Nginx配置https双向认证

短命女 2022-12-03 02:28 275阅读 0赞

https双向认证原理：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L214ZHpjaGFsbHBw_size_16_color_FFFFFF_t_70][]

网上查询很多文章，按照他们的步骤下来到最后都是失败的，然后摸索了3天终于搞定，记录下来，希望帮助到其他小伙伴。

一.生成自签名根证书

创建根证书私钥：

openssl genrsa -out root.key 1024

创建根证书请求文件：

openssl req -new -out root.csr -key root.key
    
    ############注意##############
    根证书的Common Name填写root就可以，根证书的这个字段和客户端证书、服务器端证书不能一样
    其他字段必须与根证书一致，为了不容易出错，其他所有字段输入.
    输入密码也输入.

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L214ZHpjaGFsbHBw_size_16_color_FFFFFF_t_70 1][]

创建根证书：

openssl x509 -req -in root.csr -out root.crt -signkey root.key -CAcreateserial -days 3650

这里我们就得到效期为10年的根证书root.crt，我们现在已经有3个文件：

![20200901164139188.png][]

二.生成自签名客户端证书

生成客户端证书秘钥：

openssl genrsa -out client.key 1024

生成客户端证书请求文件：

openssl req -new -out client.csr -key client.key
    
    #############注意##############
    客户端证书Common Name必须填写访问的域名，该域名与nginx配置的域名一致，可以设置*.xx.com匹配所有二级域名
    其他字段必须与根证书字段信息一致，所以其他字段全部输入.
    密码输入.

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L214ZHpjaGFsbHBw_size_16_color_FFFFFF_t_70 2][]

生客户端证书：

openssl x509 -req -in client.csr -out client.crt -signkey client.key -CA root.crt -CAkey root.key -CAcreateserial -days 3650

客户端证书生成完毕，我们的文件有：

![20200901164946787.png][]

校验客户端证书与根证书是否创建正确：

openssl verify -CAfile root.crt client.crt

![2020090116511457.png][]

生客户端p12格式证书：

openssl pkcs12 -export -clcerts -in client.crt -inkey client.key -out client.p12
    
    # 密码输入.

三.Nginx配置

ssl_certificate     /opt/ssl_test/root.crt;
    ssl_certificate_key /opt/ssl_test/root.key;
    ssl_client_certificate /opt/ssl_test/root.crt;
    ssl_verify_client on;
    ssl_session_timeout 5m;
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
    ssl_ciphers ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP;
    ssl_prefer_server_ciphers on;

四.验证

这个时候访问会显示400错误：

![202009011702228.png][]

下载client.p12到本地的计算机，打开浏览器-》设置-》安全与隐私-》证书管理：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L214ZHpjaGFsbHBw_size_16_color_FFFFFF_t_70 3][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L214ZHpjaGFsbHBw_size_16_color_FFFFFF_t_70 4][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L214ZHpjaGFsbHBw_size_16_color_FFFFFF_t_70 5][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L214ZHpjaGFsbHBw_size_16_color_FFFFFF_t_70 6][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L214ZHpjaGFsbHBw_size_16_color_FFFFFF_t_70 7][]

![20200901165841544.png][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L214ZHpjaGFsbHBw_size_16_color_FFFFFF_t_70 8][]

密码输入.

然后点击下一步

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L214ZHpjaGFsbHBw_size_16_color_FFFFFF_t_70 9][]

导入证书成功，需要重启浏览器，再次访问成功

五.curl带证书访问

curl带证书访问：

curl --cert ./client.crt --key ./client.key https://xxx.xxx.com -k
    
    # -k 表示不校验证书合法性，因为证书是自签的

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L214ZHpjaGFsbHBw_size_16_color_FFFFFF_t_70]: /images/20221123/7045ed77456940628c847146c522aeb3.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L214ZHpjaGFsbHBw_size_16_color_FFFFFF_t_70 1]: /images/20221123/86ebd5673d48402e8a1bd17d6c89788d.png
[20200901164139188.png]: /images/20221123/a4f601de608a49e8a943d3be6f76ee5a.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L214ZHpjaGFsbHBw_size_16_color_FFFFFF_t_70 2]: /images/20221123/f073d6430a2a4d669f0bc57c62b09481.png
[20200901164946787.png]: /images/20221123/cf6c828f00ab4614bfbf98c443246360.png
[2020090116511457.png]: /images/20221123/2c936549b8db402ea7da8297a087c341.png
[202009011702228.png]: /images/20221123/a38af500dfb44b97898a039df262cfc0.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L214ZHpjaGFsbHBw_size_16_color_FFFFFF_t_70 3]: /images/20221123/7cb9adf28d9a4c39a4a39d17133f1d3e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L214ZHpjaGFsbHBw_size_16_color_FFFFFF_t_70 4]: /images/20221123/a260ace780a44f938422c67de127c5c5.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L214ZHpjaGFsbHBw_size_16_color_FFFFFF_t_70 5]: /images/20221123/d8c378a700794b70aa2a63b8b984926f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L214ZHpjaGFsbHBw_size_16_color_FFFFFF_t_70 6]: /images/20221123/38f3bf23241b46ef808edd9b8e5520a2.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L214ZHpjaGFsbHBw_size_16_color_FFFFFF_t_70 7]: /images/20221123/b0f31fc9bee2482b99189275ce6a82ed.png
[20200901165841544.png]: /images/20221123/4b99ae332d6740e0be047361263a022c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L214ZHpjaGFsbHBw_size_16_color_FFFFFF_t_70 8]: /images/20221123/37efe194861a4793be069e37249e36e6.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L214ZHpjaGFsbHBw_size_16_color_FFFFFF_t_70 9]: /images/20221123/36a9ba9594cf4a99821358d1b0cbdafe.png