nginx 配置自签名的ssl证书

最近要搭一个https的测试环境，使用nginx做反向代理。

网上找过不少资料，但过程不是很完整，吃了不少亏，故把自己的操作过程总结下来。如果你刚好遇到这个问题，希望对你有帮助！

********************************分割线*************************

使用java自带jdk生成ssl自签名证书（以生成uat环境的ssl证书为例）

1、打开cmd命令窗口，指定使用RSA算法生成一个颁发证书的机构，

执行命令：keytool -genkey -alias uat -keypass password -keyalg RSA -keysize 1024 -validity 365 -keystore D:/UAT/KEY/uat.keystore -storepass password

nginx 配置自签名的ssl证书-LMLPHP

2、使用export命令导出cer证书：

执行命令：keytool -export -alias uat -keystore D:/UAT/KEY/uat.keystore -storepass password -rfc -file D:/UAT/KEY/uat.cer

nginx 配置自签名的ssl证书-LMLPHP

3、因为keytool不提供命令导出私钥，所以需要编写java类导出key，测试类如下：

package test;

import java.io.FileInputStream;

import java.security.KeyStore;

import java.security.PrivateKey;

import sun.misc.BASE64Encoder;

public class SslKey {

    public static KeyStore getKeyStore(String keyStorePath, String password) throws Exception {

        FileInputStream is = new FileInputStream(keyStorePath);

        KeyStore ks = KeyStore.getInstance("JKS");

        ks.load(is, password.toCharArray());

        is.close();

        return ks;

    }

    public static PrivateKey getPrivateKey() {

        try {

            BASE64Encoder encoder = new BASE64Encoder();

            KeyStore ks = getKeyStore("D:/UAT/key/uat.keystore", "password");

            PrivateKey key = (PrivateKey) ks.getKey("uat", "password".toCharArray());

            String encoded = encoder.encode(key.getEncoded());

            System.out.println("-----BEGIN RSA PRIVATE KEY-----");

            System.out.println(encoded);

            System.out.println("-----END RSA PRIVATE KEY-----");

            return key;

        } catch (Exception e) {

            return null;

        }

    }

    public static void main(String[] args) {

        getPrivateKey();

    }

}

算出key值如下：

新建一个uat.key命名的文件，把key的内容粘贴到这个文件夹里面：

nginx 配置自签名的ssl证书-LMLPHP

4、到这一步，已经可以将cer证书（若需要crt证书，可以直接把cer证书文件的后缀改为crt即可）配置到nginx中使用，但是使用此时的key需要每次访问的时候输入一次密码，相当麻烦。所以最好对key文件再ssl免密码操作一次。步骤如下：

在windows上安装openssl转换工具：

Win64OpenSSL-1_0_2c.exe

vcredist_x64.exe

然后再将openss的bin目录配置到系统环境变量里：

nginx 配置自签名的ssl证书-LMLPHP

执行命令：rsa -in D:\UAT\key\uat.key -out D:\UAT\key\uat.key.unsecure

nginx 配置自签名的ssl证书-LMLPHP

5、把证书文件拷贝到测试环境，并配置nginx的config文件（我事先把uat.cer文件改名为uat.crt），如：

 server {

	listen 443;

	server_name www.uat.com;

	ssl on;

	ssl_certificate D:/UAT/KEY/uat.crt;

	ssl_certificate_key D:/UAT/KEY/uat.key.unsecure;

	#charset koi8-r;

        access_log  logs/www.uat.com.log  main;

        proxy_set_header       Host $host;

	proxy_set_header  X-Real-IP  $remote_addr;

	proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;

	proxy_set_header  X-Forwarded-Proto  $scheme;

        location / {

            proxy_pass   http://www.uat.com;

        }

		error_page   500 502 503 504  /error.html;

        location = /error.html {

            root   html;

        }

    }

重启nginx即可实现https访问。因为是自签名的证书，所以浏览器访问时需要先手动信任一下。

各步骤命令汇总：

keytool -genkey -alias uat -keypass password -keyalg RSA -keysize 1024 -validity 365 -keystore D:/UAT/KEY/uat.keystore -storepass password

keytool -export -alias uat -keystore D:/UAT/KEY/uat.keystore -storepass password -rfc -file D:/UAT/KEY/uat.cer

--使用SslKey.java转换key

OpenSSL> rsa -in D:\UAT\key\uat.key -out D:\UAT\key\uat.key.unsecure