key 비밀 파일에서 비밀번호를 제거해야 합니다. 그렇지 않으면 구성 후 nginx가 시작되지 않습니다. 여기서는 구체적인 처리 방법도 매우 간단합니다. openssl을 온라인으로 다운로드한 다음 cmd를 bin 디렉터리로 전환하고 openssl rsa -in server.key -out server2.key를 실행합니다. key는 구성에 필요한 파일입니다. 파일 이름을 server.key로 변경해야 합니다.

nginx 구성 파일 수정

다음은 내 nginx.conf 구성 파일의 일부입니다. 포트는 기본 443이 아니고 8185로 변경되었습니다. 필요에 따라 수정할 수 있습니다. 기본 위, 아래 순서대로 따라하시면 ​​문제 없습니다.

server {
    listen    8185;
    server_name localhost; 
    ssl         on; 
    ssl_certificate   server.pem; 
    ssl_certificate_key server.key; 
    ssl_session_timeout 5m;
    ssl_protocols tlsv1 tlsv1.1 tlsv1.2;
    ssl_ciphers high:!rc4:!md5:!anull:!enull:!null:!dh:!edh:!exp:+medium; 
    ssl_prefer_server_ciphers  on;

    location / {
      proxy_set_header host $host:$server_port; 
      proxy_set_header x-real-ip $remote_addr; 
      proxy_set_header x-forwarded-for $proxy_add_x_forwarded_for; 
      proxy_set_header x-forwarded-proto $scheme;
      proxy_connect_timeout  5;
      proxy_send_timeout   5;
      proxy_read_timeout   5; 
      proxy_pass http://qlddm_server;
    }

Tomcat 구성 파일 수정

Tomcat에서 인증서를 구성할 필요는 없지만 여전히 Tomcat 구성 server.xml 구성 파일을 수정해야 합니다. 여기에는 특히 다음 두 위치가 포함됩니다.

<connector 
    executor="tomcatthreadpool"
    port="7083" 
    protocol="org.apache.coyote.http11.http11nio2protocol" 
    connectiontimeout="20000" 
    maxconnections="8000" 
    redirectport="8185" 
    proxyport="8185"
    enablelookups="false" 
    acceptcount="100" 
    maxpostsize="10485760" 
    compression="on" 
    disableuploadtimeout="true" 
    compressionminsize="2048" 
    acceptorthreadcount="2" 
    compressablemimetype="text/html,text/xml,text/plain,text/css,text/javascript,application/javascript" 
    uriencoding="utf-8"
  />

다음을 수행해야 합니다. 리디렉션 포트와 프록시 포트를 모두 nginx 수신 포트 번호로 수정하세요.

<valve classname="org.apache.catalina.valves.remoteipvalve"
       remoteipheader="x-forwarded-for"
       protocolheader="x-forwarded-proto"
       protocolheaderhttpsvalue="https" httpsserverport="8185"/>

위의 값 태그를 추가해야 합니다. httpsserverport도 nginx 수신 포트 번호로 수정해야 합니다.

위 내용은 HTTPS 액세스를 달성하기 위해 Nginx SSL 인증서를 구성하는 방법의 상세 내용입니다. 자세한 내용은 PHP 중국어 웹사이트의 기타 관련 기사를 참조하세요!