Centos 7安装Nginx以及给网站安装免费SSL证书方法一

最后更新于
0 评论

SSL证书是用来保护访客和网站服务器之间数据传输的，在国内可能还没那么严格，因为百度貌似对这个没有很严格的要求，但是国外就不同了，Google强烈要求网站必须要有安全证书保证用户的数据，不然网站基本不会被收录，就算收录了也排不了名。

现如今很多人建站都是用Nginx，我也学习了一下，本文就基于Nginx这个轻量的全球第一web server教大家使用Let’s Encrypt给网站安装免费SSL证书。

第1步：选择购买VPS或云主机

VPS和云服务器，国内国外都有，国外更多，如果你的业务在国内，最好购买国内的，如果真的想用这种方式搭建网站做外贸和跨境电商的朋友们请购买国外的，因为客户在国外，国外主机网站开启的速度也更快。大部分vps和云主机不是企业级别的差别也不大，要企业级别的直接上亚马逊AWS或者微软的Azure，当然做国内业务的阿里腾讯也不错。

国外的VPS或云服务器就多了：

  • Linode
  • Vultr
  • DigitalOcean – 这个前几年被国人薅羊毛薅得太严重，现在注册都很难，2020年我注册时需要人脸验证身份，估计国人也没多少人用了，因为在国内也很慢
  • Banwagonhost – 国内称搬瓦工，因为提供CN2 GIA线路在国内访问非常快，被国人群起而购之，现在价格是与日俱增，至于速度现在如何不知道。

国内的云服务器：

如果是用国内云服务器，在搭建的时候，可能要换国内的软件源，因为用国外的根本下不动。

接下来就是用的腾讯香港轻量服务器为例子，系统是centos7(2024年之后不再获得官方安全更新和支持)。你也可以用其他发行版例如Ubantu等等，步骤类似。因为购买腾讯云的话可以用Tencent OS，这个是兼容centos，他们会一直支持安全更新和支持的，即使centos停止更新。

  1. 具体怎么购买就不详细说了，请根据你的需求，然后挑选一家按照指引购买。
  2. 购买成功后，需要一小段时间系统给你创建系统，正常来讲，完成之后会发邮件通知你并带有vps的用户和密码以及公网IP地址，请保存好。
  3. 登录服务商后台，后台按需要设置好，可通过后台的服务器控制台（console）输入用户名密码进入命令行窗口，也可以通过Putty，Xshell等SSH软件接入命令窗口。

接下来更改密码，如果你觉得有必要，在命令行窗口输入（不含#）：

Q167DJZKPE8OAJ081KJ
passwd

系统会提示更改密码，需要输入两次，输入的时候什么也看不到别以为键盘没用。改好后记住密码，如果用的SSH软件，记得更改登陆密码。

第2步：安装Nginx

以下是根据官方网站安装向导安装，官方给出了主要的一些Linux发行版的安装方式：nginx: Linux packages。这里以centos和红帽为例。

首先建议安装epel-release软件包，之后很多软件安装都会用得到，下文中是非root用户可能需要在命令前添加sudo，如果你直接用的用户是root，可不添加sudo。

yum update
yum -y install epel-release

安装yum的一些程序：

yum install yum-utils

设置yum存储库，首先创建一个/etc/yum.repos.d/nginx.repo文件

mkdir /etc/yum.repos.d  //假如yum.repos.d不存在的话
cd /etc/yum.repos.d
vim nginx.repo

通过vim开启一个新的nginx.repo文件(或者你也可以用FTP软件直接添加文件)，按i在文件中输入以下内容，这是nginx的稳定版，你也可以安装他们的主线版，但推荐稳定版，具体看nginx: Linux packages。

[nginx-stable]
name=nginx stable repo
baseurl=http://nginx.org/packages/centos/$releasever/$basearch/
gpgcheck=1
enabled=1
gpgkey=https://nginx.org/keys/nginx_signing.key
module_hotfixes=true

之后按Esc键，接着输入“:wq”保存文件。现在可以输入命令安装nginx了

yum install nginx

nginx安装好后开启nginx服务

systemctl start nginx
systemctl enable nginx
centos+nginx给网站安装免费SSL证书

你还可以用systemctl status nginx查看nginx是否启用。假如你的域名已经绑定好了主机IP(也就是域名解析)，你现在可以打开网站看看是不是有nginx的欢迎页如上图，当然输入IP也能看到以上欢迎页。

