Linux 搭建Nginx并添加配置 SSL 证书

1. 安装准备

 

1.1 gcc安装

安装 nginx 需要先将官网下载的源码进行编译，编译依赖 gcc 环境，如果没有 gcc 环境，则需要安装：

[root@nginx ~]# yum -y install gcc-c++

1.2 pcre安装

PCRE(Perl Compatible Regular Expressions) 是一个Perl库，包括 perl 兼容的正则表达式库。nginx 的 http 模块使用 pcre 来解析正则表达式，所以需要在 linux 上安装 pcre 库，pcre-devel 是使用 pcre 开发的一个二次开发库。nginx也需要此库。

[root@nginx ~]# yum -y install pcre pcre-devel

1.3 zlib安装

zlib 库提供了很多种压缩和解压缩的方式， nginx 使用 zlib 对 http 包的内容进行 gzip ，所以需要在 Centos 上安装 zlib 库。

[root@nginx ~]# yum -y install zlib zlib-devel

1.4 OpenSSL安装

OpenSSL 是一个强大的安全套接字层密码库，囊括主要的密码算法、常用的密钥和证书封装管理功能及 SSL 协议，并提供丰富的应用程序供测试或其它目的使用。

nginx 不仅支持 http 协议，还支持 https（即在ssl协议上传输http），所以需要在 Centos 安装 OpenSSL 库。

[root@nginx ~]# yum -y install openssl openssl-devel

 

2. Nginx安装

2.1 Nginx版本

下载网址：https://nginx.org/en/download.html

选择最新的稳定版nginx-1.10.3

版本说明：

Mainline version：Mainline 是 Nginx 目前主力在做的版本，可以说是开发版

Stable version：最新稳定版，生产环境上建议使用的版本

Legacy versions：遗留的老版本的稳定版

2.2 Nginx下载

使用wget命令下载

 [root@nginx ~]# wget -c https://nginx.org/download/nginx-1.10.3.tar.gz

如没有wget命令则安装：

[root@nginx ~]# yum -y install wget

2.3 解压

[root@nginx ~]# tar -zxvf nginx-1.10.3.tar.gz

 

2.4.1 新建nginx用户和组 (根据自己的需求 可忽略此步)

[root@nginx include]# groupadd nginx
[root@nginx include]# useradd -g nginx -d /home/nginx nginx
[root@nginx include]# passwd nginx

2.4.2第三方模块安装

本文以安装第三方模块sticky为例，版本为1.,2.5，

下载地址：https://pan.baidu.com/s/1Zpv6axGNUJkkGcam7EoLaQ 密码：6jaq

Sticky是nginx的一个模块，它是基于cookie的一种nginx的负载均衡解决方案，通过分发和识别cookie，来使同一个客户端的请求落在同一台服务器上，默认标识名为route
.客户端首次发起访问请求，nginx接收后，发现请求头没有cookie，则以轮询方式将请求分发给后端服务器。
.后端服务器处理完请求，将响应数据返回给nginx。
.此时nginx生成带route的cookie，返回给客户端。route的值与后端服务器对应，可能是明文，也可能是md5、sha1等Hash值
.客户端接收请求，并保存带route的cookie。
.当客户端下一次发送请求时，会带上route，nginx根据接收到的cookie中的route值，转发给对应的后端服务器。

http {
　　#OK include vhost/xxx.conf;
　　upstream shop_server{
　　sticky;
　　#Sticky是nginx的一个模块，它是基于cookie的一种nginx的负载均衡解决方案，通过分发和识别cookie，来使同一个客户端的请求落在同一台服务器上
　　#	server 192.168.1.23; 
　　server 192.168.1.24;
　　#	server 192.168.1.25;
　　keepalive 32;　
}

上传解压：

[root@nginx ~]# tar -zxvf nginx-goodies-nginx-sticky-module-ng-08a395c66e42..gz
[root@nginx ~]# mv nginx-goodies-nginx-sticky-module-ng-08a395c66e42 nginx-sticky-1.2.

