NginxКак я сделал HTTPS на Debian-8 c Nginx

[sponsor=/4gr/mesto_120x20.png] О популярном сервере для высокопосещаемых ресурсов Nginx
Ответить Пред. темаСлед. тема
Novichok_spb
Как я сделал HTTPS на Debian-8 c Nginx

Сообщение Novichok_spb » 06 фев 2017, 13:32

Привет всем!
Может, кому-то будет полезен мой чайниковский опыт. :) Ведь гугл хром грозится обзывать все сайты без https ненадёжными...
В общем, я решил сделать для своего сайта бесплатный сертификат, который выдаёт всем желающим Let's Encrypt.
1. Добавить нужный репозиторий в etc/apt/sources.list строку

Код: Выделить всё

deb http://ftp.debian.org/debian jessie-backports main
(Вообще, это на их сайте написано https://certbot.eff.org/#debianjessie-nginx)

2. запустить

Код: Выделить всё

sudo apt-get update
3.

Код: Выделить всё

sudo apt-get install certbot -t jessie-backports
установится их утилита

4. добавить каталог etc/nginx/ssl

Код: Выделить всё

sudo openssl dhparam -out /etc/nginx/ssl/dhparam.pem 2048
чтобы создался файл dhparam.pem
у меня несколько минут бегали какие-то символы на экране, потом файл создался
Это нужно для дополнительного шифрования, чтобы потом при проверке на https://www.ssllabs.com/ssltest/ ваш сайт получил хотя бы А.

В /etc/nginx.conf там, где секция ssl добавить:

Код: Выделить всё

	ssl_session_cache   shared:SSL:20m;
	ssl_session_timeout 10m;	
	ssl_stapling on;
	ssl_ciphers 'ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:AES:CAMELLIA:DES-CBC3-SHA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH:!EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA';
	ssl_dhparam /etc/nginx/ssl/dhparam.pem;
	resolver                    8.8.8.8 8.8.4.4 valid=300s;
	resolver_timeout            10s;	

Для конкретного домена (например, mysite.com) запускаем установленную утилиту

Код: Выделить всё

certbot certonly --webroot -w /home/www/mysite.com -d mysite.com
должно появиться что-то типа такого:
Saving debug log to /var/log/letsencrypt/letsencrypt.log x
x Starting new HTTPS connection (1): acme-v01.api.letsencrypt.org x
x Obtaining a new certificate x
x Performing the following challenges: x
x http-01 challenge for mysite.com x
x Waiting for verification... x
x Cleaning up challenges x
x Generating key (2048 bits): x
x /etc/letsencrypt/keys/0000_key-certbot.pem x
x Creating CSR: /etc/letsencrypt/csr/0000_csr-certbot.pem
- Congratulations! Your certificate and chain have been saved at
/etc/letsencrypt/live/mysite.com/fullchain.pem. Your cert will
expire on 2017-06-01. To obtain a new or tweaked version of this
certificate in the future, simply run certbot again. To
non-interactively renew *all* of your certificates, run "certbot
renew"
В конфигурации сайта nginx/available/mysite.conf делаем для http, который на 80-м порту редирект на https

Код: Выделить всё

server {
    listen 80;
    server_name mysite.com www.mysite.com;
    return 301 https://mysite.com$request_uri;
}
а то, что было написано для 80-го порта, оставляем, заменив 80 на 443, и добавив пути к сертификатам

Код: Выделить всё

 server {
 
	listen 443 ssl;
	server_name  mysite.com www.mysite.com;
	ssl_certificate /etc/letsencrypt/live/mysite.com/fullchain.pem;
	ssl_certificate_key /etc/letsencrypt/live/mysite.com/privkey.pem;
.... дальше всё, как было
Сертификаты сейчас выдаются на три месяца. Потом надо просто дать команду обновления

Код: Выделить всё

certbot renew --dry-run

Реклама
Ответить Пред. темаСлед. тема

Быстрый ответ

Изменение регистра текста: 
Смайлики
:) :( :oops: :roll: :wink: :muza: :clever: :sorry: :angel: :read: *x)
Ещё смайлики…
   
К этому ответу прикреплено по крайней мере одно вложение.

Если вы не хотите добавлять вложения, оставьте поля пустыми.

  • Похожие темы
    Ответы
    Просмотры
    Последнее сообщение
  • На схватывается лог nginx-a (((
    Гость » 04 сен 2013, 13:20 » в форуме Fail2ban
    1 Ответы
    443 Просмотры
    Последнее сообщение Hello
    04 сен 2013, 14:52
  • Ошибка 402 bad gateway nginx. Что делать?
    Гена » 08 авг 2013, 14:02 » в форуме Nginx
    10 Ответы
    6133 Просмотры
    Последнее сообщение Гость
    05 май 2016, 09:07
  • Узнать версию и обновить Nginx
    Victor » 20 ноя 2013, 19:46 » в форуме Nginx
    1 Ответы
    2337 Просмотры
    Последнее сообщение Гость
    20 ноя 2013, 20:48
  • Как изменить путь /usr/share/nginx/html
    Ньюб » 05 авг 2013, 23:25 » в форуме Nginx
    0 Ответы
    5263 Просмотры
    Последнее сообщение Ньюб
    05 авг 2013, 23:25
  • Как обновить Debian?
    LLL » 18 фев 2017, 11:33 » в форуме Debian
    5 Ответы
    799 Просмотры
    Последнее сообщение unfocuspants
    25 авг 2017, 06:26