第3步：安装Certbot并创建网站Nginx配置文件

安装certbot很简单

yum install certbot

创建一个更高等级的Dh(Diffie-Hellman)组

Diffie-Hellman 密钥交换 (DH) 是一种在不安全的通信通道中安全地交换加密密钥的方法。通过键入以下命令生成一组新的 2048 位 DH 参数：

sudo openssl dhparam -out /etc/ssl/certs/dhparam.pem 2048

你也可以生产4096位的，不过可能需要很长时间，所以2048已经可以了也很安全。

接下来建议给nginx创建共用的配置文件，以避免重复代码，这些在之后nginx的配置server(相当于一个虚拟机)都用的到，很有必要。首先先创建一个存放这些共用文件的文件夹，比如snippets：

mkdir /etc/nginx/snippets

另外还要创建一下你的网站根目录，比如我是放在/var/www下面的qingsongb2c的blog下，文件夹只能一步一步创建

mkdir -p /var/www/qingsongb2c/
mkdir -p /var/www/qingsongb2c/blog/
mkdir -p /var/www/qingsongb2c/blog/.well-known

给创建的文件价赋予一下权限

chgrp nginx /var/www/qingsongb2c/blog
chmod g+s /var/www/qingsongb2c/blog
chmod -R 755 /var/www/qingsongb2c/blog

公用文件有两个: 1. 通过vim /etc/nginx/snippets/letsencrypt.conf，然后添加以下内容

location ^~ /.well-known/acme-challenge/ {
  allow all;
  root /var/www/qingsongb2c/blog;
  default_type "text/plain";
  try_files $uri =404;
}

2. 通过vim /etc/nginx/snippets/ssl.conf，然后在这个文件中添加以下内容

ssl_dhparam /etc/ssl/certs/dhparam.pem;

ssl_session_timeout 1d;
ssl_session_cache shared:SSL:50m;
ssl_session_tickets off;

ssl_protocols TLSv1 TLSv1.1 TLSv1.2 TLSv1.3;
ssl_ciphers 'ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA:ECDHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA256:DHE-RSA-AES256-SHA:ECDHE-ECDSA-DES-CBC3-SHA:ECDHE-RSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:DES-CBC3-SHA:!DSS';
ssl_prefer_server_ciphers on;

ssl_stapling on;
ssl_stapling_verify on;
resolver 8.8.8.8 8.8.4.4 valid=300s;
resolver_timeout 30s;

add_header Strict-Transport-Security "max-age=15768000; includeSubdomains; preload";
add_header X-Frame-Options SAMEORIGIN;
add_header X-Content-Type-Options nosniff;

里面的一些参数如果懂得的话可以稍作调整。

现在可以为你的网站创建相应的nginx配置文件，一个主机可以添加多个域名，可以按照域名分别创建nginx配置文件，一个域名即一个网站，不懂的不要搞多个域名，这里只是提一下。

通过vim /etc/nginx/conf.d/example.com.conf创建你域名的nginx配置文件，记得修改example成你的域名。

server {
  listen 80;
  server_name example.com www.example.com;

  
  root /var/www/qingsongb2c/blog;
  index index.html index.php index.htm; 

  include snippets/letsencrypt.conf;
}

上文server是相当于一个虚拟服务器，这个虚拟服务器可以运行一个网站，

  • listen是端口；
  • server_name可以是域名，也可以一是子域名，xxx.example.com；
  • root后面是你网站根目录，也就是你的网站文件存放的目录，
  • index 网站索引文件，其实就是网站首页
  • include包含上文创建的一个共用文件

这样你的网站就配置好了。但还要给你的网站根目录赋予一下权限，然后重启一下Nginx服务

chown -R nginx:nginx /var/www/qingsongb2c/blog
chmod -R 755 /var/www/qingsongb2c/blog
systemctl restart nginx

第4步：获取安装Let’s Encrypt SSL证书

在获取let’s Encrypt SSL之前，请一定要域名成功解析到你的主机IP才能获取成功， 我网站有域名解析教程，请用第一种方法需要添加A记录。

certbot certonly --webroot -w /var/www/qingsongb2c/blog -d qingsongb2c.com

红色字段是你的网站根目录，需添加的域名请在-d之后一个一个列出，可包括子域名，不过建议子域名另外创建证书.然后按照以下设置生成证书，以下是我以自己的域名为例生成的：

Saving debug log to /var/log/letsencrypt/letsencrypt.log
Enter email address (used for urgent renewal and security notices) (Enter 'c' to
cancel): 你的邮箱

Starting new HTTPS connection (1): acme-v01.api.letsencrypt.org

-------------------------------------------------------------------------------
Please read the Terms of Service at
https://letsencrypt.org/documents/LE-SA-v1.1.1-August-1-2016.pdf. You must agree
in order to register with the ACME server at
https://acme-v01.api.letsencrypt.org/directory
-------------------------------------------------------------------------------
(A)gree/(C)ancel: A

-------------------------------------------------------------------------------
Would you be willing to share your email address with the Electronic Frontier
Foundation, a founding partner of the Let's Encrypt project and the non-profit
organization that develops Certbot? We'd like to send you email about EFF and
our work to encrypt the web, protect its users and defend digital rights.
-------------------------------------------------------------------------------
(Y)es/(N)o: Y
Obtaining a new certificate
Performing the following challenges:
http-01 challenge for web.itzgeek.com
Using the webroot path /var/www/qingsongb2c/blog for all unmatched domains.
Waiting for verification...
Cleaning up challenges