2.4.3 安装

　　先卸载老版本nginx(若为首次安装可忽略此步)

　　　　查找并删除mysql有关的文件

　　　　find / -name nginx

　　　　rm -rf 上边查找到的路径，多个路径用空格隔开，或者下边一条命令即可

　　　　find / -name nginx|xargs rm -rf

　　安装:

[root@nginx ~]# cd nginx-1.10.
[root@nginx nginx-1.10.]# ./configure --user=nginx --group=nginx --prefix=/usr/local/nginx --add-module=/usr/local/nginx-sticky-1.2.

指定用户、路径和模块配置（可选）：

./configure \
--user=nginx --group=nginx \ #安装的用户组
--prefix=/usr/local/nginx \ #指定安装路径
--with-http_stub_status_module \ #监控nginx状态，需在nginx.conf配置
--with-http_ssl_module \ #支持HTTPS
--with-http_sub_module \ #支持URL重定向
--with-http_gzip_static_module #静态压缩
--add-module=/usr/local/nginx-sticky-1.2. #安装sticky模块

2.5 编译

[root@nginx nginx-1.10.]# make && make install

报错：

];

 

解决方法：

修改ngx_http_sticky_misc.c文件，新增#include <openssl/sha.h>和#include <openssl/md5.h>模块

[root@nginx nginx-1.10.3]# sed -i '12a #include <openssl/sha.h>' /usr/local/nginx-sticky-1.2.5/ngx_http_sticky_misc.c
[root@nginx nginx-1.10.3]# sed -i '12a #include <openssl/md5.h>' /usr/local/nginx-sticky-1.2.5/ngx_http_sticky_misc.c

重新编译：

[root@nginx nginx-1.10.3]# make && make install

3.6 nginx命令全局执行设置

[root@nginx bin]# cd /usr/local/nginx/sbin/
[root@nginx sbin]# ln -s /usr/local/nginx/sbin/nginx /usr/local/bin/nginx

 

4. Nginx相关命令

4.1 版本查看

[root@nginx ~]# nginx -v 

　　nginx version: nginx/1.10.3

4.2 查看加载的模块

[root@nginx ~]# nginx -V 

　　nginx version: nginx/1.10.3

　　built by gcc 4.8.5 20150623 (Red Hat 4.8.5-28) (GCC)

　　configure arguments: --add-module=/root/nginx-sticky-1.2.5/

4.3 启停命令

4.3.1 启动

[root@nginx nginx-1.10.3]# /usr/local/nginx/sbin/nginx -c /usr/local/nginx/conf/nginx.conf

4.3.2 停止

[root@nginx nginx-1.12.2]# nginx -s stop 
[root@nginx nginx-1.12.2]# nginx -s quit

4.3.3 动态加载

[root@nginx nginx-1.12.2]# nginx -s reload

4.3.4 测试配置文件nginx.conf正确性

[root@nginx ~]# nginx -t 

　　nginx: the configuration file /usr/local/nginx/conf/nginx.conf syntax is ok

　　nginx: configuration file /usr/local/nginx/conf/nginx.conf test is successful

 

nginx -s quit:此方式停止步骤是待nginx进程处理任务完毕进行停止。

nginx -s stop:此方式相当于先查出nginx进程id再使用kill命令强制杀掉进程。

nginx -s reload:动态加载，当配置文件nginx.conf有变化时执行该命令动态加载。

4.4 开机自启动

编辑/etc/rc.d/rc.local文件，新增一行/usr/local/nginx/sbin/nginx

 [root@nginx rc.d]# cd /etc/rc.d
 [root@nginx rc.d]# sed -i '13a /usr/local/nginx/sbin/nginx' /etc/rc.d/rc.local
 [root@nginx rc.d]# chmod u+x rc.local

 

