如何正确地将受信任的SSL证书添加到网页？

Question

我试图跟踪戈达德的指示关于如何在centos上为nginx服务器添加ssl认证。在最后一步(10)，我得到了一个“键错配”错误。

通过一些研究，我发现通过用我的键对.crt进行符号化，这个错误就消失了。

我跑了：

 sudo openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt

用我的域名替换服务器的每个实例。

这消除了错误，并允许我继续。

然而，当我试图访问我的网站，我现在得到一个不安全的连接错误。

我做错了什么，如何正确启用ssl认证？

Answer 1

这取决于你想做什么。

你想做一份自我签名的证书吗？

或

你要从godaddy那里买SSL证书吗？

，万一你要从godaddy那里获得证书：

1. 生成CSR文件以及私有SSL密钥: openssl req -newkey rsa:2048 -nodes -keyout domain.key -out domain.csr
2. 按照以下指示执行：https://ca.godaddy.com/help/nginx-on-centos-7-install-a-certificate-27192

自签名证书情况下的

：

1. 生成CA根密钥SSL openssl genrsa -out rootca.key 2048
2. 生成CA根公用SSL openssl req -x509 -new -nodes -key rootca.key -sha256 -days 1024 -out rootca.pem
3. 生成域私有SSL：openssl genrsa -out mydomain.key 2048
4. 生成域CSR openssl req -new -key mydomain.key -out mydomain.csr
5. 使用根CA (通常由SSL提供程序完成) openssl x509 -req -in mydomain.csr -CA rootca.pem -CAkey rootca.key -CAcreateserial -out mydomain.pem -days 1024 -sha256为域生成公共SSL密钥

哪里,

mydomain.key -您将在nginx : ssl_certificate_key中使用的私有SSL。

mydomain.pem -您将在nginx : ssl_certificate中使用的公共SSL。

rootca.pem - CA SSL，您需要在浏览器中安装

Answer 2

在某些情况下，自签证书可能是可以的，但是要理解，这样做会在几乎任何浏览器中提供某种警告(并且应该是正确的)。

使用自签名证书，要求浏览器与呈现“虚拟”证书的服务器建立安全连接，因为浏览器不知道签署证书的实体(浏览器将接受为有效证书颁发机构的合法实体的内部“目录”)，因此浏览器无法验证该证书。有时，您可以将虚拟签名实体导入浏览器以消除警告，但使用莱斯加，最好放弃黑客行为，只需获得CA颁发的证书，而CA是微软、谷歌和Mozilla所知的合法证书。

如果您已经拥有由合法CA颁发/签名的合法CSR和cert，则可以查看Nginx指南以安装Letsencrypt。