海外云服務(wù)器 40個(gè)地區可選            亞太云服務(wù)器 香港 日本 韓國

云虛擬主機 個(gè)人和企業(yè)網(wǎng)站的理想選擇            俄羅斯電商外貿虛擬主機 贈送SSL證書(shū)

美國云虛擬主機 助力出海企業(yè)低成本上云             WAF網(wǎng)站防火墻 為您的業(yè)務(wù)網(wǎng)站保駕護航

Nginx 是一個(gè)高性能的 HTTP 和反向代理服務(wù)器，支持多種協(xié)議和功能。SSL 雙向認證是一種安全機制，用于驗證客戶(hù)端的身份，并且可以確保只有受信任的客戶(hù)端才能連接到服務(wù)器。以下是對 Nginx SSL 雙向認證的詳細解釋?zhuān)?，?## 什么是 SSL 雙向認證？，，SSL 雙向認證通過(guò)驗證客戶(hù)端的身份來(lái)提高安全性?？蛻?hù)端和服務(wù)器都需要進(jìn)行身份驗證，以確保通信的安全性。，，### 如何在 Nginx 中配置 SSL 雙向認證？，，1. **安裝必要的模塊**：， 你需要安裝 ngx_http_ssl_module 和 ngx_http_realip_module 模塊。，，2. **編輯 Nginx 配置文件**：， 打開(kāi) Nginx 的主配置文件（通常是 /etc/nginx/nginx.conf 或 /etc/nginx/conf.d/default.conf），并添加或修改以下配置：，， ``nginx， server {， listen 443 ssl;， server_name yourdomain.com;，， ssl_certificate /path/to/your/certificate.pem;， ssl_certificate_key /path/to/your/privatekey.key;，， ssl_protocols TLSv1.2 TLSv1.3;， ssl_ciphers 'ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384';， ssl_prefer_server_ciphers on;，， # 客戶(hù)端證書(shū)驗證， ssl_verify_client on;， ssl_verify_depth 2; # 設置驗證深度， ssl_trusted_certificate /path/to/trusted_ca_certificates.pem;，， location / {， proxy_pass http://backend_server;， }， }， `，，3. **重啟 Nginx**：， 修改配置文件后，重啟 Nginx 以應用更改：，， `sh， sudo systemctl restart nginx， ``，，### SSL 雙向認證的好處，，- **增強安全性**：通過(guò)驗證客戶(hù)端的身份，可以防止中間人攻擊。，- **提升用戶(hù)體驗**：由于身份驗證過(guò)程更加復雜，用戶(hù)可能需要輸入更多的信息，從而提高系統的安全性。，- **合規性要求**：許多行業(yè)都有特定的 SSL 雙向認證要求，滿(mǎn)足這些要求可以增加客戶(hù)信任度。，，### ，Nginx SSL 雙向認證是一種強大的安全措施，可以幫助你保護網(wǎng)站免受未經(jīng)授權的訪(fǎng)問(wèn)。通過(guò)配置合適的證書(shū)和設置，你可以實(shí)現雙向認證，從而提高網(wǎng)站的安全性和可信度。

Nginx 配置 SSL 雙向認證

在現代網(wǎng)絡(luò )中，SSL/TLS 是一種用于數據傳輸的安全協(xié)議，雙方向認證（Two-way Authentication）是一種安全機制，它允許服務(wù)器和客戶(hù)端都驗證對方的身份，這對于保護通信的機密性和完整性非常重要。

什么是雙方向認證？

雙方向認證分為以下幾種類(lèi)型：

1、Client Certificate Authentication (CCA): 客戶(hù)端必須提供自己的證書(shū)進(jìn)行身份驗證。

2、Server Certificate Authentication (SCA): 服務(wù)器必須提供自己的證書(shū)進(jìn)行身份驗證。

3、Mutual Authentication (MA): 服務(wù)器和客戶(hù)端都必須提供自己的證書(shū)進(jìn)行身份驗證。

如何配置 Nginx 進(jìn)行 SSL 雙向認證？

假設我們使用的是 OpenSSL 來(lái)生成證書(shū)和私鑰，并且我們有兩個(gè)域名：www.example.com 和api.example.com。

生成證書(shū)和私鑰

生成 CA 證書(shū)
openssl genrsa -out ca.key 4096
openssl req -new -key ca.key -x509 -days 365 -out ca.crt -subj "/C=CN/ST=Shanghai/L=Shanghai/O=Example Inc./OU=IT Department/CN=CA"
生成服務(wù)器證書(shū)
openssl req -new -key server.key -out server.csr -subj "/C=CN/ST=Shanghai/L=Shanghai/O=Example Inc./OU=IT Department/CN=www.example.com"
openssl x509 -req -in server.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out server.crt -days 365 -extensions v3_req
生成客戶(hù)端證書(shū)
openssl req -new -key client.key -out client.csr -subj "/C=CN/ST=Shanghai/L=Shanghai/O=Example Inc./OU=IT Department/CN=api.example.com"
openssl x509 -req -in client.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out client.crt -days 365 -extensions v3_req

配置 Nginx

編輯 Nginx 配置文件，例如/etc/nginx/nginx.conf 或/etc/nginx/sites-available/default。

server {
    listen 443 ssl;
    server_name www.example.com api.example.com;
    ssl_certificate /path/to/server.crt;
    ssl_certificate_key /path/to/server.key;
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers 'ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384';
    ssl_prefer_server_ciphers on;
    # 服務(wù)器證書(shū)驗證
    ssl_verify_client on;
    ssl_verify_depth 2;
    location / {
        proxy_pass http://backend;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
    location /api {
        proxy_pass http://api_backend;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

驗證配置

sudo nginx -t
sudo systemctl reload nginx

測試 SSL 雙向認證

你可以使用curl 命令來(lái)測試 SSL 雙向認證是否成功。

curl -k https://www.example.com/api

如果一切正常，你應該會(huì )看到 API 的響應。

通過(guò)以上步驟，你已經(jīng)成功配置了 Nginx 使用 SSL 雙向認證，確保你的服務(wù)器和客戶(hù)端證書(shū)是有效的，并且正確配置了ssl_verify_client 和ssl_verify_depth 參數。