5. 更改默认端口

编辑配置文件/usr/local/nginx/conf/nginx.conf，将默认端口80修改为81：

 [root@nginx ~]# view /usr/local/nginx/conf/nginx.conf

加载配置：

 [root@nginx ~]# nginx -s reload

 

6. 访问Nginx

6.1 关闭防火墙

[root@nginx ~]# firewall-cmd --state 
running 
[root@nginx ~]# systemctl stop firewalld.service 
[root@nginx ~]# firewall-cmd --state
 not running

6.2 访问Nginx

http://localhost:81

7.开始配置SSL证书（证书需另行获取，获取的途径很多,如阿里云的服务或第三方服务购买）

进入 conf/nginx.conf 开始配置文件的修改。在修改配置文件之前，最好做一个备份，防止修改错误，也能及时回退错误

 

7.1、找到第一个监听80端口的server:一下是我修改好的server

 server {
     listen 80;
     server_name 需要访问的域名;

     rewrite ^(.*) https://$server_name$1 permanent; #这句是代表 把    http的域名请求转成https

     #charset koi8-r;
     #access_log logs/host.access.log main;
     location / {
         root html;
         index index.html index.htm;
        proxy_pass http://需要访问的域名; #因为这里还是80端口，所以保持http就可以了

     }
 } 

 

在实际的配置文件中，最好把我上面的备注删除

 

7.2、第一个server修改好了之后。那么就需要开始配置第二个server。拉到文件的底部。看到有一个https类型的server。而且已经全部被注释封上了，这是我们需要改的第二个server，如图：

这里除了HTTPS server这行之外，其他的 # 删除，启动https模块

 

 # HTTPS server
 #
 server {
     listen 443 ssl;
     server_name 需要访问的域名，这里也不用加https;

     ssl on;

     ssl_certificate /usr/local/nginx/ssl/ssl.pem; #这里是ssl key文件存放的绝对路径，根据自己的文件名称和路径来写
     ssl_certificate_key /usr/local/nginx/ssl/ssl.key; #这里是ssl key文件存放的绝对路径，根据自己的文件名称和路径来写

     ssl_session_cache shared:SSL:1m;
     ssl_session_timeout 5m;

     ssl_ciphers HIGH:!aNULL:!MD5;
     ssl_prefer_server_ciphers on;

     location / {
         proxy_pass http://需要访问的域名:8080/;
     }
 }

7.3、检验配置文件是否有错误

 [root@localhost sbin]# nginx -t

 

如果nginx曾经安装过SSL模块，那么应该会显示以下界面：（如果已经显示配置成功，那么可以跳过这一步，直接重启nginx就可以了）

 

可是大多数第一次安装https证书，都会报错，说缺少SSL模块，如下：

 

 

7.4、这时候我们就可以先安装SSL模块：

先确认2个位置：

1）我的nginx是安装在了/usr/local/nginx/下

2）我的nginx的源码包放在了/usr/local/nginx/nginx/nginx-1.8.0下。如果没有的话，重新下载你对应的nginx版本的源码包，找个目录解压

 

3)目录切换到我们的源码包安装位置：

 

cd /usr/local/nginx/nginx/nginx-1.8.0

 

4)执行语句，重新安装ssl模块：

 

./configure  --with-http_ssl_module

 

5)这时候应该就执行配置成功了。配置成功后，那么就需要编译我们的配置。（注意这里只能用make 而不要用make install，因为执行make install是覆盖安装的意思）

运行：

 

make

 

等待执行完成后，我们需要把新编译的nginx模块替换原来的nginx。

 

6)还是老规矩，先备份旧的nginx，执行语句（这里面复制的文件的路径需要根据你们安装的目录自行修改，如果和我安装的路径是一样的那么可以直接运行该语句）：

 

　　cp /usr/local/nginx/sbin/nginx /usr/local/nginx/sbin/nginx.bak

 

　　先停止nginx进程，然后

 

 　  cp objs/nginx /usr/local/nginx/sbin/nginx

 

