Hướng dẫn cài đặt SSL Nginx đơn giản

10/02/2020 11:18 | Lượt xem : 331

Bài viết sau đây, vData sẽ hướng dẫn bạn cài đặt SSL Nginx để bạn tham khảo. Hãy cùng theo dõi ngay nhé.

Tìm hiểu chung về SSL

SSL ( tên tiếng anh Secure Sockets Layer) hay còn được gọi là công nghệ bảo mật tiêu chuẩn cho việc cài đặt 1 liên kết được mã hóa giữa máy chủ và máy khách thường là một mail client và máy chủ mail hoặc 1 trình duyệt web và 1 máy chủ web.

SSL đảm bảo mọi dữ liệu được truyền giữa những trình duyệt và máy chủ web an toàn bảo mật tuyệt đối.

Cài đặt SSL Nginx

Bước 1: Giải nén tập tin đính kèm trong email mà nhà cung cấp SSL gửi đến sau khi chứng thư số được cấp. Bạn có thể truy cập trang quản lý SSL, chọn vào Tải SSL, phiên bản Nginx để nhận tập tin phù hợp với Nginx

Bước 2: Tải tập tin này lên máy chủ: lưu vào trong thư mục lưu private key của bạn

Bước 3: Đăng nhập vào SSH bằng tài khoản root và truy cập đến thư mục vừa tải certificate lên

Bước 4: Trên thư mục /usr/local/ssl/certificate bạn chuyển đổi những tập tin thành tập tin dùng cho Nginx.

Bước 5: Mở file cấu hình của Nginx

Sau đây là cấu hình SSL cho Nginx

server {

    listen 443 ssl http2;

    listen [::]:443 ssl http2;




    # certs sent to the client in SERVER HELLO are concatenated in ssl_certificate

    ssl_certificate /path/to/signed_cert_plus_intermediates;

    ssl_certificate_key /path/to/private_key;

    ssl_session_timeout 1d;

    ssl_session_cache shared:SSL:50m;

    ssl_session_tickets off;




    # Diffie-Hellman parameter for DHE ciphersuites, recommended 2048 bits

    ssl_dhparam /path/to/dhparam.pem;




    # intermediate configuration. tweak to your needs.

    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;

    ssl_ciphers 'ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA:ECDHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA256:DHE-RSA-AES256-SHA:ECDHE-ECDSA-DES-CBC3-SHA:ECDHE-RSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:DES-CBC3-SHA:!DSS';

    ssl_prefer_server_ciphers on;




    # HSTS (ngx_http_headers_module is required) (15768000 seconds = 6 months)

    add_header Strict-Transport-Security max-age=15768000;




    # OCSP Stapling ---

    # fetch OCSP records from URL in ssl_certificate and cache them

    ssl_stapling on;

    ssl_stapling_verify on;




    ## verify chain of trust of OCSP response using Root CA and Intermediate certs

    ssl_trusted_certificate /path/to/root_CA_cert_plus_intermediates;




    resolver <IP DNS resolver>;




    ....

}

Sau đây là một số giá trị cần thay đổi:

resolver: DNS. Ví dụ: resolver 8.8.4.4 8.8.8.8;
ssl_trusted_certificate: đường dẫn đến tệp tin mà tập tin này được hợp nhất bởi Root CA và Intermediate Certificates

ssl_dhparam: chỉ định một tệp tin với các thông số DH cho mật mã DHE. Sử dụng lệnh sau

openssl dhparam -out /path/to/dhparam.pem 2048

/path/to/dhparam.pem là đường dẫn mà bạn muốn lưu tệp tin.

ssl_certificate_key: đường dẫn đến Private key, ở đây là tệp sitecuatui.com.key mà bạn đã tạo ở bước đầu tiên.
ssl_certificate: đường dẫn đến tệp tin chứng chỉ. Đối với Nginx, bạn cần hợp nhất 2 tệp tin là sitecuatui_com.crt và sitecuatui_com.ca-bundle thành 1 tệp tin duy nhất. Bạn có thể sử dụng lệnh sau:

cat sitecuatui_com.crt sitecuatui_com.ca-bundle >> sitecuatui_com_new.crt

Bước 6: Lưu lại file cấu hình sau đó bạn thực hiện lại khởi động lại Nginx

Bước 7: Mở port 443 trên Firewall

Vậy là qua bài viết trên đây vData đã hướng dẫn cài đặt SSL Nginx để bạn tham khảo. Hy vọng qua bài viết trên bạn sẽ biết cách để cài đặt. Nếu bạn còn thắc mắc nào liên quan đến bài viết trên thì hãy liên hệ với chúng tôi để được giải đáp nhanh nhất. Đừng quên truy cập website vdata.vn để biết thêm những thông tin hữu ích khác nữa nhé.

>> Tìm hiểu thêm: