firefox+linux+nginx搭建server与client通过证书双向认证环境

  项目中需要搭建一个server和client基于证书的双向认证环境。由我来做,我也不会。

  经过一晚上的研究,基本摸清了(知其然不知其所以然)。做下笔记。

基本环境:

  1.安装nginx。

  2.安装openssl。

生成证书:

  首先建立一个工作目录,这里以我的工作目录为例。(/home/myca/),然后执行如下命令。建立生成证书的路径文件结构,这是由openssl的默认配置文件决定的。你可以修改配置。

mkdir demoCA
cd demoCA
touch ./{serial,index.txt}
echo '01'  > serial
mkdir ./newcerts
cd ..

 

  拷贝配置文件到工作目录。当然前缀路径要换成你自己的。

cp /usr/local/ssl/openssl.cnf   ./

  

  修改配置文件。编辑openssl.cnf中的一些选项。

  unique_subject  = no   (这样一个CA可以同时签多张证书)

  countryName = optional(把这些参数的匹配规则改为可选)

  stateOrProvinceName = optional

  organizationName  = optional

  organizationalUnitName  = optional

 

  现在我们来生成自己的CA。

openssl req -new -x509 -keyout ca.key -out ca.crt -config openssl.cnf

  生成会话会让你填入一些参数,红线标出的是要输入的,根据实际情况填写。执行完会发现工作目录下会有ca.crt  ca.key两个文件。截图如下:

  firefox+linux+nginx搭建server与client通过证书双向认证环境

  接下来生成server端证书。

  首先生成server端私钥。执行后会要求输入解析私钥文件的密码,根据个人喜好设置。生成server.key。

openssl genrsa -des3 -out server.key 1024

  生成证书请求。生成会话会提示输入一些请求信息,成功后生成server.csr。

openssl req -new -key server.key -out server.csr -config openssl.cnf

  firefox+linux+nginx搭建server与client通过证书双向认证环境

  注意紫色线条标出的一行,这行输入server端的域名(https://192.168.68.173:8080是我的服务器地址)。否则签发的证书会被浏览器视为不是本站点的证书。其他根据情况。

  

  现在用生成的CA给证书请求(server.csr)签发证书。根据提示输入相关密码(之前设置好的)和y(yes),成功后生成证书server.crt

openssl ca -in server.csr -out server.crt -cert ca.crt -keyfile ca.key -config openssl.cnf

  

  到这里,我们已经可以做单项认证了,来试试。

  配置nginx:vi /usr/local/nginx/conf/nginx.conf修改配置如下图(注意证书和CA的路径是我的工程路径):

  firefox+linux+nginx搭建server与client通过证书双向认证环境

  保存后启动nginx,会要求输入server端私钥文件解析密码,输入生成时设置的密码。

  在windows下打开firefox输入https://192.168.68.173:8080回车。

  firefox+linux+nginx搭建server与client通过证书双向认证环境

  这说明nginx已经向浏览器发送了自己的证书,但是这个证书不受信任。别急,现在我们把之前自己的CA导入浏览器。

  打开 选项->高级->查看证书->证书机构->导入。先择CA后根据提示导入证书。成功后如下:

  firefox+linux+nginx搭建server与client通过证书双向认证环境

  再次输入https://192.168.68.173:8080回车。

  firefox+linux+nginx搭建server与client通过证书双向认证环境

  看见中间那行提示了吗?中式英语翻译过来就是-->没有要求的ssl证书来发送。也就是说,client已经成功认证了server端的证书,但是我们配置nginx为双向认证,所以nginx要求浏览器出示证书,而浏览器没有证书。

  说明单项认证已经OK,现在为client生成证书。

  首先生成client端私钥,执行后会要求输入解析私钥文件的密码,根据个人喜好设置。生成client.key。

openssl genrsa -des3 -out client.key 1024

 

  生成证书请求。生成会话会提示输入一些请求信息,成功后生成client.csr。

openssl req -new -key client.key -out client.csr -config openssl.cnf

  firefox+linux+nginx搭建server与client通过证书双向认证环境

  现在用之前生成的CA给证书请求(client.csr)签发证书。根据提示输入相关密码(之前设置好的)和y(yes),成功后生成证书client.crt

openssl ca -in client.csr -out client.crt -cert ca.crt -keyfile ca.key -config openssl.cnf

 

  firefox要求客户端的证书格式是p12格式,所以我们把client.crt转化为client.p12格式

openssl pkcs12 -export -clcerts -in client.crt -inkey client.key -out client.p12

 

  最后一步,把client.p12导入浏览器。

  打开 选项->高级->查看证书->您的证书->导入。根据提示导入,导入成功后如图:

  firefox+linux+nginx搭建server与client通过证书双向认证环境

  输入https://192.168.68.173:8080回车。

  firefox+linux+nginx搭建server与client通过证书双向认证环境

   OK!!!

 

更多相关文章
  • 一些第三方jar包我们需要手动进行安装部署,另外如果使用nexus时索引未更新下来急于使用时也可以进行安装或部署.安装(install)仅将相应jar包安装到了本地仓库,而部署(deploy)则将jar包部署到了私有仓库中.如下两段代码分别是命令行形式下安装oracle 的jdbc驱动包,和部署su ...
  • 51CTO开发频道推出<开发月刊>电子杂志,每月一期.“我们只谈开发”是<开发月刊>的口号,本杂志面向广大程序员.项目经理以及架构师.查看往期杂志,请点击这里. 2012年07月刊下载地址 51CTO下载频道:http://down.51cto.com/data/454913 ...
  • rtV6.0.14.07.07 UTF8详细说明:看了大牛们提交的 WooYun: ESPCMS最新 V5.8.14.03.03 UTF8 正式版暴力注入 下了最新版来看看,发现 加密函数 还是老样子啊- -不过 ,查询换成 了 id 而不是 username了,但是 id 是 intval的.fu ...
  • 怎么快速判断哪些进程是系统进程?之前打开任务管理器的进程,因为那些英文进程看不懂,不知道哪些是系统进程,一个个上网去查,有些也没有详细的解释,今天终于发现一个很简单的办法,不知道有没人写过类似的,下面说一下这个方法吧 之前打开任务管理器的进程,因为那些英文进程看不懂,不知道哪些是系统进程,一个个上网 ...
  • 一步两步似魔鬼的步伐 缺陷文件: /core/function/global.func.php 如下:   /** * 显示页面 * @param string $cache_file 缓存路径 * @param bool $is_session 是否更新session * @param bool ...
  • Tiling Time Limit: 1000MS   Memory Limit: 65536K Total Submissions: 8205   Accepted: 3974 Description In how many ways can you tile a 2xn rectangle by ...
一周排行
  • E230 16G内存 1T硬盘 4到6个不同A 16个C段 全新ip 美国站群服务器疯狂大促销,需要赶紧联系我哦 E270v3 32GB 2TB HDD 1Gbps 258ips 特价899元 E2 ...
  •           对用户来讲,软件的功能性之外还要求其易用习惯性.非专业用户习惯了用鼠标点而不大适应键盘+鼠标.Flex的DataGrid虽然可以允许用户多选项目,但是这个多选需要结合Ctrl或Shift键来完成. ...
  • 用户名密码输的明明都对,但就是登陆失败,遇到了这种情况咋办!! 检查bioffice.xml文件 发现analytics的url如上图所示,接下来我在浏览器中输入该值竟然无法登陆............ 然后无不通过 ...
  • 赛门铁克的最新财务报告具有准备分拆企业的特征,大凡一个企业戏剧性分拆时,对客户和渠道合作伙伴都会造成一定的不确定性. 安全和存储公司赛门铁克将于今年年底一分为二,成为两个独立的上市公司. 分拆工作正在顺利展开,分配高 ...
  • 彼得原理:组织中,每个人都可能朝不适合他的岗位发展. 光环效应:一个人某一方面好,人们往往就认为他其他方面也好. 墨菲定律:害怕某事发生,而这件事就肯定发生. 帕金森定律:无论给多少时间,事情总是要拖到最后一刻才能完 ...
  • 今天学习另一个设计模式,适配器(Adapter)模式,这是一个共同方向,但有特殊要求,就应用到此设计模式.写到这里,想起很久以前,有写过一篇<ASP.NET的适配器设计模式(Adapter)>http:/ ...
  • 经过谷歌和百度N次后,终于搞定SVN的升级,Intellij Idea和Xcode5.1都可以正常使用. 步骤: 1. 下载Subverion的Max安装版.(推荐.使用其他brew和port都试过,没有成功) ht ...
  • UVA 10652 Board Wrapping(凸包求面积) 题意:        有n块矩形木板,你的任务是用一个面积尽量小的凸多边形把它们包起来,并计算木板占整个包装面积的百分比. 分析: 刘汝佳<< ...
  • 在实际中经常用到对<String,Double>类型的Map根据Value数值由大到小排序,可是每次都记不住代码,需要花好长时间去查找,现在放在这里,方便以后查找. List<Map.Entry&l ...
  • 摩托罗拉刚刚宣布 Moto X 在国内的预约超过 100 万台,如果你也打算入手 Moto X 手机的话,你可能会注意到,这是一款充电 15 分钟就能够提供7小时续航的手机.下面就为大家带来国行版moto x上手评测 ...