IMPORTANT NOTES:
 - Congratulations! Your certificate and chain have been saved at
   /etc/letsencrypt/live/qingsongb2c.com/fullchain.pem. Your cert will
   expire on 2017-11-24. To obtain a new or tweaked version of this
   certificate in the future, simply run certbot again. To
   non-interactively renew *all* of your certificates, run "certbot
   renew"
 - Your account credentials have been saved in your Certbot
   configuration directory at /etc/letsencrypt. You should make a
   secure backup of this folder now. This configuration directory will
   also contain certificates and private keys obtained by Certbot so
   making regular backups of this folder is ideal.
 - If you like Certbot, please consider supporting our work by:

   Donating to ISRG / Let's Encrypt:   https://letsencrypt.org/donate
   Donating to EFF:                    https://eff.org/donate-le

之后所有的证书相关文件都会在/etc/letsencrypt/live/example.com/中。

第5步：修改Nginx配置文件以使用https安全协议

测试网站的ssl证书是否安装成功，修改一下上文创建的网站(匹配的域名)的nginx配置文件，通过vim /etc/nginx/conf.d/example.com.conf

server {
    listen 80;
    server_name qingsongb2c.com www.qingsongb2c.com;
    return 301 https://www.qingsongb2c.com$request_uri;
}

server {
    listen 443 ssl http2;
    server_name qingsongb2c.com www.qingsongb2c.com;

    root /var/www/qingsongb2c/blog;
    index index.html index.php index.htm; 

    access_log  /var/log/nginx/qingsongb2c.access.log  main;
    error_log /var/log/nginx/qingsongb2c-error.log;  

    ssl_certificate /etc/letsencrypt/live/qingsongb2c.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/qingsongb2c.com/privkey.pem;
    ssl_trusted_certificate /etc/letsencrypt/live/.qingsongb2c.com/chain.pem;
    include snippets/ssl.conf;
    include snippets/letsencrypt.conf;

    location ~ /\.ht {
        deny  all;     
    }


}

记得将我的域名改成你的域名，同样是:wq保存，然后输入systemctl restart nginx重启nginx服务。当然如果你懂得的话，你可以添加更多优化的配置到这个文件中。

LP@S2FYDR3WRKL0K

你可以打开你的网站看看你的浏览器前面是否加了一把小锁，不要管你的网站内容，只要配置没错，就会出现加密的小锁。

第6步：自动更新Let’s Encrypt SSL证书

Let’s Encrypt的免费SSL证书只有90天有效期，在之后你需要自己更新证书，以保证网站的正常运行：

certbot renew

返回如下

Saving debug log to /var/log/letsencrypt/letsencrypt.log


- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Processing /etc/letsencrypt/renewal/qingsongb2c.com.conf
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Cert not due for renewal, but simulating renewal for dry run
Plugins selected: Authenticator webroot, Installer None
Simulating renewal of an existing certificate for qingsongb2c.com and www.qingsongb2c.com
Performing the following challenges:
http-01 challenge for qingsongb2c.com
http-01 challenge for www.qingsongb2c.com
Using the webroot path /var/www/qingsongb2c/blog for all unmatched domains.
Waiting for verification...
Cleaning up challenges

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
new certificate deployed without reload, fullchain is
/etc/letsencrypt/live/qingsongb2c.com/fullchain.pem
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Congratulations, all simulated renewals succeeded: 
  /etc/letsencrypt/live/qingsongb2c.com/fullchain.pem (success)
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -

你也可以通过以下方式设置自动更新，每12小时更新一次：

crontab -e

cron如果没有安装，会出现命令不存在的情况，安装一下cron即可

yum install cronie

然后，按”i”，输入以下信息

0 */12 * * * root test -x /usr/bin/certbot -a \! -d /run/systemd/system && perl -e 'sleep int(rand(43200))' && certbot -q renew --deploy-hook "systemctl restart nginx"

可测试一下更新是否生效

certbot renew --dry-run

之后系统每天会12个小时检查更新，如果快过期，会自动更新，然后重启nginx服务。

结语

行业大佬可绕道，有一点配置VPS主机搭建网站的朋友应该很容易一懂得以上步骤。其实整篇文章下也是偏新手的，没经验也可以很容易配置，真正需要建站还需要安装数据库mysql，php等程序。

为什么是方法一，因为还有方法二，主要是获取ssl证书那一步不同。

版权声明：本文原创文章，首发于青松跨境B2C，版权所有，未经允许，请勿转载！
转载请注明：如若转载，请先取得同意，然后注明原文链接，写点东西谁也不容易。

分享到
3天免费试用，之后前 3 个月只需 $1/月

试用无需提供信用卡信息，套餐29美元/月，包含完整的电商套件工具

免费试用Shopify

发表回复

您的邮箱地址不会被公开。 必填项已用 * 标注