在部分場(chǎng)景中，我們必須使用 https 請(qǐng)求，因?yàn)?https 請(qǐng)求更為安全，常用于支付方面的請(qǐng)求調(diào)用

https 的基礎(chǔ)是 ssl，我們一般是沒有 ssl 證書的，我們需要向供應(yīng)商購(gòu)買 ssl 證書，今天我們使用 Let’s Encrypt 獲取免費(fèi)證書，搭建我們的 https 請(qǐng)求

1、安裝 Nginx

在 Centos 中搭建 nginx 環(huán)境，

可以參考我的這篇文章，Centos7中搭建Nginx環(huán)境

2、安裝 ssl 模塊

我們默認(rèn)安裝的 nginx 是沒有 ssl 模塊的，可以輸入命令驗(yàn)證，進(jìn)入 nginx 的目錄

cd /usr/local/nginx/sbin/

執(zhí)行命令

./nginx -V

注意是大寫的 V，小寫的 v 只會(huì)出現(xiàn) nginx 的版本信息

如圖所示，我是已經(jīng)安裝了 ssl 模塊的，沒有安裝的可以參考如下：

• 1> 進(jìn)入到你解壓 nginx 的目錄，也就是帶用 nginx 版本信息的那個(gè)目錄

cd  /usr/local/nginx-1.8.0/

• 2> 執(zhí)行命令

./configure --prefix=/usr/local/nginx --with-http_ssl_module

配置了 ssl 模塊，使用 make 命令重新編譯

make

注意，不能使用 make install 命令，這樣會(huì)導(dǎo)致重新安裝 nginx，此時(shí)當(dāng)前目錄就會(huì)出現(xiàn) objs 目錄

進(jìn)入 objs 目錄，會(huì)看到 nginx 的可執(zhí)行文件

• 3> 替換 nginx 可執(zhí)行文件

我們使用這個(gè)新的 nginx 可執(zhí)行文件 替換 sbin 目錄下的 nginx 可執(zhí)行文件

cp ./nginx /usr/local/nginx/sbin/

系統(tǒng)會(huì)詢問你是否覆蓋，輸入 y 即可，如果覆蓋失敗，多半是因?yàn)槟愕?nginx 還在啟動(dòng)中，先將 nginx 關(guān)閉即可

• 4> 再次檢驗(yàn)是否安裝 ssl 模塊

進(jìn)入 nginx 目錄

cd /usr/local/nginx/sbin/

執(zhí)行命令

./nginx -V

此時(shí)就能看到 ssl 模塊已經(jīng)安裝成功了

3、獲取 ssl 證書

• 1、Let’s Encrypt 簡(jiǎn)介

如果要啟用 HTTPS，我們需要一個(gè) CA 證書，Let’s Encrypt 是一個(gè)免費(fèi)的證書頒發(fā)機(jī)構(gòu)，由 ISRG（Internet Security Research Group）運(yùn)作。

• 2、使用 Certbot 獲取證書

Certbot 是 Let’s Encrypt 官方推薦的證書獲取工具，它可以幫助用戶很方便的獲取和更新 Let’s Encrypt 證書，Certbot 支持所有 Unix 內(nèi)核的操作系統(tǒng)。

• 3、安裝 Certbot 客戶端

執(zhí)行命令

yum install -y epel-release

yum install -y certbot

• 4、獲取證書

因?yàn)槭褂?Certbot 獲取證書時(shí)，Let’s Encrypt 服務(wù)器會(huì)訪問 http://sub.domain.com/.well-known 來(lái)驗(yàn)證你的域名服務(wù)器，因此你需要修改 nginx 配置文件，配置 .well-known 指向本地一個(gè)目錄

location /.well-known {
    alias /usr/local/nginx/html/.well-known;
}

• 5、使用 certbot 命令獲取 ssl 證書，執(zhí)行命令

certbot certonly --webroot -w /usr/local/nginx/html/ -d xxx.com -m xxxxxx@xxx.com --agree-tos

• -w，指定 webroot 目錄
• -d，指定想要獲取證書的域名，支持多個(gè)域名
• -m，輸入你的郵箱地址

如果獲取成功，你的密鑰和證書存放在 /etc/letsencrypt/live/xxx.com/ 目錄下

錯(cuò)誤解決：

1、ImportError: cannot import name UnrewindableBodyError

解決辦法，重裝 urllib3 庫(kù)，執(zhí)行命令

pip uninstall urllib3

卸載 urllib3 庫(kù)

pip install urllib3

安裝 urllib3 庫(kù)

2、pkg_resources.DistributionNotFound: The ‘urllib3<1.23,>=1.21.1’ distribution was not found and is required by requests

執(zhí)行命令

easy_install urllib3==1.21.1

3、ImportError: ‘pyOpenSSL’ module missing required functionality. Try upgradin

執(zhí)行命令

pip install --upgrade --force-reinstall 'requests==2.6.0'

以上就是我遇到的三個(gè)問題，期間會(huì)有詢問的地方，輸入 y 即可

以上錯(cuò)誤解決完后，再次輸入命令獲取 ssl 證書

certbot certonly --webroot -w /usr/local/nginx/html/ -d xxx.com -m xxxxxx@xxx.com --agree-tos

沒錯(cuò)誤，就能夠在 /etc/letsencrypt/live/xxx.com/ 目錄下看到你的 ssl 證書了

注意：

該證書 90 天有效，到期需要重新申請(qǐng)，你也可以通過定時(shí)任務(wù)來(lái)定時(shí)更新 ssl 證書

4、配置 nginx HTTPS server

編輯 nginx 的配置文件

cd /usr/local/nginx/conf/

編輯 nginx.conf 文件

vim nginx.conf

在 server {} 后面加入以下內(nèi)容

# HTTPS server
server {
	# 監(jiān)聽端口，默認(rèn)443
	listen 443 ssl;
	# 你的域名
	server_name xxx.com;

	# 你證書的位置
	ssl_certificate      /etc/letsencrypt/live/xxx.com/fullchain.pem;
	ssl_certificate_key  /etc/letsencrypt/live/xxx.com/privkey.pem;

	ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4;
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
    ssl_prefer_server_ciphers  on;
	
	# 默認(rèn)首頁(yè)
	location / {
		root   html;
           index  index.html index.htm;                   
	}
}

5、訪問測(cè)試

重啟 nginx，進(jìn)入 sbin 目錄

cd /usr/local/nginx/sbin

輸入命令

./nginx -s reload

瀏覽器訪問

https://xxx.com

表示，我們的 ssl 證書生效，https 配置成功

總結(jié)

以上為個(gè)人經(jīng)驗(yàn)，希望能給大家一個(gè)參考，也希望大家多多支持腳本之家。

最新評(píng)論