7)然后就是启动nginx。在启动之前，也可以在测试一次配置文件是否已经生效：

 

#先切换到sbin目录

cd /usr/local/nginx/sbin/

#检测nginx的配置文件是否有错误

./niginx -t

 

看到这样的，就是已经成功了

 

 

最后启动nginx：

 

/usr/local/nginx/sbin/nginx -c /usr/local/nginx/conf/nginx.conf

 

因为刚才替换nginx模块的时候是把nginx进程都杀死了，所以要用上面的命令进行启动，而不能使用reload重启。

 

nginx正常启动后，我们在访问我们的网站，发现https就已经配置好了：

 

附上nginx配置文件

 #user  nobody;
 worker_processes  1;

 #error_log  logs/error.log;
 #error_log  logs/error.log  notice;
 #error_log  logs/error.log  info;

 #pid        logs/nginx.pid;

 events {
     worker_connections  1024;
 }

 http {
     include       mime.types;
     default_type  application/octet-stream;

     #log_format  main  '$remote_addr - $remote_user [$time_local] "$request" '
     #                  '$status $body_bytes_sent "$http_referer" '
     #                  '"$http_user_agent" "$http_x_forwarded_for"';

     #access_log  logs/access.log  main;

     sendfile        on;
     #tcp_nopush     on;

     #keepalive_timeout  0;
     keepalive_timeout  65;

     #gzip  on;

     server {
         listen       80;
         server_name  test.feihe.com;
         #rewrite ^(.*) https://$server_name$1 permanent; #这句是代表 把http的域名请求转成https

         #charset koi8-r;

         #access_log  logs/host.access.log  main;

         location / {
             root   html/;
             index  index.html index.htm;
         }

         location /coa/ {
             proxy_pass http://localhost:8080;
         }

         location /front/ {
             proxy_pass http://localhost:8080;
         }

         #error_page  404              /404.html;

         # redirect server error pages to the static page /50x.html
         #
         error_page   500 502 503 504  /50x.html;
         location = /50x.html {
             root   html;
         }

         # proxy the PHP scripts to Apache listening on 127.0.0.1:80
         #
         #location ~ \.php$ {
         #    proxy_pass   http://127.0.0.1;
         #}

         # pass the PHP scripts to FastCGI server listening on 127.0.0.1:9000
         #
         #location ~ \.php$ {
         #    root           html;
         #    fastcgi_pass   127.0.0.1:9000;
         #    fastcgi_index  index.php;
         #    fastcgi_param  SCRIPT_FILENAME  /scripts$fastcgi_script_name;
         #    include        fastcgi_params;
         #}

         # deny access to .htaccess files, if Apache's document root
         # concurs with nginx's one
         #
         #location ~ /\.ht {
         #    deny  all;
         #}
     }

     # another virtual host using mix of IP-, name-, and port-based configuration
     #
     #server {
     #    listen       8000;
     #    listen       somename:8080;
     #    server_name  somename  alias  another.alias;

     #    location / {
     #        root   html;
     #        index  index.html index.htm;
     #    }
     #}

     # HTTPS server         ssl_protocols  SSLv2 SSLv3 TLSv1;

     server {
         listen       443 ssl;
         server_name  test.feihe.com;

         ssl                  on;
         ssl_certificate      /usr/local/nginx/ssl/_.xx.com_bundle.crt;  #这里是ssl pem文件存放的绝对路径
         ssl_certificate_key  /usr/local/nginx/ssl/_.xx.com.key;  #这里是ssl key文件存放的绝对路径

         ssl_session_cache    shared:SSL:1m;
         ssl_session_timeout  5m;

         ssl_ciphers  HIGH:!aNULL:!MD5;
         ssl_prefer_server_ciphers   on;

         location / {
             root   html/;
             index  index.html index.htm;
         }

         location /coa/ {
             proxy_pass http://localhost:8080;
         }

         location /front/ {
             proxy_pass http://localhost:8080;
         }
     }

 }